🤖 AI

FlowGuard: Flow Matching for Identity-Independent Detection of Data-Free Model Stealing Attacks on Energy System Intrusion Detection Systems

该论文提出了 FlowGuard，一种用于能源系统入侵检测系统的身份无关防御机制，它利用流匹配技术，通过将合成查询识别为基于其低维流形结构的分布外数据，来检测无数据模型窃取攻击。

原作者： Maxime Schwarzer, Laurin Holz, Tobias Huerten, Johannes Loevenich, Thies Moehlenhof, Roberto Rigolin F. Lopes, Veit Hagenmeyer

发布于 2026-06-03

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Maxime Schwarzer, Laurin Holz, Tobias Huerten, Johannes Loevenich, Thies Moehlenhof, Roberto Rigolin F. Lopes, Veit Hagenmeyer

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

核心概览：窃取保安的“大脑”

想象一位高度精密的保安（AI 系统）正在保护一座发电厂。这位保安非常擅长识别入侵者。然而，一名小偷想要窃取这位保安的“大脑”（AI 模型），以便制造一个伪造的版本。

为什么要这么做？因为有了这个伪造版本，小偷就可以在秘密状态下进行练习。他们可以摸索出究竟如何才能在不被发现的情况下绕过真实的保安。这被称为模型窃取攻击（Model Stealing Attack）。

问题的关键在于，小 thief 不需要成为天才，也不需要拥有保安原始的训练手册。他们只需要通过计算机自动生成成千上万个问题来询问保安，例如：“这张图片是猫还是狗？”或者“这种流量模式是正常的还是攻击？”

旧有的抓捕方式（以及它们为何失败）

论文解释说，之前的安全系统尝试通过两种方式来捕捉这些小偷，但两者都存在巨大的漏洞：

“身份证件”法 (PRADA)： 该系统观察的是“谁”在提问。如果一个人连续问了 1,000 个问题，听起来就很可疑。
- 缺陷： 小偷可以使用“女巫攻击”（Sybil Attack）。他们创建 100 个虚假身份（比如 100 个不同的电子邮箱地址），并将问题分配给他们。现在，没有任何一个人看起来很可疑，安全系统就会让他们全部通过。论文显示，当小偷这样做时，该方法的有效性会降至 0%。
“混乱答案”法 (Prediction Poisoning)： 该系统试图给出略微错误或令人困惑的答案，以干扰他们的伪造模型。
- 缺陷： 许多现实世界的安全系统（保安）只给出简单的“是/否”回答（硬标签/Hard Label）。它们并不具备让这种技巧奏效所需的详细概率得分。

新的解决方案：FlowGuard

作者提出了一种名为 FlowGuard 的新防御机制。FlowGuard 不再检查“谁”在提问，而是检查“问题本身是什么样的”。

类比：“真实 vs 伪造”之河

想象合法的网络流量（正常数据）是一条宽阔、深邃且流动的河流。AI 保安被训练来识别这条河流中流淌的一切。

合法的查询： 这些就像是从河床中捡起的自然形状的石头。它们完美地融入了河流的流动之中。
小偷的查询： 小偷使用计算机从“噪声”（随机静态信号）中生成问题。这些就像是工厂制造的塑料石头。即使它们看起来像石头，但它们的重量、纹理或历史感与真实的河石完全不同。

FlowGuard 是安装在河流入口处的一个特殊传感器。它不在乎是谁拿着石头，它只测量石头的“密度”（即它看起来有多像真实的河石）。

如果石头是真实的河石（合法），它会完美契合河流的流动。
如果石头是工厂制造的塑料石（小偷的合成查询），它感觉起来会很“轻”且格格不入。传感器会检测到这种低“密度”并立即拦截它。

它是如何工作的（“流匹配”魔法）

论文使用了一种数学工具——流匹配（Flow Matching）（具体为连续归一化流/Continuous Normalizing Flows）。

可以将其想象为一个神奇的逆向工程机器：

系统获取一个问题，并尝试对其进行“解混”，追踪其来源。
真实的问题会追溯到一个“正常”的起点（标准的高斯分布）。
小偷的伪造问题由于是由不同的过程生成的，它们会被卡住，或者追溯到奇怪、不太可能的地点。
系统会计算一个“似然得分”（Likelihood Score）。如果得分过低（意味着该问题极不可能是真实的），它就会被拦截。

结果：为什么 FlowGuard 胜出

研究人员针对两种著名的窃贼技术（MAZE 和 DisGUIDE）在两种场景下进行了测试：

单人小偷： 一个人的所有提问。
- 结果： FlowGuard 抓住了几乎所有人（检测率 96–100%）。
“女巫”小偷： 100 个假身份分摊提问。
- 结果： 旧有的“身份证件”法（PRADA）完全失效（检测率 0%）。而 FlowGuard 仍然抓住了 96–100% 的小偷。

为什么？ 因为 FlowGuard 不在乎身份证件。它只在乎问题本身看起来是否像一块塑料工厂石。即使有 1,000 个不同的人提问，只要问题是伪造的，FlowGuard 就会拦截它。

总结局限性（论文实际内容）

论文诚实地说明了目前尚未实现的内容：

它是在标准图像数据集（CIFAR-10）上进行的测试，尚未应用于真实的电网数据（尽管作者计划这样做）。
它目前只能捕捉从零开始生成问题的窃贼（无数据攻击/Data-Free attacks）。它并不声称能阻止那些拥有真实数据的窃贼。
它是一个“下尾部”（lower-tail）检测器，这意味着它拦截那些看起来过于不可能发生的事物，但这依赖于特定的阈值设置。

核心要点

FlowGuard 是一个忽略“谁”而专注于“什么”的安全系统。通过使用高级数学来衡量一个问题感觉有多“真实”，它能够阻止窃取安全模型的行为，即使这些小偷试图通过使用数百个虚假身份来隐藏自己。它利用了小偷自身的合成（伪造）数据来对抗他们。

技术摘要：FlowGuard

问题陈述
部署在关键能源基础设施（如智能电网、SCADA 网络）中的基于人工智能的入侵检测系统（IDS）容易受到模型提取攻击（Model Extraction Attacks, MEAs）的影响。在这些攻击中，攻击者通过查询受害者模型来训练一个功能等效的替代模型。该替代模型可作为离线测试平台，用于构建能够绕过原始 IDS 的对抗性规避流量。

现有的防御机制在此背景下面临显著局限性：

基于身份的检测： 诸如 PRADA 和 FDINet 等方法依赖于分析每个客户端身份的查询模式。这些方法在面对 Sybil 攻击（即攻击者将查询分布到数百个身份中以规避统计检测）时会失效。
预测中毒： 对软标签输出进行扰动的防御方法（例如 MODELGUARD）无法应用于许多仅返回硬标签（二元攻击/正常决策）的 IDS 部署场景。
无数据攻击： 使用无数据提取方法（如 MAZE、DisGUIDE）的攻击者通过噪声或协同训练的生成器产生合成查询，而无需访问原始训练数据，这使得它们难以使用传统的异常检测技术与合法流量进行区分。

方法论：FlowGuard
作者提出了 FlowGuard，一种身份无关的防御机制，它在 IDS 处理之前将传入的查询分类为分布外（Out-of-Distribution, OOD）数据。其核心前提是：用于无数据模型窃取的合成查询占据的低维流形（lower-dimensional manifold）低于真实的网络流量，因此在针对合法数据训练的密度模型进行评估时，其对数似然值（log-likelihoods）明显较低。

技术工作流包括：

训练连续正规流（Continuous Normalizing Flow, CNF）： 通过 流匹配（Flow Matching） 在合法网络流量的分布上训练一个 CNF。与传统的流模型不同，流匹配通过将神经网络回归到将样本从基础高斯分布 ( $p_0$ ) 传输到数据分布 ( $p_1$ ) 的条件速度场（conditional velocity field）来进行训练。这避免了训练过程中昂贵的雅可比（Jacobian）计算。
对数似然计算： 当查询 $x_q$ 到达时，将其视为 $t=1$ 时刻的一个样本。系统通过从 $t=1$ 向后积分学习到的常微分方程（ODE）至 $t=0$ ，以获得潜在表示 $z_0$ 。对数似likelihoood $\log p_1(x_q)$ 通过瞬时变量变换公式进行计算，该公式包含了基础对数密度以及沿轨迹累积的散度项（雅可比修正）。
决策阈值设定： 基于留出验证集中合法查询的对数似然分布建立阈值 $\tau$ 。如果 $\log p_1(x_q) < \tau$ ，则将该查询分类为 OOD 并予以拦截。

核心贡献

身份无关的防御： FlowGuard 完全基于查询内容运行，不需要身份元数据、会话跟踪或历史查询累积。这使其天生具备抵御 Sybil 攻击的能力。
利用流匹配进行 OOD 检测： 本文将流匹配应用于检测无数据模型窃取的特定问题，证明了合成提取查询会落在合法数据流形的低密度区域。
实证评估： 作者使用 CIFAR-10 上的 MAZE 和 DisGUIDE 攻击对 FlowGuard 进行了基准测试，并将其与最先进的防御方法（PRADA、FDINet）进行了对比。评估涵盖了单客户端和分布式（100 个客户端的 Sybil）设置。

结果

单客户端设置： FlowGuard 在 MAZE (0.965) 和 DisGUIDE (1.000) 攻击中均实现了高检测率（真阳性率, TPR），同时具有适度的假阳性率（FPR ~0.170）。它在 MAZE 的召回率方面优于 PRADA，并在 DisGUIDE 上达到或超过了 PRADA 的性能。FDINet 表现不一，未能有效检测 MAZE 查询（ROC-AUC 0.488）。
分布式（Sybil）设置：
- PRADA： 由于查询被分布到 100 个身份中，导致其无法积累进行 Shapiro-Wilk 检验所需的单客户端统计数据，检测能力完全崩溃（TPR 0.000）。
- FDINet： 表现出混合鲁棒性。虽然它能高灵敏度地检测 DisGUIDE，但面临高假阳性率（FPR 0.530）的问题，且在 MAZE 上的性能显著下降（TPR 0.500）。
- FlowGuard： 保持了与单客户端设置相同的稳定检测性能（MAZE 为 0.965，DisGUIDE 为 1.000）。由于采用的是单查询密度评估，因此不受查询分布在不同身份下的影响。

意义与范围
论文声称 FlowGuard 为保护能源系统 IDS 免受分布式、无数据模型窃取攻击提供了稳健的解决方案，而在这些场景下基于身份的防御会失效。通过利用合法流量与合成提取查询之间的密度差距，它提供了一种不依赖于客户端身份或软标签输出的防御手段。

作者明确指出了以下局限性与范围：

目前的评估仅限于 CIFAR-10 数据集和 VGG16-BN 受害者架构。
该防御目前仅针对无数据攻击（MAZE、DisGUIDE）有效。本文并未声称能提供针对所有提取家族或有数据攻击的通用保护。
未来的工作方向包括：将评估扩展到现实的 IDS 数据集（如 ERENO IEC 61850）；研究针对密度模型进行优化的自适应攻击者；以及可能将 FlowGuard 与基于速度场的检测（如 FlowPure 中所示）相结合，以防御“模型窃取后进行对抗性规避”的完整攻击链。