本文提出了一种利用 GAN-based framework 来绕过 hard label，仅仅通过访问 top-1 prediction 的方式，以及不访问模型梯度和训练数据的情况下偷取机器学习模型的方法，同时通过利用公开数据集来降低查询成本，并在 100 类数据集上展示了模型窃取的规模性。

Apr, 2022

本文提出了一种新的替代训练视角，着重于设计在知识窃取过程中使用的数据分布，提出了多样化的数据生成模块来综合宽泛的分布的大规模数据，并引入对接近决策边界的数据进行对抗替换训练策略，两个模块的结合可以进一步提高替代模型和目标模型的一致性，大大提高了对抗攻击的有效性。

Apr, 2021

研究了在黑盒情况下深度神经网络的安全问题，并提出一种称为 “模拟器” 的广义替代模型来模拟任何未知目标模型的功能，从而降低了大量查询的复杂度。

Sep, 2020

本文提出了一种无需实际数据就能够获取对抗黑盒攻击的替代模型的数据自由替代训练方法 (DaST)， 该方法利用一种特别设计的生成式对抗网络（GAN）来训练替代模型，实验表明，DaST 产生的替代模型可以取得竞争性的性能，并且是第一个无需任何真实数据训练对抗攻击替代模型的方法。

Mar, 2020

通过对称地训练两个学生模型，提供生成器一种生成样本的标准，使两个学生模型对样本有分歧，这个方法可以间接地估计目标模型的梯度，优化生成器网络的训练目标，并提供更准确的目标模型梯度估计和更好的基准分类数据集准确性。此外，在改进查询效率的同时，我们的方法仍具有训练计算成本的平衡，有效用于转移性对抗攻击的代理模型。

Sep, 2023

本文提出了 MEGEX，针对一种梯度可解释人工智能的数据自由模型提取攻击。攻击者使用解释结果来训练生成模型以减少查询次数，可以在不准备输入数据的情况下成功窃取训练好的模型。实验表明，在 SVHN 和 CIFAR-10 数据集上，给定 200 万和 2000 万个查询，我们提出的方法可以重构高准确度的模型，分别是受害模型准确度的 0.97 倍和 0.98 倍，这暗示着模型的可解释性和难以窃取之间存在折衷。

Jul, 2021

本文提出了一种动态替换训练攻击方法，通过动态门进行自适应生成最佳替代模型结构，并引入基于任务的图形结构信息学习约束来提高生成的训练数据的质量，并促进替代模型学习来自目标模型多个输出的结构关系。经过广泛的实验证明，所提出的攻击方法可以在几个数据集上取得比现有方法更好的性能。

Apr, 2022

通过简单蒸馏，使用仅一个小尺寸的查询图像即可窃取很多基于图像转换的模型，包括去噪、去模糊、去雨点、超分辨率和生物图像转换。

Jun, 2024

通过生成器人工策划的查询，对于第一次扩展到用于预测物体检测中的边界框坐标的回归问题的黑盒子攻击，提出了一个无数据模型提取技术，发现定义损失函数和使用新型生成器设置是提取目标模型的关键。所提出的模型提取方法通过合理的查询取得了显著的结果，该物体检测漏洞的发现将有助于未来保护这类模型的前景。

Aug, 2023

本文提出了一种名为 MAZE 的新型数据无关模型窃取攻击方法，采用零阶梯度估计和生成模型，无需任何数据，能够有效地窃取目标模型。经过四个数据集的评估，MAZE 在规范化克隆准确度方面表现良好，并在克隆准确度、攻击查询和寻求与目标分布更相近的数据等方面进行了改进。

May, 2020