本文提出了一种针对机器学习模型的新型隐私攻击——代码投毒属性推断攻击（CPPIA），这是首个在代码层面实施的属性推断攻击。现有属性推断攻击存在攻击性能不足、模型准确率严重下降、计算开销大、在防御下失效等四大局限性。CPPIA 利用代码托管平台（如GitHub）和编码代理（如Codex）上恶意代码提供者的投毒行为，攻击者将秘密样本中嵌入目标属性，数据持有者在下载被投毒的代码后，使用自己的私有数据训练模型，并发布仅标签API。攻击者通过查询训练后模型对这些秘密样本的预测，即可推断训练集的全局属性（如性别比例、疾病分布等）。实验在四个数据集、八种模型架构、十八种属性以及三种防御机制下进行，结果显示CPPIA实现了100%的攻击准确率，且未降低模型准确率。该方法计算轻量，无需影子模型。论文详细描述了攻击流程、属性嵌入技术、以及对抗多种防御（如差分隐私、对抗训练、模型剪枝）的能力，证明了其通用性和有效性。该研究揭示了代码供应链在隐私安全中的新风险，对ML模型训练工作流的安全性提出了挑战。