无需已知架构的神经网络密码分析式提取

当天发生了什么

2026-09-13（UTC），Yantian Shen、Yi Chen、Anyu Wang、Hongbo Yu 与 Xiaoyun Wang 在 arXiv 提交了论文 v1（v2 于 2026-09-19 提交）。密码分析式模型提取的目标是通过黑盒查询重建与受害模型功能等价的副本，以往攻击通常假设网络结构已知、只恢复参数。论文针对 ReLU 全连接网络提出一种“猜测并确定”的框架，同时恢复结构（深度与各隐藏层维度）和参数。作者在差分式提取过程中识别出两类与结构相关的痕迹：签名恢复得到的合并权重向量末尾的一串零，其长度指示隐藏层维度；以及基于原像的符号恢复中仅在真实维度出现的相等模式。论文还给出识别倒数第二层及其维度的方法，并在扩张型和非扩张型 ReLU 网络上演示了端到端攻击，作者称这是首次在不假设已知结构的情况下对深层网络实现功能等价提取。

对保护应用逻辑的人意味着什么

越来越多的应用把模型作为核心资产：要么随安装包分发在端侧，要么通过接口提供推理。常见的直觉是“只开放查询、不公开结构”就足以保护模型。这篇论文针对的恰是这个直觉：在其研究范围内，隐藏结构不再是必要的门槛。需要准确说明边界：论文只研究 ReLU 全连接网络，我们不对其他模型类型下结论；摘要也没有给出查询量等成本数据。对于随应用分发的模型文件，问题更直接——它们本身就在对方设备上，应视为可获取，保护重点在于模型之外的数据、流程和服务端能力。

可以做的检查

第一，盘点应用中的所有模型：哪些随安装包分发，哪些通过接口提供，各自的商业价值有多大。第二，对随包分发的模型，按“可被获取”来规划，把高价值模型或其关键部分留在服务端。第三，审视推理接口返回的信息量，例如是否需要返回完整的数值输出，能否只返回产品需要的结果。第四，为推理接口配置频率限制和异常查询监控，并在服务条款中明确禁止模型提取。

行动清单

• 盘点随包分发与接口提供的模型及其价值
• 随包模型按“可获取”规划，高价值部分留服务端
• 审视推理接口返回的信息量并加频率限制