随着图神经网络（GNN）被广泛以机器学习即服务（MLaaS）的形式对外提供 API，模型窃取攻击已成为关键安全威胁：攻击者仅通过查询受害模型的黑盒接口，就能训练出一个功能等价的替代（代理）模型，从而窃取专有知识产权并危及依赖该模型的下游安全机制。然而，论文指出现有 GNN 窃取研究普遍建立在过于宽松的假设之上，例如假设 API 返回软标签（置信度向量）、允许极大的查询预算、可获取整图的查询权限，以及事先知晓受害模型所用的骨干网络结构；这些条件在真实部署中往往并不成立。为此，作者形式化了一个严格受限的威胁模型：黑盒、仅硬标签输出、骨干无关（backbone-agnostic），且查询预算紧张。在这一现实约束下，论文识别出四个相互纠缠的根本性挑战：（1）局部子图稀疏且存在孤立节点，导致从受害模型获得的标签质量低下；（2）硬标签带来的监督信号严重不足；（3）查询样本类别覆盖不全，造成系统性的类别不平衡；（4）代理模型与受害模型的骨干结构不匹配。为同时化解这些障碍，作者提出 Dagger——一种基于解耦思想的两阶段攻击框架。第一阶段：使用解耦的信息传播机制预训练代理模型，在稀疏的局部子图上保留结构上下文，并妥善处理孤立节点；同时引入流形层面的节点 mixup，合成连续的监督信号以平滑决策边界、缓解硬标签信息量不足的问题。第二阶段：冻结已训练好的编码器，仅对分类头进行微调，采用类别平衡采样配合 logit 调整（logit adjustment）来纠正严重的查询类别不平衡，且无需额外查询受害模型。在四个基准图数据集和四种 GNN 骨干网络上的大量实验表明，Dagger 一致优于当前最先进的 GNN 窃取方法，保真度最高提升 18.16%，而使用的查询次数比最强基线少 12.23 倍。论文适合关注 AI 供应链安全、模型知识产权保护、MLaaS 威胁建模与防御的研究者与安全工程师阅读。

本文针对机器学习即服务（MLaaS）中机器遗忘（machine unlearning）与推理服务之间的交互缺陷展开研究。MLaaS 基于从众多数据所有者收集的数据训练模型，提供低延迟的推理服务。为满足数据保护法规中的“被遗忘权”（RTBF），现有机器遗忘方法能够根据数据所有者的删除请求从已训练模型中移除其数据影响。然而，几乎现有方法都将遗忘请求与推理请求独立处理，这引入了新的安全问题：推理服务过时（inference service obsolescence）以及隐私泄露风险。当模型参数因遗忘更新后，若推理服务未同步调整，可能导致服务行为异常或泄露已删除数据的信息。为此，作者提出 ERASER 框架，一种推理服务感知的机器遗忘方法。其核心思路是在处理遗忘请求时，同时考虑推理服务的状态和依赖，确保模型更新后推理服务仍然正确且不会暴露已遗忘数据。该方法有望在不牺牲效率的前提下，同时保障数据遗忘的合规性和推理服务的可靠性。论文主要贡献包括：形式化定义推理服务感知的遗忘问题，设计 ERASER 架构，并可能在真实 MLaaS 环境中验证其有效性。本文适合从事隐私保护机器学习、MLaaS 架构设计、合规性工程以及安全研究的人员阅读。由于当前仅基于论文摘要，尚未获取实验细节，因此具体性能指标和实现方案有待进一步查阅原文。