该论文是一篇系统性综述 (SoK), 聚焦于一个长期被分散讨论的安全议题: 可解释人工智能 (XAI) 所输出的解释信息, 如何反过来成为攻击者窃取模型机密与训练数据隐私的入口。作者指出, 机器学习解释原本用于提升模型透明度, 但它揭示的是预测之外的模型内部行为, 因此天然扩大了对模型机密性 (model confidentiality) 与数据隐私 (data privacy) 的攻击面。论文系统梳理了 25 项利用解释信息实施模型窃取 (model extraction)、成员推断 (membership inference) 与模型反演 (model inversion) 的研究, 并将属性推断 (attribute inference) 视为模型反演的部分形式统一纳入分析框架。 论文的核心批评是: 现有工作往往只用黑盒 / 白盒二分法来标注威胁模型, 这种标签掩盖了关键差异 —— 攻击者究竟通过什么途径获得解释信号, 以及获得的是哪种解释信号。为此作者提出两层解耦: 把"对模型的先验知识"与"解释信息的获取方式"分开, 并归纳出五条解释获取路径: 目标方主动发布 (target-released)、攻击者自行推导 (attacker-derived)、二次披露 (secondary disclosure)、特权访问 (privileged access)、以及公开发布的全局产物 (released global artifacts)。 沿这五条路径, 论文给出了机制层面的结论: 解释可以显著降低模型抽取的成本; 通过解释统计量、追索距离 (recourse distance) 以及解释引导的鲁棒性信息, 会暴露成员信号; 解释还可支撑对私有输入的空間或代数重建。随后论文在多维度上对研究进行横向对比, 包括系统与威胁模型、解释信号类型、辅助知识、目标模型、数据模态、查询预算、评估指标、报告性能以及防御手段。 最重要的结论是: 不存在"一律不安全"的解释族, 也不存在"普遍有效"的防御。风险高低取决于四个变量 —— 暴露的是哪种信号、信号如何被获取、攻击目标是什么资产、以及攻击者已掌握哪些先验知识。作者因此主张把"解释隐私"当作端到端的信息披露问题来评估, 并让防御措施与具体的获取路径和被保护资产相匹配, 而不是笼统地禁用或信任某一类解释方法。该文适合 XAI 研究者、ML 隐私与模型安全工程师、以及需要评估第三方解释服务 (如解释 API) 风险的安全架构师阅读。

本文针对人脸识别系统中的模型逆向攻击（Model Inversion Attacks, MIAs）提出了一种新的两阶段白盒攻击方法——Steering Flow Model Inversion (SFMI)。模型逆向攻击旨在从训练好的识别模型中重建目标身份的典型训练样本，从而暴露敏感隐私信息。现有方法通常依赖间接或高度随机的引导，难以稳定地优化生成轨迹以逼近目标人脸图像。SFMI 将逆向问题重新定义为轨迹引导任务，分为两步：第一步，学习一个通用的流匹配先验（Flow Matching Prior），通过预训练一个无条件的流匹配模型来编码人脸流形，作为稳健的先验；第二步，使用渐进式引导调度器（Progressive Guidance Scheduler, PGS），在采样过程中注入随时间变化的目标特定梯度。通过反向传播目标模型，从中间生成状态获取梯度，PGS 逐步将自适应引导信号注入向量场，从而将生成流从随机噪声有效引导至目标类别的高密度区域。在 CelebA 数据集上采用身份不相交的交叉评估设置，以 ArcFace 为目标模型时，SFMI 达到了 0.9248 的准确率（ACC）、22.61 的 FID 和 0.3874 的 LPIPS。多个目标模型上的大量实验表明，在白盒协议下，SFMI 在攻击成功率和视觉保真度上均达到了具有竞争力的最新水平。该研究揭示了流匹配生成模型在模型逆向攻击中的潜力，同时也提醒防御者关注此类新型攻击对隐私安全的威胁。适合计算机视觉、人工智能安全以及隐私保护领域的研究人员阅读。

本文针对 AI 供应链中开源组件被篡改导致的数据泄露问题，提出了一种名为 GradLock 的新型训练时注入攻击。传统模型反演攻击依赖训练后优化，受限于模型泛化瓶颈，难以在高维数据集上恢复具体身份特征。GradLock 在受损供应链场景下，通过无状态确定性索引在模型参数中建立隔离的数据保管库，并利用动态梯度锁定机制保护注入的敏感训练数据在优化过程中不退化。攻击者无需保留训练环境访问权，即可从最终模型中近乎无损地提取像素级数据。实验在 MNIST、Imagenette 和 CelebA 数据集上验证，SSIM 接近 1.0，提取时间小于 1 秒，显著优于现有训练时注入方法。同时，该方法对量化、剪枝、微调等标准部署优化表现出较强的鲁棒性。作者还进行了用户部署研究，93.3% 的参与者未能检测到恶意逻辑，揭示了当前 AI 供应链安全存在严重的盲点。该研究对依赖开源组件和第三方训练流程的组织构成潜在隐私威胁，呼吁从业者重新审视 AI 生态系统的信任边界。

随着边缘设备（如手机）计算能力提升和隐私要求日益严格，越来越多的深度学习应用选择在边缘端预处理敏感原始数据，再将提取的特征传输到云端进行后续处理。面部识别服务是典型例子，它需要从不同个人的面部图像中提取特征。为了防止身份信息在传输或云端被窃取，传统方法通常采用对抗博弈的方式从特征中剥离身份信息。然而，这类方法无法有效抵御自适应攻击——即攻击者针对已知防御策略采取反制措施。本文提出 Crafter，一种部署在边缘端的特征加工机制。其核心防御思路是误导攻击者使其陷入非私有的先验信息，从而几乎无法从攻击中获取关于用户私人身份的信息。换而言之，加工后的特征对于自适应更新模型攻击者而言扮演了中毒训练样本的角色。实验中，Crafter 成功抵御了基本攻击和多种自适应攻击变体，而当前最先进的基于对抗博弈的方法均无法达到同等效果。该方法不依赖预设攻击模型，具有较强的泛化能力。

本文研究了联邦学习（FL）中的一种新型攻击：中央化“取走训练数据”（TATD）攻击。传统的TATD攻击利用深度模型的记忆能力存储并恢复训练数据，但在联邦学习环境中，多客户端平均聚合可能会覆盖编码后的数据，使得攻击难以实现。为此，作者提出了FedCVESA方法，这是相关值编码攻击（CVEA）的联邦变体。该方法假设恶意服务器选择n个目标客户端，通过向目标客户端的损失函数添加皮尔逊相关正则化项，将私有训练数据逐步编码到选定的模型参数（称为载体参数）中。为了减少服务器聚合时载体参数被覆盖，作者进一步提出对分散的载体参数进行分段聚合，保留选定的载体参数，同时对其余参数进行标准平均。在MNIST、Fashion-MNIST和CIFAR-10数据集上，基于狄利克雷非独立同分布划分的实验表明，该方法能够在保持可接受主任务效用的前提下，从训练好的模型中窃取语义上可识别的私有训练图像。这些结果证明，在所研究的白盒恶意服务器设置下，联邦学习可以成为主动TATD攻击的参数级记忆通道。

联邦学习（Federated Learning）因其能够保护参与者数据隐私而闻名。然而，近期出现的模型逆向攻击（Model Inversion Attacks, MIAs）表明，恶意的参数服务器可以从模型更新中重建用户的本地数据样本。现有的最先进攻击要么依赖计算密集型的迭代优化方法来重建每个输入批次，导致难以扩展；要么需要恶意参数服务器在全局模型架构前添加额外模块，使得攻击过于显眼且容易被检测。为了克服这些局限，本文提出了Scale-MIA，一种新型的模型逆向攻击，能够高效且准确地从聚合模型更新中重建本地训练样本，即使系统受到鲁棒的安全聚合（Secure Aggregation, SA）协议保护。Scale-MIA利用模型的内部架构，将潜在空间（Latent Space）识别为破坏隐私的关键层。它将复杂的重建任务分解为创新的两步过程：第一步，利用精心设计的线性层，通过闭式反演机制从聚合模型更新中重建潜在空间表示（LSRs）；第二步，将LSRs输入微调后的生成式解码器，重建整个输入批次。作者在常用机器学习模型上实现了Scale-MIA，并在多种设置下进行了全面实验。结果表明，与最先进的MIAs相比，Scale-MIA在不同数据集上均取得了优异的性能，在更大规模下表现出高重建率、高准确性和高攻击效率。代码已开源。