TL; DR
Was ein Modellextraktionsangriff ist und warum die Inventarisierung an erster Stelle steht
Ein Modellextraktionsangriff kopiert Ihre KI über seine eigene API. Kein Sicherheitsverstoß, keine gestohlenen Gewichte, keine Schadsoftware.
- Wie es funktioniert: Bei einem Modellextraktionsangriff (auch Modelldiebstahl genannt) wird ein Inferenzendpunkt in großem Umfang abgefragt und ein Klon anhand der Antworten trainiert. In Ihren Protokollen erscheint der Angreifer wie ein Vielnutzer.
- Wo es sich befindet: OWASP klassifiziert die Modellextraktion unter LLM10:2025 Unbegrenzter Konsum und führt unter ihren Abhilfemaßnahmen ein zentralisiertes Modellinventar auf.
- Warum die Abwehrreihen scheitern: Ratenbegrenzungen, Authentifizierung und Überwachung schützen nur die Endpunkte, die Ihnen bekannt sind. Shadow-AI-Endpunkte erhalten keine dieser Schutzmaßnahmen.
Die erste Verteidigung: Eine KI-Inventarisierung aller Modelle, Agenten und Inferenzendpunkte, die Ihr Code bereitstellt, wird vor der Auslieferung aus dem Quellcode ermittelt. Nicht inventarisierte Inferenzendpunkte können nicht geschützt werden.
Ihr Modell kann gestohlen werden, ohne dass jemand Ihre Server anfasst.
Ihr Team hat monatelang ein Modell anhand firmeneigener Daten optimiert. Es ist über eine API zugänglich, die täglich Tausende von Anfragen beantwortet. Stellen Sie sich nun vor, ein Konkurrent entwickelt den Großteil seines Mehrwerts für die Kosten dieser API-Aufrufe neu.
Das ist ein Modellextraktionsangriff. Niemand dringt in Ihre Infrastruktur ein oder lädt Ihre Gewichte herunter. Der Angreifer stellt Ihrem Modell einfach genügend gezielte Fragen, speichert die Antworten und trainiert eine Kopie davon.
Die meisten Teams begegnen diesem Risiko mit Ratenbegrenzungen, Authentifizierung und Ausgabeüberwachung. Diese Maßnahmen funktionieren. Sie haben jedoch eine Schwachstelle: Sie schützen nur die bekannten Inferenz-Endpunkte. In diesem Leitfaden erklären wir, was ein Modellextraktionsangriff ist, wie Modelldiebstahl in der Praxis funktioniert und warum jede Verteidigung mit einer Bestandsaufnahme beginnt.
Was ist ein Modellextraktionsangriff?
Bei einem Modellextraktionsangriff rekonstruiert ein Angreifer eine funktionsfähige Kopie eines Machine-Learning-Modells, indem er Anfragen an das Modell sendet und aus dessen Ausgaben lernt. Dieser Angriff wird auch als Modelldiebstahl bezeichnet. Der Angreifer benötigt weder die ursprünglichen Gewichte, Trainingsdaten noch den Quellcode: Die öffentliche Schnittstelle genügt.
Die Idee ist nicht neu. Forscher haben sie 2016 im Vergleich zu kommerziellen Vorhersage-APIs demonstriert (Tramèr et al., USENIX SecurityIm Jahr 2024 gelang es einem Team von Google DeepMind, einen Teil eines produktiven Sprachmodells über seine öffentliche API wiederherzustellen (Carlini et al.). MITRE ATLAS verfolgt das gleiche Verhalten wie eine Angreifertechnik gegen KI-Systeme.
Für LLM-Bewerbungen integriert OWASP den Modelldiebstahl in LLM10:2025 Unbegrenzter KonsumEs beschreibt zwei Varianten: die Extraktion mittels speziell entwickelter API-Abfragen und die funktionale Replikation, bei der das Zielmodell synthetische Daten generiert, um ein konkurrierendes Modell feinabzustimmen.
Modellextraktionsangriff: Schlüsselbegriffe
Dieselbe Bedrohung hat mehrere Namen. Hier erfahren Sie, was jeder Name bedeutet und wo es Überschneidungen gibt.
| Bedingungen | Was es bedeutet |
|---|---|
| Modellextraktionsangriff | Das Verhalten eines Modells anhand seiner Abfrageantworten rekonstruieren |
| Modeldiebstahl | Gängige Synonyme; Modelldiebstahl umfasst auch den direkten Diebstahl von Gewichtsdateien |
| Replikation des Funktionsmodells | Verwendung der Ausgaben des Ziels als Trainingsdaten für ein Ersatzmodell |
| Schattenmodell | Der Klon des Angreifers, trainiert, das Ziel zu imitieren |
Wie ein Modellextraktionsangriff funktioniert
Jeder Angriff zur Modellextraktion folgt dem gleichen Schema: einen Endpunkt finden, ihn in großem Umfang abfragen, eine Kopie trainieren.
- Finde den Endpunkt. Der Angreifer findet eine Inferenz-API: ein Chat-Backend, einen Klassifizierungsdienst, einen Einbettungsendpunkt, ein internes Modell, auf das ein Partner zugreifen kann.
- Entwerfen Sie die Abfragen. Die Eingangsgrößen werden so gewählt, dass sie die Anforderungen des Modells abdecken.cisIonenraum effizient nutzen, manchmal kombiniert mit prompter Injektion, um reichhaltigere Antworten zu erhalten.
- Ernten Sie die Erträge. Labels, Konfidenzwerte, Logits oder vollständige Textvervollständigungen geben alle Informationen preis. Je aussagekräftiger die Antwort, desto schneller der Diebstahl.
- Schulen Sie den Ersatzmann. Die gesammelten Eingabe- und Ausgabepaare bilden einen Trainingsdatensatz für ein Schattenmodell, das das Original imitiert.
- Nutze den Klon aus. Die Kopie dient dazu, Lizenzkosten zu umgehen, direkt mit anderen Unternehmen zu konkurrieren oder Angriffe offline zu proben, bevor sie am realen Modell durchgeführt werden.
Das Schwierige am Modelldiebstahl ist, dass jede einzelne Anfrage legitim erscheint. Das Signal liegt im Umfang, im Muster und vor allem darin, wo die Anfragen landen.
Warum die üblichen Abwehrmechanismen versagen: die Lagerlücke
Das standard Die Warnung vor einem Modellextraktionsangriff ist berechtigt: Aufrufer authentifizieren, die Anfragerate begrenzen und drosseln, Konfidenzwerte aus den Antworten entfernen, Ausgaben mit einem Wasserzeichen versehen und auf ungewöhnliche Abfragemuster achten. Jede dieser Maßnahmen wird pro Endpunkt angewendet. Genau hier liegt das Problem.
Künstliche Intelligenz dringt mittlerweile schneller in Codebasen ein, als Sicherheitsteams sie nachverfolgen können. Ein Entwickler integriert ein LLM-SDK in einen Microservice. Ein Datenteam stellt ein feinabgestimmtes Modell für ein internes Tool bereit. Ein Agenten-Framework startet seine eigene Serverschicht. Nichts davon durchläuft einen Prüfprozess, und vieles taucht nie in einem API-Gateway oder einer Spezifikationsdatei auf.
Das Ergebnis ist Schatten-KI: Modelle, Agenten und Inferenz-Endpunkte, die produktiv eingesetzt werden, aber in keiner Liste geführt werden. Ein solcher Endpunkt ist weder durch Ratenbegrenzung noch durch Authentifizierungsprüfung oder Überwachung eingeschränkt. Für einen Angriff zur Modellextraktion ist er das ideale Ziel.
OWASP schlägt denselben Weg ein. Zu den Maßnahmen gegen LLM10 zählt die Empfehlung, ein zentrales Verzeichnis von ML-Modellen zu führen. Die Logik ist einfach: Sie können keine Inferenzendpunkte schützen, die Sie nicht inventarisiert haben.
Zuerst eine Bestandsaufnahme: Alle Endpunkte ermitteln, dann schützen.
Ein nützliches KI-Inventar beantwortet für jedes Asset vier Fragen: Was es ist, wo es deklariert ist, mit welchen Systemen es kommuniziert und wie es geschützt wird.
| Inventurfrage | Warum es gegenüber der Modellextraktion von Bedeutung ist |
|---|---|
| Welche Modelle und Inferenzendpunkte existieren? | Jeder nicht aufgeführte Endpunkt ist ein ungeschütztes Extraktionsziel. |
| Wo sind sie im Code deklariert? | Eigentumsverhältnisse: Jemand muss die fehlende Kontrolle beheben. |
| Welche Daten und Werkzeuge sind miteinander verbunden? | Ein mit sensiblen Daten trainiertes Modell ist ein wertvolleres Ziel für Diebe. |
| Welche guardrails und welche Kontrollen gelten? | Zeigt Deckungslücken auf, bevor ein Angreifer sie entdeckt. |
Der beste Ort, um dieses Inventar zu erstellen, ist der Quellcode. Im Code entsteht ein Endpunkt, daher werden KI-Assets im Repository gefunden, bevor sie in der Produktion eingesetzt werden. Außerdem wird jedes Asset mit einem Projekt verknüpft. commitund ein Team, das aus einer Liste konkrete Maßnahmen macht.
Zwei weitere Vorgehensweisen schließen den Kreislauf. Exportieren Sie den Bestand als KI-Stückliste (KI-BOM), damit Governance- und Audit-Teams dasselbe Bild vor Augen haben. Und scannen Sie den Bestand bei jeder Änderung erneut, denn der Bestand ist nur so aktuell wie sein letztes Update.
Wie Xygeni die Lücke schließt, bevor ein Modellextraktionsangriff beginnt
Xygeni KI-Sicherheit Erstellt das KI-Inventar direkt aus dem Quellcode. Es erkennt KI-Modelle, Agenten, KI-Frameworks, MCP-Server und -Tools, gibt Anregungen, guardrailsVektorspeicher, Datensätze, Inferenzendpunkte und KI-Codierungswerkzeuge in Ihren Repositories, einschließlich Modelldateien wie .onnx, .pt und .pklAuch die Beziehungen werden abgebildet: welcher Agent welches Modell verwendet, welche Tools er ausführt und mit welchen Datensätzen er trainiert.
Jedes Asset im KI-Asset-Inventar zeigt seine Modelle und Anbieter, verbundene Datenquellen mit PII-Kennzeichnungen, Schutzmaßnahmen und Governance-Felder wie die Risikokategorie des EU-KI-Gesetzes. Die KI-Graph-Ansicht visualisiert die Verbindungen zwischen Agenten, Modellen, Tools und Datensätzen. Mit einem Klick exportieren Sie eine CycloneDX 1.6 ML-BOM neben Ihrer SBOM und CBOM.
Von der Bestandsaufnahme bis zum Schutz:
- Risikoerkennung gemäß OWASP. Die Detektorpakete decken alle zehn OWASP LLM Top 10 Kategorien ab, einschließlich LLM10 Unbounded Consumption, sodass jedes Ergebnis die Sprache spricht, die Ihre Auditoren verwenden.
- Die Endpunktsteuerung wurde im Code überprüft. Xygeni API-Sicherheit Erkennt API-Endpunkte aus Code und Spezifikationen und kennzeichnet nicht authentifizierte Endpunkte, fehlende Ratenbegrenzung und Schatten-APIs, die von der Spezifikation abgewichen sind.
- Der Nachweis erfolgt über die Lauf-App. Xygeni AI Pentesting testet die bereitgestellte Anwendung und zeigt auf, welche Schwachstellen ausnutzbar sind.
- Schnell reparieren. AI Triage priorisiert KI-Befunde und AI Remediation generiert Lösungsleitfäden für alle zehn OWASP LLM-Kategorien.
Das Ganze läuft als statischer Scan ab in CI/CD oder lokal, mit SaaS, on-premise und Optionen für eine abgeschottete Infrastruktur. Teams, die die semantische Überprüfung intern durchführen müssen, können dies in einem selbstgehosteten Modell tun.
Checkliste zur Verhinderung von Modellextraktionsangriffen
Acht Bedienelemente, der Reihe nach. Die ersten beiden ermöglichen die anderen sechs.
- InventarErfassen Sie jedes Modell, jeden Agenten und jeden Inferenzendpunkt aus dem Quellcode und halten Sie diese Informationen auf dem neuesten Stand. commit.
- EigentumsstrukturWeisen Sie jedem KI-Asset im Inventar einen Verantwortlichen zu.
- AuthentifizierungFür jeden Inferenzendpunkt, einschließlich interner Endpunkte, ist eine Authentifizierung erforderlich.
- RatenbegrenzungRatenbegrenzungen, Quoten und Timeouts pro Anrufer anwenden.
- Minimierung der AusgabemengeGib die minimal benötigte Ausgabe zurück: Lass Konfidenzwerte und Logits weg, wenn die Benutzer sie nicht benötigen.
- ÜberwachungÜberwachen Sie das Anfragevolumen und die Anfragemuster für systematische Untersuchungen.
- WatermarkingErwägen Sie, die Ausgaben hochwertiger, proprietärer Modelle mit einem Wasserzeichen zu versehen.
- GovernanceExportieren Sie eine KI-BOM für Governance und Audit und ordnen Sie die Ergebnisse OWASP LLM10 zu.
Finden Sie Ihre Inferenz-Endpunkte, bevor Angreifer sie finden.
Für einen Modellextraktionsangriff benötigt man nur einen einzigen Endpunkt, den Sie vergessen haben. Finden Sie heraus, welche KI Ihr Code tatsächlich ausführt: Erfahren Sie, wie Xygeni AI Security Ihr KI-Inventar aufbaut. or Demo buchen.
FAQ
Worin besteht der Unterschied zwischen einem Modellextraktionsangriff und einer Modellinversion?
Ein Modellextraktionsangriff kopiert das Modell selbst: sein Verhalten und seine Eigenschaften.cisIonenlogik. Die Modellinversion zielt auf die Trainingsdaten ab und versucht, sensible Datensätze zu rekonstruieren, aus denen das Modell gelernt hat. Beide missbrauchen den Abfragezugriff, aber die Extraktion stiehlt geistiges Eigentum, während die Inversion private Daten preisgibt.
Kann ein Angriff zur Modellextraktion auch LLMs angreifen oder nur klassische ML-Modelle?
Beides. Frühe Forschungsarbeiten konzentrierten sich auf Klassifikatoren hinter Vorhersage-APIs. Heute listet OWASP die Extraktion von Modellen und die funktionale Modellreplikation als LLM-Risiken gemäß LLM10:2025 „Unbegrenzter Konsum“ auf, bei dem ein Angreifer die eigenen Ausgaben eines LLM nutzt, um ein Ersatzmodell zu optimieren.
Wie kann ich feststellen, welche meiner Inferenzendpunkte von Modelldiebstahl betroffen sind?
Erstellen Sie zunächst ein Inventar aus dem Quellcode: Jedes Modell, jeder Agent und jeder Inferenzendpunkt, den Ihre Anwendungen deklarieren. Prüfen Sie anschließend jeden einzelnen auf Authentifizierung, Ratenbegrenzung und Offenlegung der Ausgabe. Xygeni AI Security erkennt KI-Assets in Ihren Repositories und exportiert sie als KI-Stückliste (AI-BOM). Xygeni API Security kennzeichnet Endpunkte, denen Authentifizierung oder Ratenbegrenzung fehlen.
