谛听 | DED：一种面向工业物联网中模型窃取攻击的动态增强防御框架

谛听网络安全团队
谛听网络安全团队

谛听ditecting

2026年10月20日 08:00
北京

去阅读

近日，“谛听”团队冉子用博士撰写的论文《DED: A Dynamic-Enhancing Defense Framework Against Model Extraction Attacks in Industrial Internet of Things》被国际期刊《IEEE Transactions on Industrial Informatics》录用。（点击文后“阅读原文”可获取论文）

《IEEE Transactions on Industrial Informatics》是IEEE工业电子学会旗下国际顶级学术期刊，聚焦工业信息学理论与工程实践的交叉研究，面向智能制造、工业物联网、工业信息物理系统、工业人工智能、工业网络安全、智能感知与自动化控制等方向，涵盖工业大数据、时序智能分析、故障诊断、工业系统安全、人机交互与工业通信等研究领域。该期刊重视理论创新与工业实际场景落地，是工业信息技术领域高水平成果的重要交流平台。

影响因子：9.8

文章引用方式：

Z. Ran, Y. Yao, Y. Shan, W. Li, L. Yang and W. Yang, \"DED: A Dynamic-Enhancing Defense Framework Against Model Extraction Attacks in Industrial Internet of Things,\" in IEEE Transactions on Industrial Informatics, doi: 10.1109/TII.2026.3725939.

论文内容介绍

1 研究背景

随着工业4.0的快速发展，工业物联网（IIoT）已成为现代智能制造与关键基础设施管理的基石。深度神经网络（DNN）凭借其强大能力，被广泛应用于预测性维护、故障诊断、质量控制等复杂工业任务。这些智能模型通常基于多年运营积累的高价值专有工业数据训练而成，蕴含重要的生产机密，模型本身承载着巨大的知识产权与商业价值。因此，工业模型通常以黑盒推理服务的形式部署在云平台或边缘平台上。

然而，黑盒部署也带来了严重的安全威胁——模型窃取攻击。攻击者通过反复查询目标模型、分析查询-响应对，即可训练出功能上近似复制受害模型的替代模型。在工业物联网场景下，模型被窃取的后果远不止知识产权侵权：被盗的替代模型可作为\"沙盒\"，用于生成可迁移的对抗样本，进而欺骗真实的工业控制系统，可能引发灾难性的物理破坏或安全事故。

尽管威胁紧迫，现有模型窃取防御机制主要面向通用领域设计，直接部署到严苛的IIoT环境面临三大挑战：

(1)零容忍可靠性：工业控制回路对输出变化极其敏感，扰动类防御注入的策略噪声会破坏控制信号稳定性，导致执行器抖动甚至灾难性紧急停机；

(2)资源受限与变更管理：工业系统资源有限且变更管理严格，依赖模型重训练或频繁更新的防御在实践中难以部署；

(3)低方差数据分布：工业传感器数据固有的低方差分布，使得主要面向常规数据设计的现有防御效果大打折扣。

2 关键技术

针对上述挑战，本文提出面向IIoT的旁路式防御机制——动态增强防御（DED），其核心包含三项关键技术：

（1）语义一致性偏差（SCD）：基于深度哈希模型与两步温度归一化汉明距离（TN-Hamming），在哈希空间中刻画查询样本的语义异常；

（2）重建一致性偏差（RCD）：基于哈希条件扩散模型，通过条件重建衡量查询样本与正常工业数据分布的偏离程度；

（3）动态恶意样本库：结合自适应更新规则与缓冲区比较机制，实现随攻击演化而动态增强的防御能力。

3 方法介绍（整体框架）

3.1. 整体架构

图 1 整体框架

DED以独立、非侵入式旁路模块的形式部署于边缘/云端推理接口之前，不修改受害模型的参数、输出或训练过程，从根本上规避了扰动类与重训练类防御在工业场景下的弊端。

DED的核心理念是\"检测+增强\"的动态自适应闭环：

（1）检测阶段：深度哈希模型与扩散模型分别计算语义一致性偏差（SCD）与重建一致性偏差（RCD），两者融合为综合风险评分RS，精准识别并量化恶意查询；

（2）动态增强阶段：系统依据风险评估结果自适应调整响应策略，对高风险查询修改其输出，在强化防御能力的同时维持模型的预测性能与稳定性。

3.2. SCD：语义一致性偏差

（1）深度哈希模型训练：深度哈希模型将样本编码为紧凑的二进制语义表示，使同类样本的哈希码汉明距离更小。训练后构建哈希数据库，部署阶段对查询样本生成K位哈希码表示，构建紧凑且语义可判别的表示空间。

（2）TN-Hamming两步温度归一化：传统惩罚加权汉明距离（PWH）在IIoT环境下失效——工业数据类间差异小、softmax置信度集中且分离度不足，导致PWH的加权因子近乎均匀，难以捕捉细微偏差。TN-Hamming通过两步温度缩放机制解决该问题：

第1步：引入固定温度T<1的softmax归一化，锐化置信度分布，放大高置信参考、抑制模糊样本；

第2步：对温度缩放后的权重执行软阈值与再归一化，消除可忽略的微小权重，保证数值稳定性。

最终，SCD由不确定性惩罚因子与加权汉明距离共同构成——当模型预测置信度低时，惩罚因子增大低置信查询的贡献，从而更好地识别模糊或潜在恶意的样本。

3.3. RCD：重建一致性偏差

SCD从哈希空间的语义相似性角度评估查询样本，而RCD则通过扩散重建过程分析结构差异。前向扩散过程逐步对样本加噪，反向去噪过程则引入哈希条件扩散模型：将SCD阶段学到的哈希表示作为语义条件，引导去噪网络在估计均值与方差时贴合工业数据的结构特征。

通过比较查询样本与其去噪重建输出，RCD揭示重建行为的一致性程度——RCD值越大，样本偏离正常工业数据分布越远，为识别潜在恶意查询提供可靠度量。

3.4. 风险评分与双阈值决策

由于工业数据的语义表示与结构模式高度相关，单一维度无法完整刻画数据分布。DED将两种偏差加权融合为综合风险评分：

其中平衡因子 α 在验证集上调优，实验中取 α=0.4 达到最优验证性能。

基于风险评分，DED采用双阈值策略将查询划分为三类：

良性区域：不干预模型输出，完整保留正常样本的推理性能；

缓冲区域：执行更严格的防御策略，将查询与恶意样本库M做二次相似度比较，避免对决策边界附近的良性工业样本误伤；

恶意区域：判定为异常样本，执行标签翻转——将最大概率类别替换为最小概率类别并随机重分配其余概率，直接降低返回输出对攻击者的可学习性。

阈值选取完全由验证集风险评分分布驱动：保证80%验证样本落入良性区域以保留可用性；依据验证集错分样本的风险分布确定，用于隔离高风险可疑查询。

3.5. 动态恶意样本库

恶意样本库M以二维表示（原始输入+哈希码）记录恶意查询，同时保留输入级与表示级特征。

自适应更新规则：模型窃取攻击的迭代算法常产生大量高度相似的实例，加之工业数据分布稳定、类间方差低，冗余攻击样本极易堆积。为此，DED采用多样性感知的自适应收录规则——仅当新样本与库中现有条目满足 时才将其收录。随着库的增长，收录门槛逐步提高，确保库中仅保留具有充分新颖语义或结构信息的样本，实现恶意性与多样性的动态平衡。

缓冲区比较机制：对于落入缓冲区的模糊查询，DED基于误差对 (SCD,RCD) 进行额外验证——仅当两项偏差均严格小于库内最小值时才判定为良性，否则视为恶意。针对工业数据低类间方差的特点，这一严格规则能有效拦截边界可疑查询。

4 实验评估

4.1. 实验设置

实验覆盖故障诊断、工业入侵检测和时间序列分类三个典型场景。模型分别采用CNN、MLP和LSTM，使用Adam优化器训练100轮，学习率为0.01、批大小为64；每组实验独立重复5次并报告平均结果。

故障检测:故障检测是指对设备、机械或系统的运行状态进行监测和分析，并对异常进行识别和预测，以保证生产过程的可靠性、安全性和高效性。这是工业环境中的常见要求。凯斯西储大学轴承数据集(CWRU)是一种广泛应用于故障检测的数据集。在本文的实验中，提取了代表电机转速为1797 RPM、故障直径分别为0.1778mm、0.3556mm和0.5334mm的9组数据。这些选择的数据与一组标准数据相结合，构建一个10类数据集用于实验分析。

入侵检测:入侵检测系统(IDS)在保障工业运行安全方面发挥着重要作用。密西西比州立大学天然气数据集(MSU)是从天然气管道SCADA系统收集的，包含各种特征和多种类型的攻击。它经常用于评估复杂工业控制环境中IDS的性能。

时间序列分类:在工业场景中，时间序列数据通常来自传感器、机器日志和操作记录。这些数据可以用于多种任务，包括质量监测和能源管理。UCR Archive是一个著名的时间序列分类任务的公共数据集。在实验中，选择了UCR Archive中的ElectricDevices数据集进行实验分析，该数据集由几个电气设备及其相应的特征组成。

对比方法覆盖六大主流防御策略：RS、MAD、GRAD2（输出扰动类）、APMSA（输入变换类）、CIP（分类特定输出扰动类）、SED（自增强类），并采用Papernot、KnockoffNet、DFME三种代表性模型窃取攻击进行评测。

4.2 数据集与评价指标

三个数据集分别对应故障诊断、入侵检测和时间序列分类任务。评价指标包括：余弦相似度CS（无害性）、下降率DR（攻击退化）、准确率ACC与F1分数（检测有效性）。

表 1　三个工业数据集的统计信

4.3 无害性评估

DED在全部数据集上取得最高的平均CS 97.1% ，显著优于SED（96.5%）及其他所有对比方法。扰动类方法RS平均仅39.1%，严重破坏正常推理；而DED通过选择性干预可疑查询，几乎无损地保留正常推理行为。

表 2 良性查询下的无害性评估（余弦相似度CS）

4.4 检测有效性评估

在Papernot、KnockoffNet、DFME三种攻击下，DED在多数数据集与攻击组合上取得最优或次优的ACC与F1，且性能方差小、稳定性强，在MSU与UCR上全面领先。

表 3 不同防御方法的检测有效性（%，均值±标准差）

4.5 攻击降级评估

DED平均DR达61.9%，超过SED（60.7%）与CIP（47.1%），远高于输出扰动类方法（RS 41.1%、MAD 17.5%、GRAD2 19.1%、APMSA 15.5%），在保持正常推理的同时最有效地削弱替代模型的模仿能力。

表 4 攻击降级性能（下降率DR，%，均值±标准差）

4.6 时间效率

DED平均在线延迟14.4ms/查询，略快于SED（15.6ms），虽高于轻量级扰动方法，但在实际IIoT推理防护的可接受范围内，且以接近的时延取得了更强的防御性能。

表 5 不同方法的在线防御时延（ms/查询，均值±标准差）

4.7 恶意样本库分析

存储比例始终低于10%（CWRU 6.8%–8.3%，MSU 7.4%–9.2%，UCR 9.6%–11.8%），库增长呈阶梯式饱和而非线性堆积，证明多样性感知机制有效过滤冗余攻击样本，兼顾存储开销与防御实时性。

表 6 动态恶意样本库中存储的恶意查询比例

图 2 恶意样本库演化曲线

4.8 消融研究

移除SCD、RCD或动态恶意样本库均导致检测性能与攻击降级性能下降。其中动态库的影响最大（UCR上ACC下降4.1个百分点、DR下降9.5个百分点），验证了SCD与RCD互补刻画风险、动态库强化防御执行的必要性。

表 7 消融研究——检测性能（%，均值±标准差，各攻击平均）

表 8 消融研究——攻击降级性能（下降率DR，均值±标准差）

额外鲁棒性验证：当攻击者掌握不同比例的真实干净数据（0%、5%、10%、20%）时，DED的检测ACC与DR虽随攻击能力增强而下降，但仍保持较高水平，证明DED不依赖严格的无数据攻击假设，在攻击者拥有少量真实样本时依然有效。

5. 结论要点

DED采用旁路式防御架构，不修改模型参数与输出逻辑，天然满足IIoT可靠性要求；

（1）SCD与RCD从语义与结构双视角互补刻画查询风险，有效识别工业低方差数据中的细微提取行为；

（2）动态恶意样本库实现免重训练的自增强防御，随攻击演化持续适应新攻击模式；

（3）实验证明DED在保持模型性能的同时取得最优防御效果，兼顾安全性与功能完整性。

第一作者：冉子用

东北大学博士研究生，主要研究方向为工业物联网安全、对抗机器学习。

指导教师：姚羽

东北大学教授，“谛听”团队创始人，复杂网络系统安全保障技术教育部工程研究中心主任。