2、AI安全基础：AI系统的攻击面分析、AI安全与传统安全的区别、AI安全威胁模型

好，咱们进入正题。这一章是地基，打不牢后面全白搭。我见过太多团队，上来就搞对抗样本、搞模型窃取，结果连攻击面都没摸清楚，最后被人家从数据管道捅了个窟窿。嗯，咱们今天就把AI安全的基础彻底捋一遍。

说白了，攻击面就是你能从哪些地方“捅刀子”。传统系统攻击面无非是网络端口、Web接口、数据库这些。但AI系统不一样，它多出了几个全新的维度。

我个人习惯把AI系统的攻击面分成四个层面：

数据层面：训练数据、测试数据、标注数据、数据管道。这是最容易被忽视的。我曾经在项目中遇到过，攻击者通过污染公开数据集，让模型在特定场景下完全失效。
模型层面：模型文件、模型参数、模型结构。模型文件本身就是一个可执行程序，你想想看，如果被人篡改了权重文件会怎样？
基础设施层面：训练集群、推理服务器、GPU资源、存储系统。这些和传统安全类似，但AI场景下资源消耗大，更容易被利用做挖矿或者DDoS。
应用层面：API接口、前端交互、日志系统。这里最常见的就是提示注入（Prompt Injection），我去年审计过一个AI客服系统，攻击者通过构造特殊输入直接绕过了内容过滤。

核心观点：AI系统的攻击面不是传统攻击面的简单叠加，而是产生了全新的攻击维度。数据管道和模型文件这两个点，传统安全工程师往往没有概念，这是最大的盲区。

很多人问我：“AI安全不就是传统安全加了个模型吗？” 我每次听到这个问题都想叹气。完全不是一回事。

咱们用一张表来对比，这样更直观：

为什么会这样？我举个例子你就明白了。传统安全里，SQL注入你通过参数化查询就能防住。但在AI安全里，对抗样本攻击——比如在图片上贴一个肉眼看不见的贴纸，模型就把“停车牌”识别成“限速牌”——这种攻击你没法用规则去防御。因为它攻击的是模型的数学本质，不是代码逻辑。

我的经验：做AI安全，千万别用传统安全的思维去套。我曾经带过一个从Web安全转过来的同事，他总想着用WAF去拦截对抗样本，结果发现根本拦不住。因为对抗样本在像素层面和正常图片几乎没有区别。

威胁模型，说白了就是“谁、在什么时候、用什么方法、攻击你的什么资产”。我个人习惯用STRIDE模型做变体，针对AI场景做了调整。

这里我给出一个适用于AI系统的威胁模型框架：

S - 欺骗（Spoofing）：攻击者伪装成合法用户或合法数据源。比如伪造训练数据注入到数据管道中。
T - 篡改（Tampering）：修改模型参数、权重文件、训练脚本。我曾经在红队演练中，通过修改一个PyTorch的checkpoint文件，让模型在推理时输出完全相反的结果。
R - 抵赖（Repudiation）：攻击者否认自己的恶意行为。AI系统里，模型的可解释性不足导致你很难追溯“这个错误输出是谁导致的”。
I - 信息泄露（Information Disclosure）：模型参数泄露、训练数据泄露、推理结果泄露。模型反转攻击就是典型，攻击者可以通过API接口逐步还原出训练数据中的隐私信息。
D - 拒绝服务（Denial of Service）：通过大量复杂请求耗尽推理服务器的计算资源。AI模型的计算开销比传统API大得多，一个精心构造的输入可能让GPU跑满几分钟。
E - 权限提升（Elevation of Privilege）：攻击者通过模型漏洞获取系统控制权。比如通过反序列化漏洞加载恶意模型文件，直接拿下服务器。

避坑指南：我曾经在评估一个金融风控AI系统时，发现他们的威胁模型里完全没有考虑“数据投毒”这个场景。结果呢？攻击者通过注入少量恶意样本，让模型对某些特定用户的信用评分产生了系统性偏差。这个漏洞直到上线三个月后才被发现，修复成本高得吓人。

最后，我建议你在做AI安全评估时，一定要画一张攻击树图。从数据采集、数据清洗、模型训练、模型部署、模型推理，每个环节都列出可能的攻击路径。你会发现，AI系统的攻击面比传统系统至少多出30%以上。

嗯，这一章的内容就到这里。记住一句话：AI安全不是传统安全的子集，而是一个全新的战场。下一章咱们会深入讲对抗样本攻击的具体手法和防御策略。