该论文针对 Node.js/NPM 生态中恶意包泛滥、软件供应链攻击频发的问题，提出了一套名为 DistillGuard 的轻量级恶意 NPM 包检测框架。作者指出，恶意代码主要在包安装、导入（import）和运行时三个阶段被触发，而现有防御手段各有短板：传统静态分析无法理解代码语义，容易漏报语义化混淆或逻辑型后门；基于机器学习的方法依赖人工特征工程，面对攻击者不断演化的手法会出现概念漂移，模型效果随时间衰减；直接调用大语言模型（LLM）的方案虽然语义理解能力强，但存在调用成本高、需将源码/内部数据外传带来的数据安全与合规风险，且实际检测性能并不理想。 DistillGuard 的核心思路是把静态图语义分析与 LLM 知识蒸馏结合起来。流程上分为三步：第一，通过三个静态分析模块从包中提取多粒度特征（如代码结构、依赖关系、调用图等层面的信息），为后续判断提供语义化输入；第二，借助在线 LLM 对样本进行安全知识蒸馏，生成高质量的安全知识与结构化标签，相当于用大模型充当“标注与知识提炼教师”；第三，使用 LoRA 对开源 Qwen3-8B 模型进行高效微调，使蒸馏得到的能力落到本地可离线部署的小体量模型上，从而规避在线调用成本与数据外泄风险。 实验结果显示，DistillGuard 达到 95.3% 的准确率、99.4% 的精确率和 93.8% 的 F1 值，优于当前最先进的工具，相较基线在 F1 上提升 11.1 至 30.0 个百分点。论文的实证研究还刻画了恶意攻击所处的不同阶段以及恶意行为的分布情况，并归纳出八类典型的 API 攻击链，为 NPM 供应链安全防御提供了可操作的参考。适合从事软件供应链安全、包仓库治理、恶意代码检测与 LLM 安全应用的读者阅读。

本文针对黑盒大语言模型（LLM）的蒸馏攻击防御问题展开研究。蒸馏攻击指攻击者通过查询API接口获取教师模型输出，并训练学生模型来复制其能力。近期研究提出输出扰动防御方法，通过修改教师模型输出降低学生模型性能，同时保持对合法用户的可用性。然而，作为较新的防御家族，输出扰动防御缺乏统一的威胁模型，导致难以比较不同方法、评估其与其他攻击的组合效果，或验证其对真实世界攻击者的鲁棒性。这种威胁模型不完备会带来安全隐患：当防御被用于保护知识产权或满足监管合规要求时，模糊的威胁模型可能造成虚假的安全感。作者提出一个三维威胁模型框架，将攻击者能力描述为：查询预算（API调用次数）、数据预算（训练学生模型的数据量）以及接口配置文件（攻击者与API的交互方式）。以anti-distillation采样为案例，作者展示防御是否有效取决于假定的威胁模型。论文主张，未来的蒸馏防御研究以及基于其构建的治理或政策框架，应明确指定并压力测试攻击者在三个维度上的能力。