TL; DR
Cos'è un attacco di estrazione del modello e perché l'inventario viene prima di tutto
Un attacco di estrazione del modello copia la tua IA tramite la sua API. Nessuna violazione, nessun furto di pesi, nessun malware.
- Come funziona: Un attacco di estrazione del modello (chiamato anche furto di modello) interroga un endpoint di inferenza su larga scala e addestra un clone utilizzando le risposte. Nei log, l'attaccante appare come un utente che utilizza intensamente il sistema.
- Dove si trova: OWASP classifica l'estrazione del modello sotto LLM10:2025 Consumo illimitato e annovera tra le misure di mitigazione un inventario centralizzato dei modelli.
- Perché le difese falliscono: Limiti di frequenza, autenticazione e monitoraggio proteggono solo gli endpoint noti. Gli endpoint di Shadow AI non ne beneficiano.
La prima difesa: Un inventario AI di ogni modello, agente ed endpoint di inferenza esposto dal tuo codice, rilevato dal codice sorgente prima della sua distribuzione. Non è possibile proteggere gli endpoint di inferenza che non sono stati inventariati.
Il tuo modello può essere rubato senza che nessuno tocchi i tuoi server.
Il tuo team ha impiegato mesi a perfezionare un modello basato su dati proprietari. Questo modello è protetto da un'API che risponde a migliaia di richieste al giorno. Ora immagina un concorrente che ricostruisce gran parte del suo valore al costo di quelle chiamate API.
Si tratta di un attacco di estrazione del modello. Nessuno viola la tua infrastruttura o scarica i tuoi pesi. L'attaccante si limita a porre al tuo modello un numero sufficiente di domande ben selezionate, registra le risposte e addestra una copia.
La maggior parte dei team affronta questo rischio con limitazioni di frequenza, autenticazione e monitoraggio dell'output. Questi controlli funzionano. Ma presentano un punto debole: proteggono solo gli endpoint di inferenza di cui si conosce l'esistenza. In questa guida spieghiamo cos'è un attacco di estrazione del modello, come funziona il furto di modelli nella pratica e perché ogni difesa inizia con un inventario.
Che cos'è un attacco di estrazione del modello?
Un attacco di estrazione del modello è un attacco in cui un avversario ricostruisce una copia funzionale di un modello di apprendimento automatico inviandogli delle query e apprendendo dai suoi output. È anche noto come furto di modello. L'attaccante non ha mai bisogno dei pesi originali, dei dati di addestramento o del codice sorgente: è sufficiente l'interfaccia pubblica.
L'idea non è nuova. I ricercatori l'hanno dimostrata contro le API di previsione commerciali nel 2016 (Tramèr e altri, USENIX Security). Nel 2024, un team di Google DeepMind ha recuperato parte di un modello linguistico di produzione tramite la sua API pubblica (Carlini et al.). ATLANTE MITRE traccia lo stesso comportamento di una tecnica avversaria contro i sistemi di intelligenza artificiale.
Per le applicazioni LLM, OWASP integra il furto di modelli in LLM10:2025 Consumo illimitatoDescrive due varianti: l'estrazione tramite query API appositamente create e la replica funzionale, in cui il modello di destinazione genera dati sintetici per perfezionare un modello concorrente.
Attacco di estrazione del modello: termini chiave
La stessa minaccia è nota con diversi nomi. Ecco cosa significa ognuno di essi e in quali punti si sovrappongono.
| Termine | Cosa significa |
|---|---|
| attacco di estrazione del modello | Ricostruire il comportamento di un modello a partire dalle sue risposte alle query. |
| furto di modelli / furto di modelli | Sinonimi comuni; il furto di modelli comprende anche il furto diretto di file di peso |
| Replicazione del modello funzionale | Utilizzo degli output del target come dati di addestramento per un modello sostitutivo |
| Modello ombra | Il clone dell'attaccante, addestrato a imitare il bersaglio |
Come funziona un attacco di estrazione del modello
Ogni attacco di estrazione del modello segue lo stesso ciclo: trovare un endpoint, interrogarlo su larga scala, addestrare una copia.
- Trova il punto finale. L'attaccante individua un'API di inferenza: un backend di chat, un servizio di classificazione, un endpoint di embedding, un modello interno accessibile a un partner.
- Progetta le query. Gli input vengono scelti per coprire la de del modellocisspazio ionico efficiente, a volte combinato con iniezione immediata per ottenere risposte più ricche.
- Raccogli i risultati. Etichette, punteggi di affidabilità, logit o completamento automatico del testo sono tutti elementi che divulgano informazioni. Più ricca è la risposta, più rapido è il furto.
- Addestra il sostituto. Le coppie di input e output raccolte diventano un set di addestramento per un modello ombra che imita l'originale.
- Sfrutta il clone. La copia viene utilizzata per evitare i costi di licenza, competere direttamente o testare attacchi avversari offline prima di lanciarli sul modello reale.
Ciò che rende difficile individuare il furto di modelli è che ogni singola richiesta è legittima. Il segnale risiede nel volume, nello schema e, soprattutto, nella destinazione delle richieste.
Perché le difese tradizionali falliscono: il divario di inventario
Migliori standard I consigli per contrastare un attacco di estrazione di modelli sono validi: autenticare i chiamanti, limitare la frequenza delle richieste e la velocità di accesso, rimuovere i punteggi di affidabilità dalle risposte, applicare watermark agli output e monitorare la presenza di modelli di query anomali. Ogni controllo viene applicato per ogni endpoint. Ed è proprio qui che si verifica il problema.
L'intelligenza artificiale si insinua ormai nei codebase più velocemente di quanto i team di sicurezza riescano a monitorarla. Uno sviluppatore integra un SDK LLM in un microservizio. Un team di dati espone un modello ottimizzato per uno strumento interno. Un framework per agenti avvia il proprio livello di servizio. Nessuna di queste operazioni passa attraverso una coda di revisione e molte non compaiono mai in un gateway API o in un file di specifica.
Il risultato è un'IA ombra: modelli, agenti ed endpoint di inferenza che esistono in produzione ma non compaiono in nessuna lista. Un endpoint di cui nessuno è a conoscenza non è soggetto a limiti di utilizzo, a verifiche di autenticazione e a monitoraggio. Per un attacco di estrazione di modelli, è il bersaglio ideale.
Anche OWASP indica la stessa direzione. Tra le sue misure di mitigazione per LLM10, raccomanda di mantenere un inventario centralizzato dei modelli di machine learning. La logica è semplice: Non è possibile proteggere gli endpoint di inferenza che non sono stati inventariati.
Prima di tutto, fai un inventario: scopri ogni endpoint, poi proteggilo.
Un inventario di intelligenza artificiale efficace risponde a quattro domande per ogni risorsa: cos'è, dove è dichiarata, con cosa comunica e cosa la protegge.
| Domanda sull'inventario | Perché è importante rispetto all'estrazione del modello |
|---|---|
| Quali modelli e endpoint di inferenza esistono? | Ogni endpoint non elencato è un obiettivo di estrazione non protetto |
| Dove vengono dichiarati nel codice? | Responsabilità: qualcuno deve riparare il controllo mancante |
| Quali dati e strumenti sono collegati? | Un modello addestrato su dati sensibili ha un valore maggiore da rubare |
| Quale guardrails e si applicano i controlli? | Mostra le lacune nella copertura prima che un attaccante le trovi |
Il posto migliore per costruire questo inventario è nel codice sorgente. Il codice è dove nasce un endpoint, quindi scoprire le risorse AI nel repository le trova prima che raggiungano la produzione. Collega inoltre ogni risorsa a un progetto, un commite un team, che è ciò che trasforma una lista in azione.
Due ulteriori abitudini completano il ciclo. Esportare l'inventario come distinta base generata dall'intelligenza artificiale (AI-BOM) in modo che i team di governance e audit abbiano una visione d'insieme uniforme. E ripetere la scansione a ogni modifica, perché l'inventario è valido solo quanto lo è al momento del suo ultimo aggiornamento.
Come Xygeni colma il divario prima che inizi un attacco di estrazione del modello
Xygeni AI Security crea l'inventario dell'IA direttamente dal codice sorgente. Scopre modelli di IA, agenti, framework di IA, server e strumenti MCP, prompt, guardrails, archivi vettoriali, set di dati, endpoint di inferenza e strumenti di codifica AI nei tuoi repository, inclusi file modello come .onnx, .pt and .pklVengono mappate anche le relazioni: quale agente utilizza quale modello, quali strumenti esegue, su quali set di dati si addestra.
Ogni risorsa nell'inventario delle risorse AI mostra i suoi modelli e fornitori, le fonti di dati connesse con flag PII, la copertura dei guardrail e i campi di governance come la categoria di rischio dell'Atto AI dell'UE. La vista Grafico AI mostra come agenti, modelli, strumenti e set di dati sono connessi. Esporta con un clic un ML-BOM di CycloneDX 1.6, accanto al tuo SBOM e CBOM.
Dall'inventario alla protezione:
- Rilevamento dei rischi mappato su OWASP. I pacchetti di rilevamento coprono tutte e dieci le categorie OWASP LLM Top 10, inclusa LLM10 Consumo illimitato, in modo che ogni rilevamento parli il linguaggio utilizzato dai vostri auditor.
- Controlli dell'endpoint verificati nel codice. Sicurezza dell'API Xygeni Individua gli endpoint API a partire dal codice e dalle specifiche e segnala gli endpoint non autenticati, la mancanza di limitazione della frequenza delle richieste e le API ombra che si discostano dalle specifiche.
- Prova sull'app in esecuzione. Xygeni AI Pentesting testa l'applicazione distribuita e dimostra quali vulnerabilità sono sfruttabili.
- Riparare velocemente. La fase di triage dell'IA assegna priorità ai risultati dell'IA, mentre la fase di correzione dell'IA genera indicazioni per la risoluzione di tutti e dieci i casi delle categorie OWASP LLM.
Tutto viene eseguito come una scansione statica in CI/CD o localmente, con SaaS, on-premise e opzioni air-gapped. I team che necessitano di eseguire la fase di revisione semantica internamente possono farlo su un modello self-hosted.
Lista di controllo per la prevenzione degli attacchi di estrazione del modello
Otto comandi, in ordine. I primi due rendono possibili gli altri sei.
- InventarioInventariare ogni modello, agente ed endpoint di inferenza dal codice sorgente e mantenerlo aggiornato su ogni commit.
- ProprietàAssegna un proprietario a ciascuna risorsa IA presente nell'inventario.
- AutenticazioneRichiedere l'autenticazione su ogni endpoint di inferenza, inclusi quelli interni.
- Limitazione della velocitàApplica limiti di frequenza, quote e timeout per ciascun chiamante.
- Minimizzazione della produzioneRestituisci solo l'output minimo necessario: ometti i punteggi di confidenza e i logit laddove gli utenti non ne abbiano bisogno.
- ControlloMonitorare il volume e i modelli delle query per un'analisi sistematica.
- watermarkingSi consiglia di valutare l'applicazione di watermark agli output di modelli proprietari di alto valore.
- Governance LPIEsporta una distinta base basata sull'IA per la governance e l'audit e mappa i risultati su OWASP LLM10.
Trova i tuoi endpoint di inferenza prima che lo facciano gli aggressori
Un attacco di estrazione del modello richiede solo un endpoint che hai dimenticato. Scopri quale IA esegue realmente il tuo codice: scopri come Xygeni AI Security crea il tuo inventario di IA, or prenota una demo.
FAQ
Qual è la differenza tra un attacco di estrazione del modello e un'inversione del modello?
Un attacco di estrazione del modello copia il modello stesso: il suo comportamento ecisLogica ionica. L'inversione del modello prende di mira i dati di addestramento, cercando di ricostruire i record sensibili da cui il modello ha appreso. Entrambi i metodi abusano dell'accesso alle query, ma l'estrazione ruba la proprietà intellettuale mentre l'inversione divulga dati privati.
Un attacco di estrazione del modello può colpire i modelli LLM o solo i modelli di machine learning classici?
Entrambi. Le prime ricerche si concentravano sui classificatori alla base delle API di previsione. Oggi OWASP elenca l'estrazione del modello e la replica del modello funzionale come rischi LLM nell'ambito dello standard LLM10:2025 Consumo illimitato, in cui un attaccante utilizza gli output di un LLM per perfezionare un sostituto.
Come faccio a sapere quali dei miei endpoint di inferenza sono esposti al furto di modelli?
Inizia con un inventario creato a partire dal codice sorgente: ogni modello, agente ed endpoint di inferenza dichiarato dalle tue applicazioni. Quindi, verifica per ognuno di essi l'autenticazione, la limitazione della frequenza delle richieste e l'esposizione dell'output. Xygeni AI Security individua le risorse AI nei tuoi repository e le esporta come AI-BOM, mentre Xygeni API Security segnala gli endpoint privi di autenticazione o limitazione della frequenza delle richieste.
