AI 的模型盜竊：為什麼有人能偷你的模型
二、模型盜竊的六大常見手法
接下來談具體手法。這些方法在學術論文裡大多有對應名稱，在真實世界裡則常常混搭使用。理解它們的運作方式，是設計防禦的第一步。
1. API 大量查詢與模型萃取（Model Extraction）
這是最經典、也最常被討論的一種。攻擊者把你的模型當成一個黑箱函數 f(x) → y，透過精心設計的輸入查詢，蒐集大量輸入輸出配對，再用這些配對訓練一個「學生模型」。依照攻擊目標不同，可以分成幾類：
實務上，攻擊者不一定需要「完整」複製。很多時候只要複製到 80% 的能力，就足以在市場上打出「功能差不多、價格只要三分之一」的產品。而你的模型卻要承擔被稀釋的品牌價值與定價壓力。
2. 知識蒸餾式抄襲（Distillation Attack）
知識蒸餾本來是模型壓縮的正當技術：用大模型（教師）的輸出當軟標籤，訓練小模型（學生）。但同一套技術也可以被反向使用——攻擊者用你的模型當教師，用公開資料或自行生成的資料當輸入，蒸餾出一個小模型，然後宣稱那是「自研模型」。
這種手法之所以難防，是因為它在技術上與正常的模型壓縮幾乎無法區分。你很難證明對方「抄了你的輸出分布」，除非你能取得對方的訓練資料或模型，而這通常需要司法程序才有機會。這也是為什麼很多模型授權合約會特別寫明「不得將本服務輸出用於訓練競爭模型」，但實際上舉證極其困難。
3. 權重檔案外洩與內部人員風險
再怎麼強的技術防護，都擋不住一把被帶走的硬碟。模型權重外洩的常見途徑包括：離職員工帶走訓練腳本與 checkpoint、外包標註或外包維運人員取得過高權限、雲端儲存設定錯誤導致公開可讀、Git 儲存庫誤 commit 大檔、以及第三方 MLOps 平台的安全漏洞。
這類事件往往不是「高明攻擊」，而是「基本衛生」問題。很多團隊在程式碼上會做 code review、會掃描密鑰，但對模型檔案的存取控制卻相當鬆散，理由是「模型檔太大，不好管」。這種心態正是風險來源。
4. 供應鏈與第三方套件攻擊
AI 生態高度依賴開源：PyTorch、Transformers、diffusers、各種模型 hub 上的預訓練權重、資料處理套件、推論加速框架。這條供應鏈上任何一環被污染，都可能導致模型或訓練資料外洩。常見手法包括：
.pt、.pkl 格式上尤其明顯，也是近年社群推動 safetensors 等安全格式的主要原因。供應鏈攻擊的可怕之處在於，它不需要直接面對你的模型，就能取得你的權重、訓練資料或雲端憑證。對中型團隊來說，這往往是最現實的威脅模型。
5. 提示詞與系統指令洩漏
對 LLM 應用來說，「模型」不只是權重，還包括系統提示（system prompt）、工具定義、檢索流程、護欄規則。這些東西構成產品差異化的重要部分，但透過提示詞注入（prompt injection）或反覆追問，攻擊者有機會讓模型吐出系統指令、內部規則，甚至繞過護欄取得不該給的內容。
嚴格說，這不是「偷權重」，但它偷的是你花大量時間調校出來的「模型行為設計」。對以 prompt engineering 為核心競爭力的產品來說，這種洩漏的商業傷害不亞於權重外流。
6. 側信道與硬體層攻擊
這一類相對小眾，但在高價值場景（例如邊緣裝置上的模型、國防或金融等級應用）確實存在。攻擊者可能透過量測推論時的功耗、電磁輻射、執行時間差異，推斷模型結構或參數；也可能透過記憶體側信道、GPU 共享環境的資源隔離漏洞，取得其他租戶的模型片段。這類攻擊技術門檻高，但一旦成功，通常難以察覺。
對多數 SaaS 團隊來說，這一層不是首要風險，但如果你把模型部署在多租戶 GPU 環境、或把模型放進使用者可物理接觸的裝置，就必須把它放進威脅模型裡。
三、為什麼你的模型特別容易被偷？四個結構性原因
講完手法，來談「為什麼這件事這麼難防」。很多團隊不是不重視，而是發現防禦成本極高、效果有限。這背後有幾個結構性原因。
模型即服務（MaaS）讓攻擊面變成公開的
傳統軟體的防盜版，至少還能靠序號、硬體綁定、混淆程式碼。但模型即服務的商業模式，本質上就是「把模型能力開放給不特定人查詢」。你越成功、API 越好用、文件越完整，攻擊者越容易取得高品質的查詢樣本。這是一個內建的矛盾：服務越開放，萃取越容易；服務越封閉，商業價值越低。
而且 API 通常有速率限制與計費，但這些設計是為了資源管理，不是為了防禦萃取。攻擊者可以透過多帳號、分散 IP、控制查詢節奏，把萃取行為藏進正常流量裡。對多數團隊來說，要在不誤傷正常使用者的前提下偵測這種「低速長期」的攻擊，技術難度相當高。
開源生態的雙面刃
開源讓模型開發的門檻大幅降低，也讓攻擊者更容易理解你的系統。如果你的模型是基於某個公開架構微調而來，攻擊者可以先用公開模型當起點，再用你的 API 輸出做微調，效率比從零開始高得多。這也是為什麼「微調型產品」在模型盜竊面前的防禦力，通常比「從零訓練的專有架構」更弱。
反過來說，開源也提供了一些防禦工具：模型浮水印、指紋技術、查詢偵測框架，多數都是從學術社群開始，再逐步產品化。關鍵是團隊要有意識地去採用。
防護成本與商業誘因嚴重不對稱
對攻擊者來說，萃取一個模型的成本可能只是幾千到幾萬美元的 API 費用，加上一些工程時間；但對防禦者來說，要做查詢異常偵測、模型浮水印、存取控制、合約救濟，成本可能是數十萬美元起跳，而且不保證有效。這種不對稱，讓很多團隊選擇「先接受風險，等真的出事再說」。
這不是單純的短視。對新創來說，把資源放在產品成長往往比放在防盜更合理。但如果你的模型是核心競爭力、且已經進入企業採購流程，客戶的資安問卷遲早會問到這一塊，屆時才補救，成本更高。
法律定義落後於技術現實
目前多數司法管轄區對「模型」的法律性質還沒有統一見解。模型權重可能被視為營業秘密、電腦程式的一部分、或單純的資料；模型萃取行為可能涉及不正競爭、契約違反、或著作權爭議，但具體適用哪一條，往往取決於個案事實與法院態度。這種不確定性，讓防禦方在事後救濟上處於劣勢。
合約是目前最實用的工具：在 API 使用條款中明確禁止「用於訓練競爭模型」、禁止「系統性擷取輸出」、要求揭露自動化查詢行為，並保留終止服務與求償權利。但合約的效力取決於對方是否在乎法律風險，對於匿名或境外攻擊者，效果有限。
四、真實世界的案例與產業現況
講理論容易讓人覺得遙遠，來談一些產業現況。必須說明的是，很多企業不會公開承認「我們的模型被偷了」，因此公開案例往往來自學術研究、資安事件報告或訴訟文件，而非企業主動揭露。
從論文到產品：模型萃取研究的演進
模型萃取的研究大約從 2016 年前後開始受到關注，早期聚焦在影像分類模型，證明只要少量查詢就能訓練出高準確度的替代模型。此後研究方向逐步擴展到：
這些研究成果後來被產業吸收，成為資安廠商提供「模型防護」服務的基礎，也成為攻擊者優化手法的參考。學術與實務之間的距離，在這件事上比想像中短。
企業實際遭遇的樣態
根據資安社群與產業訪談中常見的描述，企業實際遇到的模型盜竊事件，多半不是電影式的駭客入侵，而是以下幾種：
這些樣態告訴我們一件事：模型盜竊不是單一技術問題，而是「技術 + 人員 + 流程 + 合約」的綜合風險。只補技術，會漏掉人為與流程的破口；只簽合約，則對匿名攻擊者毫無約束力。
五、被偷之後：損失有多大？
很多人會問：模型被偷，到底損失多少？這很難給出單一數字，因為損失的樣態很多，而且很多是間接的。可以從幾個角度來看：
更關鍵的是「看不見的損失」：你可能永遠不會知道自己的模型被蒸餾過。對手不會宣傳「我們抄了某家的模型」，而你的 API 日誌也不會主動告訴你「這批查詢是在做萃取」。這種資訊不對稱，讓很多企業在狀況外持續投入研發，卻看著市場被低價替代品侵蝕。
六、防禦策略：技術、合約與治理三層防線
談防禦，要先建立一個現實認知：沒有辦法讓模型「絕對偷不走」，只能讓偷的成本變高、讓被偷的痕跡變清楚、讓事後追訴變可行。以下從技術、合約、治理三個層面來看。
技術層：水印、指紋與查詢監控
技術防禦可以分成「事前標記」與「事後偵測」兩大類：
這些技術不是萬靈丹，但組合起來可以大幅提高攻擊成本。實務上，建議先從「查詢監控 + 存取控制 + 供應鏈安全」做起，因為這三項成本相對低、效益直接；浮水印與指紋則適合已經有明確智財保護需求的團隊。
合約與存取控制
合約是最容易被低估的防線。建議在 API 使用條款與企業合約中明確規範：
禁止使用服務輸出訓練競爭模型或進行模型萃取。
要求揭露自動化查詢用途，並保留對異常流量終止服務的權利。
約定稽核權，允許在合理懷疑時檢查使用行為。
明確模型權重、提示設計、評測資料的智慧財產歸屬。
合約無法阻止匿名攻擊，但對於商業對手與企業客戶有實質約束力，也為事後求償建立基礎。同時，內部存取控制要與合約配套：誰能下載權重、誰能改提示、誰能看日誌，都應該有明確規範與審計。
治理與應變
治理層面包括風險評估、事件應變與供應商管理。具體做法：
把「模型盜竊」納入企業風險登記簿，定期評估高價值模型的暴露程度。
建立模型資產清單，標記哪些是核心智財、哪些是一般資產，對核心資產採取較嚴格的存取與監控。
制定事件應變流程：發現疑似萃取時，如何蒐證、如何調整速率限制、是否需要法律介入。
對第三方供應商（雲端、MLOps、標註商）進行安全評估，並在合約中要求通報義務。
治理聽起來很「軟」，但它決定了技術與合約能不能真正落地。很多團隊不是沒有工具，而是沒有流程去使用這些工具。
七、未來趨勢：模型盜竊會變得更難還是更容易？
這個問題的答案可能是「兩者同時發生」。一方面，防禦技術在進步：模型浮水印、指紋鑑識、查詢異常偵測、安全模型格式、以及各國對 AI 智財的法制討論，都在逐步成熟。雲端廠商也開始提供模型保護相關服務，讓中小團隊更容易採用。
但另一方面，攻擊面也在擴大。模型越來越常被部署到邊緣裝置、開源模型生態越來越龐大、LLM 的輸出越來越有價值、攻擊工具與研究成果的擴散速度也越來越快。當「蒸餾一個模型」的成本持續下降，模型盜竊就會從「高階攻擊」變成「日常風險」，就像今天的帳號盜用與資料外洩一樣。
對企業來說，比較務實的態度是：不要期待「完全防住」，而是建立「被偷了會知道、知道了能反應、反應了能留痕」的能力。這包括技術監控、合約設計、內部治理與法律準備。聽起來不性感，但這才是多數團隊真正需要的基本功。
八、結語：模型是資產，就該用資產的方式管理
回到開頭那個論壇問題：「只開放 API，不給權重檔，這樣安全嗎？」答案是：比直接給權重安全，但遠遠不夠。API 是一扇門，門開著就會有人進出，問題是你有沒有裝監視器、有沒有門禁紀錄、有沒有在合約裡寫清楚「不得把這裡當成免費訓練資料來源」。
AI 模型盜竊之所以值得討論，不是因為它聽起來很酷，而是因為它暴露了多數團隊在 AI 治理上的空白：我們花很多力氣訓練模型，卻花很少力氣保護模型；我們在意準確率與延遲，卻很少在意「這個模型是不是正在被有系統地學走」。
如果你正在打造以模型為核心的產品，建議從今天開始做三件事：第一，盤點你的模型資產，分清哪些是核心智財；第二，檢查 API 日誌與存取權限，看看有沒有異常查詢或過寬權限；第三，把「禁止模型萃取」寫進使用條款，並建立事件應變流程。這三件事不需要龐大預算，卻能顯著提高你的防禦水位。
模型是資產。既然是資產，就該用資產的方式管理——有清單、有權限、有監控、有合約、有應變。這不是為了製造恐慌，而是為了讓投入大量心血的研發成果，不至於在無聲無息中被搬走。毕竟，在這個 AI 快速商品化的時代，能保護好自己模型的人，才有資格談長期競爭。