Fogalomtár › Biztonság

modellkinyerés

angolul: model extraction (model stealing)

Olyan támadás, amelyben valaki rengeteg kérdést tesz fel egy MI-modellnek, és a válaszaiból megépíti annak utánzatát – az eredeti fejlesztés költségének töredékéért.

Érthetően

Képzeld el, hogy egy híres étterem titkos receptjét akarod megszerezni, de a konyhába nem jutsz be. Ezért hónapokon át végigrendeled az étlapot, mindent megkóstolsz, jegyzetelsz, és otthon addig kísérletezel, amíg a te ételed is ugyanolyan ízű lesz. A receptet nem láttad, mégis lemásoltad a lényeget. A modellkinyerés ugyanez, csak MI-modellel.

A nagy MI-modellek betanítása rengeteg pénzbe, adatba és számítási kapacitásba kerül, ezért a cégek a modell belsejét üzleti titokként őrzik. Te csak kérdezhetsz tőle, a válasz mögötti „gépezetet” nem látod. A támadó éppen ezt a kérdezési lehetőséget használja ki: a sok ezer vagy sok millió kérdés–válasz párból tanítja be a saját másolatát.

Ez nem betörés a hagyományos értelemben. A támadó nem tör fel szervert és nem lop el fájlt, csak a nyilvános szolgáltatást használja, de nem arra, amire szánták. Emiatt nehéz észrevenni és jogilag is nehéz megfogni.

Hogyan működik

1. A támadó hozzáférést szerez a célmodellhez, jellemzően előfizetéssel vagy programozói felületen (API-n) keresztül, gyakran sok álfiókkal, hogy ne tűnjön fel.
2. Gondosan megtervezett kérdések tömegét küldi be automatizáltan, hogy a modell tudásának és viselkedésének minél nagyobb részét lefedje.
3. Összegyűjti a válaszokat, és ezekből tananyagot készít: minden kérdéshez ott a „helyes megoldás”, amelyet az eredeti modell adott.
4. Ezen a tananyagon betanít egy saját, általában kisebb modellt, amely megtanulja utánozni az eredetit. Ezt a tanítási módszert desztillációnak hívják.
5. A kész másolatot saját termékként használja vagy árulja, vagy gyakorlópályának használja, hogy további támadásokat próbáljon ki az eredeti modell ellen.

Példa a mindennapokból

Kit érint

Gyakori félreértés

Korlátok és kockázatok

• Tökéletes védelem nincs: amíg egy modell válaszol a kérdésekre, a válaszaiból tanulni is lehet, a védekezés csak drágítja és lassítja a támadást.
• A kinyert másolat szinte mindig gyengébb az eredetinél, főleg a ritka, bonyolult feladatokban.
• Nehéz bizonyítani, hogy egy modell másolat, mert két rendszer hasonló viselkedése önmagában nem bizonyíték.
• A védekezés a tisztességes felhasználókat is érinti: a lekérdezési korlátok és a szűkített válaszok neked is kényelmetlenséget okozhatnak.

Hasonló, de nem ugyanaz

• tudásdesztilláció – A desztilláció bevett, legális technika, amikor valaki a saját vagy engedéllyel használt nagy modellből készít kisebbet; modellkinyerés akkor lesz belőle, ha más modelljén, engedély nélkül végzik.
• tanítóadat-kinyerés – Ott a támadó a modellbe „beleégett” eredeti tanítóadatokat (például személyes adatokat) akarja visszanyerni, nem a modell képességeit lemásolni.
• modellsúlyok ellopása – Az klasszikus adatlopás, amikor betöréssel vagy belső szivárogtatással magát a modellfájlt viszik el, nem pedig kérdezgetéssel építenek utánzatot.

Kapcsolódó fogalmak

Röviden a története

A jelenséget 2016-ban Florian Tramèr és szerzőtársai tették ismertté, amikor megmutatták, hogy felhős gépi tanulási szolgáltatások modelljei pusztán lekérdezésekkel lemásolhatók. 2024-ben Nicholas Carlini és társai kimutatták, hogy éles, kereskedelmi nyelvi modellek egyetlen rétege (az utolsó) pontosan kiszámítható pusztán API-lekérdezésekből. 2025–2026-ban több nagy MI-cég, köztük az OpenAI és az Anthropic, nyilvánosan beszámolt a modelljei ellen irányuló, tömeges desztillációs kísérletekről.

Hol tart most

2026 végére a kutatólaborokból a mindennapi üzleti és geopolitikai vitákba került: a nagy MI-cégek nyilvánosan beszámolnak a modelljeik ellen irányuló, tömeges desztillációs kísérletekről. A védekezés (fiókszűrés, mintafigyelés, lekérdezési korlát) a szolgáltatók alapfelszereltségévé vált, de megnyugtató megoldás nincs.

Állapot: 2026. november

Más nevei

modellkinyerés · modell-lopás · modellextrakció · modellklónozás · model extraction · model stealing · model theft · distillation attack

Források

• Tramèr et al.: Stealing Machine Learning Models via Prediction APIs (2016)
• Carlini et al.: Stealing Part of a Production Language Model (2024)
• NIST AI 100-2: Adversarial Machine Learning – A Taxonomy and Terminology of Attacks and Mitigations

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.