Pesquisadores apresentaram o primeiro ataque de extração criptanalítica capaz de recuperar tanto a arquitetura quanto os parâmetros de uma rede neural ReLU totalmente conectada usando apenas acesso de caixa-preta às suas saídas brutas, removendo a suposição — presente em todo trabalho anterior na área — de que o atacante já conhece a profundidade e as dimensões das camadas do modelo alvo. O método usa um framework de "guess-and-determine" que identifica sinais estatísticos deixados no processo de recuperação de assinatura quando a dimensão da camada é chutada corretamente ou incorretamente.
Fonte ↗Pesquisadores quebram por completo a proteção baseada em permutação e ruído usada em esquemas recentes de inferência híbrida com criptografia homomórfica (FHE), mostrando que bastam d+1 consultas para recuperar exatamente cada camada linear de um modelo, incluindo ResNet-20, CNNs em escala ImageNet e ViT-B/16. O resultado mostra que privacidade diferencial aplicada à entrada do cliente não protege a confidencialidade do modelo do servidor, e que a defesa por embaralhamento é incompatível com a correção que esses sistemas precisam entregar.
Fonte ↗A Anthropic identificou seis campanhas de extração de conhecimento contra o Claude, atribuídas a empresas como Alibaba, Moonshot AI, DeepSeek, Zhipu/Z.ai, Xiaomi, SenseTime e MiniMax, somando centenas de milhões de interações fraudulentas entre fevereiro e julho de 2026. As campanhas usaram contas falsas, cartões roubados e redes de proxy para mascarar a origem das requisições e coletar respostas do modelo, incluindo cadeias de raciocínio, para treinar concorrentes.
Fonte ↗O trabalho explora um fenômeno em que certas condições de entrada fazem um modelo de difusão gerar imagens quase idênticas mesmo variando a semente aleatória — um comportamento intrínseco e específico de cada modelo, usado como impressão digital para provar propriedade sem inserir marca d'água nenhuma. A técnica funciona tanto com acesso total ao pipeline quanto apenas via API pública, e se mantém confiável mesmo em versões fine-tunadas ou sob tentativas de ofuscação.
Fonte ↗Ataques de extração de parâmetros via consultas black-box já eram bem estudados para redes totalmente conectadas com ReLU, mas permaneciam inviáveis para redes convolucionais com max pooling, cuja não-linearidade extra esconde os pontos críticos que esses métodos exploram. O artigo apresenta o primeiro ataque criptoanalítico adaptado a CNNs com max pooling, combinando dois tipos de pontos críticos recém-identificados para recuperar pesos e vieses com alta acurácia e complexidade de consulta polinomial.
Fonte ↗Pesquisadores propõem o método ASV (Approximate Signature Vector), que substitui a decomposição em valores singulares (SVD) usada no ataque de extração de modelo em modo hard-label apresentado por Carlini et al. na EUROCRYPT 2025 por operações de produto interno muito mais baratas, reduzindo o gargalo computacional que tornava o ataque impraticável apesar de ser teoricamente polinomial. O trabalho também apresenta o primeiro ataque de extração hard-label contra redes convolucionais com max-pooling.
Fonte ↗Pesquisadores mostram que, mesmo quando arquivos de uma skill proprietária de agente de IA permanecem totalmente ocultos, um atacante pode reconstruir sua funcionalidade apenas observando entradas e saídas de uso normal, sem qualquer vazamento de arquivo. O ataque SkillClone, testado contra 30 skills, conseguiu recuperação exata ou parcial em vários alvos, mostrando que sigilo de arquivo não implica sigilo funcional.
Fonte ↗