TL; ДР
Што е напад за екстракција на модел и зошто инвентарот е на прво место
Нападот за извлекување на модел ја копира вашата вештачка интелигенција преку сопственото API. Нема прекршување, нема украдени тежини, нема малициозен софтвер.
- Како работи: Напад за екстракција на модел (исто така наречен кражба на модел или кражба на модел) прашува крајна точка за инференција во голем обем и тренира клон врз основа на одговорите. Според вашите логови, напаѓачот изгледа како голем клиент.
- Каде седи: OWASP ја класифицира екстракцијата на моделот под LLM10:2025 Неограничена потрошувачка и наведува централизиран инвентар на модели меѓу неговите ублажувања.
- Зошто одбраната промашува: Ограничувањата на брзината, автентикацијата и мониторингот ги штитат само крајните точки за кои знаете. Крајните точки на Shadow AI не добиваат ништо од нив.
Првата одбрана: инвентар со вештачка интелигенција на секој модел, агент и крајна точка за инференција што ја открива вашиот код, откриена од изворот пред да се испрати. Не можете да ги заштитите крајните точки за инференција што не сте ги инвентирале.
Вашиот модел може да биде украден без никој да ги допре вашите сервери
Вашиот тим помина месеци во дотерување на модел на сопственички податоци. Тој се наоѓа зад API кое одговара на илјадници барања дневно. Сега замислете конкурент кој ја обновува поголемиот дел од својата вредност за цената на тие API повици.
Тоа е напад со извлекување на модел. Никој не ја нарушува вашата инфраструктура ниту ги презема вашите тежини. Напаѓачот едноставно му поставува на вашиот модел доволно добро избрани прашања, ги евидентира одговорите и обучува копија.
Повеќето тимови го решаваат овој ризик со ограничувања на брзината, автентикација и следење на излезните податоци. Овие контроли функционираат. Но, тие делат една слепа точка: тие ги штитат само крајните точки на инференција за кои знаете дека постојат. Во ова упатство објаснуваме што е напад за екстракција на модел, како функционира кражбата на модел во пракса и зошто секоја одбрана започнува со инвентар.
Што е напад за екстракција на модел?
Напад за екстракција на модел е напад во кој напаѓачот реконструира функционална копија од модел за машинско учење со испраќање барања и учење од неговите излези. Познат е и како кражба на модел или кражба на модел. На напаѓачот никогаш не му се потребни оригиналните тежини, податоците за обука или изворниот код: јавниот интерфејс е доволен.
Идејата не е нова. Истражувачите ја покажаа во споредба со комерцијални API-ја за предвидување во 2016 година (Трамер и др., USENIX безбедност). Во 2024 година, тим од Google DeepMind врати дел од моделот на продукциски јазик преку своето јавно API (Карлини и др.). МИТРЕ АТЛАС го следи истото однесување како непријателска техника против системи со вештачка интелигенција.
За LLM апликации, OWASP ја преклопува кражбата на модели во LLM10:2025 Неограничена потрошувачкаОпишува две варијанти: екстракција преку креирани API барања и функционална репликација, каде што целниот модел генерира синтетички податоци за фино подесување на конкурентски модел.
Напад за екстракција на модел: клучни термини
Истата закана има неколку имиња. Еве што значи секое од нив и каде тие се преклопуваат.
| Терминот | Што значи |
|---|---|
| Напад со извлекување на модел | Реконструирање на однесувањето на моделот од неговите одговори на барањето |
| Кражба на модели / кражба на модели | Вообичаени синоними; кражбата на модели опфаќа и директна кражба на датотеки со тежина |
| Репликација на функционален модел | Користење на излезите од целта како податоци за обука за заменски модел |
| Модел на сенка | Клонот на напаѓачот, обучен да ја имитира целта |
Како функционира нападот за екстракција на модел
Секој напад за екстракција на модел ја следи истата јамка: пронајдете крајна точка, поставете барање до неа во голем обем, обучете копија.
- Пронајдете ја крајната точка. Напаѓачот лоцира API за инференција: бекенд за разговор, услуга за класификација, крајна точка за вградување, внатрешен модел до кој може да стигне партнерот.
- Дизајнирајте ги прашалниците. Влезните податоци се избираат за да се покрие дизајнот на моделот.cisефикасно јонски простор, понекогаш во комбинација со брза инјекција за да се добијат побогати одговори.
- Соберете ги резултатите. Етикетите, резултатите од довербата, логистичките прегледи или дополнувањата на целиот текст, сите тие протекуваат информации. Колку е побогат одговорот, толку е побрза кражбата.
- Обучете ја замената. Собраните влезни и излезни парови стануваат сет за обука за модел на сенка што го имитира оригиналот.
- Експлоатирајте го клонот. Копијата се користи за прескокнување на трошоците за лиценцирање, директно натпреварување или вежбање на непријателски напади офлајн пред да се испукаат кон вистинскиот модел.
Она што го прави кражбата на модели тешко фатлива е тоа што секое барање е легитимно. Сигналот е во јачината на звукот, шемата и, пред сè, во тоа каде пристигнуваат барањата.
Зошто вообичаените одбрани промашуваат: јазот во залихите
на standard Советот против напад со екстракција на модел е добар: автентикација на повикувачите, ограничување на брзината и забавување, намалување на резултатите од довербата од одговорите, воден печат и следење на аномални шеми на барања. Секоја контрола се применува по крајна точка. Токму тука се прекинува.
Вештачката интелигенција сега влегува во базите на кодови побрзо отколку што безбедносните тимови можат да ја следат. Развивач поврзува LLM SDK во микросервис. Тим за податоци изложува фино подесен модел за внатрешна алатка. Рамковниот агент го врти својот сопствен слој за сервисирање. Ниту еден од нив не поминува низ ред за преглед, а многумина никогаш не се појавуваат во API портал или датотека со спецификации.
Резултатот е вештачка интелигенција во сенка: модели, агенти и крајни точки за инференција кои постојат во продукција, но не се на ничија листа. Крајната точка за која никој не знае не добива ограничување на брзината, нема преглед на автентикација и нема мониторинг. За напад со екстракција на модел, таа е идеална цел.
OWASP посочува на ист начин. Меѓу ублажувањата за LLM10, препорачува одржување на централизиран инвентар на ML модели. Логиката е едноставна: Не можете да ги заштитите крајните точки на инференција што не сте ги инвентирале.
Прво инвентар: откријте ја секоја крајна точка, а потоа заштитете ја
Корисен инвентар со вештачка интелигенција одговара на четири прашања за секој ресурс: што е тој, каде е деклариран, со што комуницира и што го штити.
| Прашање за инвентар | Зошто е важно против извлекувањето на модели |
|---|---|
| Кои модели и крајни точки на инференција постојат? | Секоја ненаведена крајна точка е незаштитена цел за екстракција |
| Каде се декларираат во кодот? | Сопственост: некој мора да ја поправи исчезнатата контрола |
| Кои податоци и алатки се поврзани? | Модел обучен на чувствителни податоци вреди повеќе да се украде |
| Што guardrails и дали се применуваат контроли? | Покажува празнини во покриеноста пред напаѓачот да ги пронајде |
Најдоброто место за градење на овој инвентар е во изворниот код. Кодот е местото каде што се раѓа крајната точка, па откривањето на средствата од вештачката интелигенција во складиштето ги наоѓа пред да стигнат до производство. Исто така, го поврзува секој имот со проект, commitи тим, што е она што ја претвора листата во акција.
Уште две навики ја затвораат јамката. Експортирајте го инвентарот како список на материјали со вештачка интелигенција (AI-BOM) за да можат тимовите за управување и ревизија да ја видат истата слика. И повторно скенирајте за секоја промена, бидејќи инвентарот е добар само колку што е добар неговото последно ажурирање.
Како Xygeni го затвора јазот пред да започне нападот за екстракција на моделот
Безбедност на Xygeni AI Го гради инвентарот на вештачка интелигенција директно од изворниот код. Открива модели на вештачка интелигенција, агенти, рамки на вештачка интелигенција, MCP сервери и алатки, инструкции, guardrails, векторски складишта, бази на податоци, крајни точки за инференција и алатки за кодирање со вештачка интелигенција низ вашите складишта, вклучувајќи датотеки со модели како што се .onnx, .pt .pklОдносите се мапирани и: кој агент кој модел го користи, кои алатки ги извршува, на кои множества податоци тренира.
Секој имот во инвентарот на AI средства ги прикажува своите модели и добавувачи, поврзани извори на податоци со PII ознаки, покриеност на заштитна ограда и полиња за управување, како што е категоријата на ризик од Законот за AI на ЕУ. Приказот AI Graph покажува како се поврзуваат агентите, моделите, алатките и множествата податоци. Со еден клик се експортира CycloneDX 1.6 ML-BOM, веднаш до вашиот SBOM и CBOM.
Од инвентар до заштита:
- Детекција на ризик мапирана на OWASP. Пакетите со детектори ги покриваат сите десет категории на OWASP LLM Топ 10, вклучувајќи ја и LLM10 Неограничена потрошувачка, така што секое откритие го зборува јазикот што го користат вашите аудитори.
- Контролите на крајните точки се проверени во кодот. Безбедност на Xygeni API открива крајни точки на API од код и спецификации и означува неавтентифицирани крајни точки, недостасувачко ограничување на брзината и API-ја во сенка што отстапуваат од спецификацијата.
- Доказ на апликацијата што работи. Xygeni AI Pentesting ја тестира распоредената апликација и докажува кои слабости се искористливи.
- Поправи брзо. AI Triage ги приоритизира наодите од AI, а AI Remediation генерира упатства за поправки за сите десет категории на OWASP LLM.
Сето тоа работи како статичко скенирање во CI/CD или локално, со SaaS, on-premise и опции со воздушни празнини. Тимовите на кои им е потребна фазата на семантички преглед да остане интерна работа можат да ја извршуваат на самостоен модел.
Контролна листа за спречување на напади со екстракција на модели - листа за проверка за спречување на напади со екстракција на модели
Осум контроли, по ред. Првите две ги овозможуваат другите шест.
- ИнвентарИнвентаризирајте го секој модел, агент и крајна точка за инференција од изворниот код и одржувајте го ажуриран на секој commit.
- СопственостДоделете сопственик на секое средство со вештачка интелигенција во инвентарот.
- ПроверкаБарај автентикација на секоја крајна точка на инференција, вклучувајќи ги и внатрешните.
- Ограничување на стапкатаПрименувајте ограничувања на цените, квоти и тајмаути по повикувач.
- Минимизирање на излезотВрати го минималниот потребен излез: отстрани ги резултатите од довербата и логистиките таму каде што на корисниците не им се потребни.
- МониторингСледете го обемот на барања и шемите за систематско испитување.
- Водени жиговиРазмислете за воден печат на излезни податоци за високовредни сопственички модели.
- ВладеењеЕкспортирај AI-BOM за управување и ревизија и мапирај ги наодите во OWASP LLM10.
Пронајдете ги вашите крајни точки за заклучување пред напаѓачите да го сторат тоа
Нападот за екстракција на модел бара само една крајна точка што сте ја заборавиле. Дознајте каква вештачка интелигенција всушност извршува вашиот код: видете како Xygeni AI Security го гради вашиот инвентар со вештачка интелигенција, or резервирај демо.
NAJČESTO POSTAVUVANI PRAŠANJA
Која е разликата помеѓу напад за екстракција на модел и инверзија на модел?
Нападот за екстракција на модел го копира самиот модел: неговото однесување и деформацијаcisјонска логика. Инверзијата на моделот ги таргетира податоците за обука, обидувајќи се да реконструира чувствителни записи од кои моделот учел. И двата го злоупотребуваат пристапот до барањата, но екстракцијата краде интелектуална сопственост, додека инверзијата протекува приватни податоци.
Може ли напад со екстракција на модели да ги таргетира LLM-ите или само класичните ML модели?
И двете. Раните истражувања ги насочија класификаторите зад API-јата за предвидување. Денес, OWASP ги наведува екстракцијата на модели и репликацијата на функционалниот модел како ризици од LLM според LLM10:2025 Неограничена потрошувачка, каде што напаѓачот ги користи сопствените излези на LLM за да ја дотера замената.
Како да знам кои од моите крајни точки на инференција се изложени на кражба на модел?
Започнете со инвентар изграден од изворен код: секој модел, агент и крајна точка за инференција што ја декларираат вашите апликации. Потоа проверете го секој од нив за автентикација, ограничување на брзината и изложеност на излез. Xygeni AI Security открива AI средства низ вашите складишта и ги извезува како AI-BOM, а Xygeni API Security ги означува крајните точки на кои им недостасува автентикација или ограничување на брзината.
