本文提出了一种新型的AI供应链攻击方法GradLock，针对现有模型反演攻击在训练后优化中面临的泛化瓶颈问题。传统模型反演技术通常依赖从模型输出中迭代恢复私有数据，但在高维数据集上往往只能得到通用特征，难以还原特定身份信息。GradLock将攻击时机前移至训练阶段：在开源组件被篡改的供应链场景下，攻击者可将特定的敏感训练数据通过注入方式直接编码进模型参数。其核心机制包括无状态确定性索引，用于建立隔离的‘数据保险库’，以及动态梯度锁定技术，防止模型优化过程中注入数据的‘负载退化’。该设计使得攻击者在完成模型训练后无需保留任何训练环境访问权限，即可从最终的模型权重中提取出像素级精度的原始数据。实验在MNIST、Imagenette和CelebA数据集上进行，GradLock实现了近无损重建（SSIM约1.0），并且单次提取时间小于1秒。与已有的训练时注入方法相比，该攻击对量化、剪枝和微调等常见部署优化表现出更强的鲁棒性。此外，一项用户部署研究显示，93.3%的参与者未能察觉模型中的恶意逻辑，这突显了当前AI供应链在安全审计方面的严重盲区。从防御视角看，该研究揭示了开源组件被劫持后可能导致的训练数据精确泄露风险，强调了模型训练过程完整性验证、供应链可信审计以及部署后隐私评估的重要性，为AI安全防御体系提供了新的威胁建模依据。

随着边缘设备（如手机）计算能力提升和隐私要求日益严格，越来越多的深度学习应用选择在边缘端预处理敏感原始数据，再将提取的特征传输到云端进行后续处理。面部识别服务是典型例子，它需要从不同个人的面部图像中提取特征。为了防止身份信息在传输或云端被窃取，传统方法通常采用对抗博弈的方式从特征中剥离身份信息。然而，这类方法无法有效抵御自适应攻击——即攻击者针对已知防御策略采取反制措施。本文提出 Crafter，一种部署在边缘端的特征加工机制。其核心防御思路是误导攻击者使其陷入非私有的先验信息，从而几乎无法从攻击中获取关于用户私人身份的信息。换而言之，加工后的特征对于自适应更新模型攻击者而言扮演了中毒训练样本的角色。实验中，Crafter 成功抵御了基本攻击和多种自适应攻击变体，而当前最先进的基于对抗博弈的方法均无法达到同等效果。该方法不依赖预设攻击模型，具有较强的泛化能力。

本文研究了联邦学习（FL）中的一种新型攻击：中央化“取走训练数据”（TATD）攻击。传统的TATD攻击利用深度模型的记忆能力存储并恢复训练数据，但在联邦学习环境中，多客户端平均聚合可能会覆盖编码后的数据，使得攻击难以实现。为此，作者提出了FedCVESA方法，这是相关值编码攻击（CVEA）的联邦变体。该方法假设恶意服务器选择n个目标客户端，通过向目标客户端的损失函数添加皮尔逊相关正则化项，将私有训练数据逐步编码到选定的模型参数（称为载体参数）中。为了减少服务器聚合时载体参数被覆盖，作者进一步提出对分散的载体参数进行分段聚合，保留选定的载体参数，同时对其余参数进行标准平均。在MNIST、Fashion-MNIST和CIFAR-10数据集上，基于狄利克雷非独立同分布划分的实验表明，该方法能够在保持可接受主任务效用的前提下，从训练好的模型中窃取语义上可识别的私有训练图像。这些结果证明，在所研究的白盒恶意服务器设置下，联邦学习可以成为主动TATD攻击的参数级记忆通道。

联邦学习（Federated Learning）因其能够保护参与者数据隐私而闻名。然而，近期出现的模型逆向攻击（Model Inversion Attacks, MIAs）表明，恶意的参数服务器可以从模型更新中重建用户的本地数据样本。现有的最先进攻击要么依赖计算密集型的迭代优化方法来重建每个输入批次，导致难以扩展；要么需要恶意参数服务器在全局模型架构前添加额外模块，使得攻击过于显眼且容易被检测。为了克服这些局限，本文提出了Scale-MIA，一种新型的模型逆向攻击，能够高效且准确地从聚合模型更新中重建本地训练样本，即使系统受到鲁棒的安全聚合（Secure Aggregation, SA）协议保护。Scale-MIA利用模型的内部架构，将潜在空间（Latent Space）识别为破坏隐私的关键层。它将复杂的重建任务分解为创新的两步过程：第一步，利用精心设计的线性层，通过闭式反演机制从聚合模型更新中重建潜在空间表示（LSRs）；第二步，将LSRs输入微调后的生成式解码器，重建整个输入批次。作者在常用机器学习模型上实现了Scale-MIA，并在多种设置下进行了全面实验。结果表明，与最先进的MIAs相比，Scale-MIA在不同数据集上均取得了优异的性能，在更大规模下表现出高重建率、高准确性和高攻击效率。代码已开源。