# A25: Извлечение модели через злоупотребление API (Model extraction via API abuse)

> Атакующий многократно обращается к API модели, чтобы воспроизвести её поведение или построить модель-заменитель. Компания теряет интеллектуальную собственность и доход от неё, а последующие атаки на модель упрощаются.

- Канонический HTML: [/threats/a25-model-extraction-via-api-abuse](https://ai-first.tech/threats/a25-model-extraction-via-api-abuse)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Исполнение и инфраструктура AI

## Как проявляется риск

Внешний клиент с обычным легальным доступом систематически отправляет запросы, покрывающие пространство решений модели, и собирает ответы. Каждый отдельный запрос выглядит допустимым, поэтому классические средства защиты API его не останавливают. По накопленным парам «запрос — ответ» строится копия, близкая по поведению к оригиналу. Граница доверия нарушается не взломом, а использованием сервиса не по назначению: платный или партнёрский доступ превращается в канал вывода самой модели. Копию затем можно изучать без ограничений.

## Влияние на бизнес

- **Финансы.** Вложения в разработку модели обесцениваются, монетизация сервиса снижается.
- **Данные.** Утрачивается конфиденциальность модели как объекта интеллектуальной собственности.
- **Безопасность.** Имея копию, атакующему проще готовить следующие атаки на оригинал.

## Где риск наиболее вероятен

- Собственные модели, доступные клиентам через API
- Модели скоринга и ценообразования для партнёров
- Публичные демонстрационные интерфейсы
- Партнёрские интеграции с большим объёмом запросов

## Кому и что решать

- **ИТ-директор.** Определить, какие модели составляют коммерческую ценность, и выдавать к ним доступ только через управляемый шлюз.
- **Директор по кибербезопасности.** Обеспечить аутентификацию, квоты и анализ характера запросов по каждому клиенту API.
- **Владелец бизнес-процесса.** Включить в договоры запрет на воспроизведение модели и учитывать этот риск в тарифах и лимитах.

## Признаки для службы мониторинга

- Большой объём однотипных систематических запросов от одного клиента
- Необычно широкое разнообразие входных данных, нехарактерное для заявленного сценария
- Характер обращений похож на автоматизированный сбор ответов
- Несколько учётных записей действуют согласованно
- Объём запросов клиента не соответствует его бизнес-профилю

## Меры защиты

- **Договорные ограничения использования** (организационная). Закрепить в условиях доступа запрет на копирование модели и право приостановить обслуживание.
- **Лимиты и квоты запросов** (техническая). Ограничить число и частоту обращений на клиента в соответствии с заявленным сценарием.
- **Замедление подозрительных клиентов** (техническая). Снижать скорость ответов при признаках систематического сбора, не отключая добросовестных пользователей.
- **Маркировка модели** (техническая). Применять водяные знаки и отпечатки модели, чтобы доказать происхождение копии.
- **Анализ характера запросов** (мониторинг). Отслеживать объём, разнообразие и связанность обращений по учётным записям.

## Вопросы команде и поставщику

- Какие наши модели доступны извне и сколько стоит их утрата?
- Можем ли мы отличить обычного клиента от того, кто собирает ответы?
- Сможем ли мы доказать, что чужая модель скопирована с нашей?
- Что записано в договорах с клиентами API о воспроизведении модели?

## Показатели контроля

- Доля внешних API моделей с настроенными квотами на клиента
- Число выявленных случаев аномального сбора ответов за период
- Время от обнаружения аномалии до ограничения доступа

## Первые 30 дней

- Перечислить модели, доступные внешним клиентам, и оценить их ценность
- Настроить квоты и учёт запросов по каждому клиенту
- Проверить условия договоров на запрет воспроизведения модели

## Классы решений

- Защита API
- Защита моделей
- Наблюдаемость AI

## Сопоставления

- OWASP: LLM10
- MITRE: ATT&CK: Resource Development
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [NIST: AI 100-2e2025: Adversarial Machine Learning](https://csrc.nist.gov/pubs/ai/100/2/e2025/final) — Таксономия атак и mitigations для adversarial ML.
- [MITRE: MITRE ATLAS](https://atlas.mitre.org/) — Тактики и техники против AI-систем.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.