1. 课程导入
在机器学习工程实践中，模型上线往往被视为项目的终点，但从数据安全与模型治理的视角看，它恰恰是风险暴露的起点。攻击者可以通过反复调用模型接口，观察输出置信度、损失值或生成内容的细微差异，反推出训练数据中是否包含某条敏感样本，甚至重建出接近原始训练样本的内容。这类威胁被称为训练数据防泄漏问题，而特征血缘正是识别、追踪与阻断这类泄漏的核心方法论。本章作为全课程的导入，将帮助学习者建立完整的知识坐标系，明确后续30章的学习路径与能力目标。
一、学习目标
本课程面向算法工程师、数据安全工程师、模型风控人员以及AI合规从业者，围绕“特征血缘”与“训练数据防泄漏”两条主线展开。完成本课程后，学习者应达到以下四个层次的目标：
- 认知层：理解特征血缘的定义、构成要素及其在MLOps体系中的位置，能够区分数据血缘、特征血缘与模型血缘的边界与联系。
- 原理层：掌握成员推理攻击、属性推理攻击、模型反演攻击与数据提取攻击的基本原理，理解泄漏发生的数学条件与信息论基础。
- 方法层：能够设计并实现特征血缘追踪链路，包括特征版本标识、变换算子记录、依赖图构建与影响分析。
- 实战层：能够针对典型场景部署防泄漏策略，如差分隐私训练、特征脱敏、输出扰动、查询审计与访问控制，并完成泄漏风险评估报告。
二、核心概念
在进入技术细节之前，需要先厘清几个贯穿全课程的核心概念。它们之间的关系决定了后续方法流程的设计逻辑。
| 概念 | 定义 | 关键作用 |
|---|---|---|
| 特征血缘 | 描述特征从原始数据到模型输入之间经过的所有变换、依赖与版本关系 | 定位敏感特征来源，支撑泄漏溯源 |
| 训练数据防泄漏 | 防止攻击者通过模型输出反推训练集中敏感信息的技术与流程集合 | 保护隐私、满足合规、降低模型滥用风险 |
| 成员推理攻击 | 判断某条样本是否存在于训练集中 | 最基础的泄漏验证手段 |
| 差分隐私 | 通过噪声注入使单条样本对模型输出的影响有界 | 提供可量化的隐私保证 |
| 特征脱敏 | 在特征生成阶段对敏感字段进行泛化、扰动或加密 | 从源头降低泄漏价值 |
其中，特征血缘是贯穿全课程的主线。它不仅记录“特征来自哪张表”，还记录“经过了哪些算子”“被哪些模型消费”“影响了哪些线上服务”。没有血缘，泄漏发生后只能被动响应；有了血缘，才能实现分钟级定位与影响面评估。
三、整体框架与知识地图
本课程共30章，按照“基础认知—原理剖析—血缘构建—防泄漏实战—治理复盘”五个阶段递进。下图展示了课程的整体知识结构与章节之间的依赖关系，帮助学习者建立全局视角。
从图中可以看出，课程并非线性罗列知识点，而是以“血缘”为经、“防泄漏”为纬，逐步从概念认知走向工程治理。阶段一至阶段二解决“是什么”和“为什么”，阶段三解决“怎么建”，阶段四解决“怎么防”，阶段五解决“怎么持续改进”。
四、典型场景与常见误区
为了让学习者更直观地理解课程价值，这里给出一个典型场景。某金融风控团队使用用户交易流水、设备指纹和征信报告训练反欺诈模型。模型上线后，攻击者通过批量调用评分接口，结合输出分数变化，成功推断出某位用户是否在训练集中，进而确认其曾在该平台申请过贷款。事后复盘发现，团队虽然对原始数据做了加密存储，但特征工程阶段将“近30天申请次数”直接作为强特征输入模型，且未记录该特征的血缘路径，导致无法快速定位泄漏源头。
本课程后续章节将围绕这些误区逐一拆解，并提供可落地的检查清单与代码示例。例如，在特征血缘采集环节，可以使用如下配置片段记录一次特征变换：
{
"feature_id": "user_apply_cnt_30d",
"source_table": "ods_user_apply_log",
"transform_ops": [
{"op": "filter", "condition": "dt >= date_sub(current_date, 30)"},
{"op": "groupby", "keys": ["user_id"]},
{"op": "count", "target": "apply_cnt"}
],
"version": "v2.3.1",
"owner": "risk_feature_team",
"sensitivity": "high"
}该配置不仅记录了特征来源，还标注了敏感级别与负责人，为后续泄漏影响面评估提供了关键元数据。在实战章节中，我们将基于类似结构构建完整的血缘图谱，并演示如何通过图查询快速回答“哪些模型使用了该敏感特征”以及“该特征被哪些线上服务消费”。
五、本章小结与学习准备
本章作为课程导入，明确了学习目标、核心概念与整体框架。学习者需要重点建立三个认知：第一，特征血缘是防泄漏治理的基础设施，而非可选项；第二，训练数据防泄漏需要覆盖数据采集、特征工程、模型训练、推理服务全链路；第三，防泄漏不是一次性任务，而是需要持续监控、审计与迭代的工程体系。