3. 安全威胁与风险分析

金融模型服务的安全风险，往往不是单点漏洞，而是“身份—权限—数据—模型—可用性”这条链路上的系统性失守。威胁建模的价值，在于把零散的安全担忧转化为可枚举、可排序、可验证的风险清单，让后续的鉴权与审计设计有明确靶心。本节围绕五类典型威胁，给出结构化的建模方法与落地要点。

核心原理：以资产为中心，沿攻击路径展开

威胁建模的底层逻辑是“资产—入口—路径—影响”。金融模型服务的核心资产包括：模型权重与超参数、训练与推理数据、与令牌、审计日志、算力资源。攻击者要触达这些资产，必须经过身份认证、权限校验、数据访问、模型调用、资源调度等环节。因此，建模时应先锁定资产，再反向推导攻击者可能利用的入口与路径。

五类威胁的本质可归纳为：身份伪造是“你是谁”被攻破；越权访问是“你能做什么”被突破；数据泄露是“你看到了什么”被外泄；模型窃取是“模型本身”被复制或逆向；拒绝服务是“服务能否持续”被破坏。它们并非孤立，身份伪造常是越权访问的前置条件，数据泄露又可能为模型窃取提供训练样本或结构信息。

方法流程：五步威胁建模法

面向金融模型服务，推荐采用“资产识别—攻击面枚举—威胁映射—风险评级—控制映射”五步法。每一步都要求产出可审计的文档，而非停留在讨论层面。

1. 资产识别：列出模型文件、数据集、密钥、日志、GPU 资源，标注机密性、完整性、可用性等级。
2. 攻击面枚举：梳理所有对外接口、内部调用链、第三方依赖、运维通道，形成入口清单。
3. 威胁映射：将五类威胁与具体入口对应，例如“模型推理接口 → 模型窃取”“管理后台 → 越权访问”。
4. 风险评级：按“可能性 × 影响”打分，区分高、中、低风险，优先处理高风险项。
5. 控制映射：为每项威胁匹配鉴权、审计、限流、加密等控制措施，形成整改清单。

案例/场景：一次模型窃取的完整链路

某金融风控模型通过公开 API 提供评分服务。攻击者先通过撞库获得一个低权限令牌（身份伪造），随后利用接口未校验模型版本参数，批量调用并记录输入输出（越权访问 + 数据泄露），再通过大量查询结果训练替代模型（模型窃取），最后在高峰期发起高频请求耗尽推理配额（拒绝服务）。

该链路说明：单一控制点失效会引发连锁反应。若在入口处强制多因素认证、在接口层做模型版本与租户隔离、在审计层记录异常调用频次，就能在多个环节切断攻击链。

# 审计日志中识别模型窃取行为的典型特征
{
  "event": "model_inference",
  "tenant_id": "T-1024",
  "_id": "tok_9f3a...",
  "model_version": "v3",
  "input_hash": "a1b2c3...",
  "output_hash": "d4e5f6...",
  "latency_ms": 42,
  "timestamp": "2025-03-18T10:22:31Z",
  "anomaly_flags": ["high_frequency", "diverse_inputs", "single_tenant"]
}

误区/复盘：威胁建模常见的四个偏差

• 只盯外部攻击：内部人员越权、误操作、供应链投毒同样高频，需纳入建模范围。
• 威胁清单一次性：模型迭代、接口变更、依赖升级都会引入新攻击面，建模应随版本更新。
• 评级凭感觉：缺少量化标准会导致高风险项被低估，建议用统一评分表。
• 控制措施与威胁脱节：每项控制都应能回答“它缓解了哪条威胁路径”，否则就是无效控制。