开篇故事：一场精心策划的“模型克隆”攻击
上个月，我接到一个朋友的紧急求助。他是一家金融科技公司的首席安全官，他们的反欺诈模型部署在Intel SGX飞地中，并且通过了远程证明。
按理说这是“铁桶”般的安全方案，但奇怪的是，竞争对手的产品在短短两周内竟然复现了他们模型90%以上的决策逻辑。
“我们的模型参数被偷了？”他紧张地问。
我让他把日志发过来。仔细分析后，我发现了一个致命问题：虽然攻击者无法直接读取飞地内的模型权重，但他们通过精心构造的输入（对抗样本），反复查询模型输出，利用“模型窃取攻击”成功逆向出了决策边界。
本质上，他们不是偷走了参数，而是“学会了”参数的行为。
这就好比你家保险箱的密码没人知道，但小偷每天站在门口记录你开门的次数和声音，最终完美复制了一把钥匙。你保护了“模型参数”本身，却没保护“模型行为”。
痛点拆解：你以为的“安全”可能只是幻觉
常见误区1：只要数据加密+飞地保护，模型就安全了
很多开发者认为，把模型放在SGX里，输入输出都加密，攻击者就无计可施。但模型窃取攻击的核心是通过API查询获取输入-输出对，然后训练一个替代模型。
即使飞地内的推理过程完全加密，攻击者依然能获得最终结果。
