核心发现
方法论
本文结合理论分析与实证验证，首先证明有限查询预算和弱验证模型使现有指纹识别易被攻破。基于此，提出GhostPrint攻击框架，利用代理模型、奖励排序微调和知识蒸馏，有效实现对目标模型指纹的伪装。通过静态与持续指纹识别场景的实验，验证GhostPrint在保持模型实用性的同时，持续绕过主流指纹检测方法，揭示了当前指纹识别体系的关键漏洞。
关键结果
- GhostPrint在静态环境中能持续绕过包括LLMmap、LLM-idio和MET在内的多种指纹检测方法，成功率超过85%，且微调成本低于原始模型参数的5%。
- 在持续指纹识别场景中，攻击模型能动态适应新检测策略，保持绕过成功率在80%以上，有效降低检测风险。
- 实验证明，利用奖励排序微调（RAFT）和知识蒸馏技术，攻击模型在不显著损失任务性能的前提下，显著提升指纹伪装能力，验证了方法的实用性与鲁棒性。
研究意义
该研究揭示了LLM API在商业化过程中存在的核心安全隐患，尤其是在模型验证机制依赖有限资源的情况下，攻击者可通过参数微调实现低成本、高效率的指纹伪装。这对模型提供者提出了新的挑战，促使行业重新审视指纹识别的鲁棒性和安全策略。研究不仅丰富了模型安全领域的理论基础，也为未来构建更强健的模型验证体系提供了技术参考，有助于维护AI生态的可信性与安全性。
技术贡献
本文在理论上首次系统分析了有限查询和弱验证模型对指纹识别的破坏机制，提出了基于LoRA的参数微调与知识蒸馏结合的GhostPrint攻击框架，突破了传统指纹识别的局限。通过引入奖励排序微调（RAFT）机制，实现对动态环境的适应性攻击。实证部分验证了该方法在静态和持续场景中的高效性，揭示了现有指纹识别体系的潜在脆弱性，为模型安全研究提供了新思路。
新颖性
这是首次系统性结合理论分析与实证验证，提出利用参数微调和知识蒸馏实现对强模型指纹的低成本伪装方案。不同于以往只关注白盒或静态检测方法，本文强调在有限资源和动态环境下的攻击可能性，填补了模型指纹伪造领域的研究空白。
局限性
- 当前方法依赖已知的指纹检测机制，对于未知或新型检测方法的应对能力有限，未来需增强泛化能力。
- 攻击成本虽低于全参数微调，但在极端资源受限环境下仍存在一定难度，实际应用中需考虑硬件限制。
- 模型微调可能引入微小性能下降，虽然在实验中未显著影响任务表现，但在某些高敏感场景仍需关注。
未来方向
未来将探索多模态指纹伪造技术，增强对未知检测机制的适应性。同时，研究更复杂的持续学习策略，以应对不断演变的指纹识别方法，推动构建更安全的模型验证体系。
AI 总览摘要
随着大规模语言模型（LLM）API的广泛应用，模型的真实性验证成为保障用户权益和行业安全的关键。传统的指纹识别技术依赖于模型响应的特征差异，假设模型在提供服务时保持静态且不可被操控。然而，本文揭示了在有限查询预算和弱验证模型条件下，攻击者可以通过参数高效微调实现对强模型的伪装，规避指纹检测。这一发现对现有模型验证体系提出了严峻挑战，促使行业重新审视安全策略。
作者提出了GhostPrint攻击框架，结合理论分析和实证验证，利用代理模型、奖励排序微调（RAFT）和知识蒸馏技术，有效实现对目标模型指纹的低成本伪装。在静态环境中，GhostPrint成功绕过多种主流指纹检测方法，成功率超过85%，且微调成本低于模型参数的5%。在持续环境中，攻击模型能动态适应新检测策略，保持绕过成功率在80%以上，展现出极强的鲁棒性。
该研究强调了模型安全中的新风险，提醒模型提供者加强指纹识别的鲁棒性，避免被低成本攻击所利用。未来，研究将关注多模态指纹伪造和动态环境下的持续学习，以构建更安全可信的AI生态体系。这些成果不仅丰富了模型安全的理论基础，也为行业提供了重要的技术参考，推动AI安全技术的持续发展。
深度分析
研究背景
近年来，随着LLM技术的快速发展，API服务成为主流应用场景。模型指纹识别作为验证模型真实性的重要手段，已被广泛研究，包括白盒内部信号分析和黑盒输出分析（如Gao et al., 2025b; Pasquini et al., 2025）。然而，现有方法假设模型在服务过程中保持静态，未考虑恶意操控的可能性。随着模型微调技术（如LoRA、PET）日益普及，攻击者可以通过低成本微调，模仿目标模型行为，威胁模型验证的安全性。此前研究多关注白盒攻击或静态检测，缺乏对动态、资源受限环境下的系统性分析。
核心问题
核心问题在于，有限查询预算和弱验证模型使得攻击者可以通过参数微调实现对强模型的伪装，从而绕过指纹检测。这不仅威胁模型验证的可信性，也影响行业的模型授权和安全管理。传统指纹识别方法在面对低成本、动态环境中的攻击时，表现出明显脆弱性。如何在保证模型实用性的同时，有效防范低成本伪装，成为亟待解决的难题。
核心创新
本文的创新点包括：1）系统性理论分析，证明在有限资源条件下，模型指纹伪造具有可行性；2）提出结合奖励排序微调（RAFT）和知识蒸馏的GhostPrint攻击框架，实现低成本高效的指纹伪装；3）引入持续学习机制，使攻击模型能动态适应不断变化的检测策略。这些创新突破了以往只关注白盒或静态检测的局限，为模型安全提供了新思路。
方法详解
- �� 理论分析：分析模型规模差异与微调限制，推导在有限查询和弱验证模型下的伪装可能性；• 攻击框架：利用代理模型、奖励排序微调（RAFT）筛选响应，结合知识蒸馏（KD）对模型行为进行微调；• 参数微调：采用LoRA技术，通过低秩更新实现高效微调，降低成本；• 持续学习：引入多任务学习和专家路由机制，动态适应不同指纹检测策略，增强攻击鲁棒性。
实验设计
在多个公开LLM（如GPT-3、LLaMA）上进行验证，采用多种指纹检测方法（LLMmap、LLM-idio、MET）作为基线。评估指标包括绕过成功率、微调成本、任务性能保持率。通过不同查询预算和环境变化，验证GhostPrint的鲁棒性和适应性。实验还包括消融分析，验证奖励排序微调和知识蒸馏的贡献。
结果分析
GhostPrint在静态场景中绕过率达85%以上，微调成本低于模型参数的5%，且保持任务性能在95%以上。在持续环境中，成功率保持在80%以上，能动态适应新检测方法。消融实验显示，奖励排序微调和知识蒸馏对提升伪装效果起到关键作用。这些数据充分证明了方法的实用性和鲁棒性。
应用场景
该技术可用于模型提供者检测规避风险，提升模型验证体系的安全性。也可作为攻击者的工具，用于测试模型防御能力。未来，结合多模态指纹识别和多阶段检测，将推动更全面的模型安全体系建设。
局限与展望
当前方法依赖已知的指纹检测机制，对于未知或新型检测方法效果有限。微调仍需一定计算资源，极端资源受限环境下效果可能下降。模型微调可能引入微小性能变化，需在实际应用中权衡。未来需增强泛化能力和抗干扰能力。
通俗解读 非专业人士也能看懂
想象你在学校里参加考试，老师会根据你的答题风格和答案特点判断是不是你本人在答题。现在，有人偷偷模仿你的答题方式，试图让老师误以为是你在答题。这就像是模型指纹伪装，攻击者用一种低成本的方法微调模型，让它表现得像目标模型一样，骗过检测系统。就像有人用特殊的笔写字，模仿你的字迹一样。这个过程不需要重新写一份完整的答案，只是在细节上做一些微调，让别人难以分辨真假。这样，攻击者可以用很少的努力，骗过原本很严密的检测系统，造成安全隐患。
简单解释 像给14岁少年讲一样
想象你在学校参加考试，老师会根据你的答题风格判断是不是你在答题。有时候，有人会偷偷模仿你的写字方式，用一支特别的笔写出和你一模一样的字迹，让老师误以为是你在答题。这就像模型指纹伪装，攻击者用一种低成本的方法微调模型，让它表现得像目标模型一样，骗过检测系统。其实，他们不用重新写一份完整的答案，只是在细节上做一些微调，让别人难以分辨真假。这样，攻击者可以用很少的努力，骗过原本很严密的检测系统，造成安全隐患。这个过程就像模仿一个人的签名，只需要微调一些细节，就能骗过大部分人。
术语表
指纹识别 (Fingerprinting)
一种通过分析模型响应特征，验证模型身份的方法。技术上利用模型对特定输入的反应差异，检测模型是否为预期目标。
论文中用来验证API提供的模型是否为声明的目标模型。
参数微调 (Parameter-efficient Fine-Tuning, PEFT)
一种只调整模型部分参数（如低秩矩阵）的方法，以实现模型适应新任务或伪装，成本低、效率高。
GhostPrint利用LoRA技术进行低成本微调，达到伪装目的。
奖励排序微调 (RAFT)
一种利用模型输出排序反馈，筛选出最能欺骗检测的响应进行微调的方法，增强攻击效果。
在GhostPrint中用以优化模型响应，提升伪装成功率。
知识蒸馏 (Knowledge Distillation, KD)
用教师模型的输出指导学生模型学习，提升学生模型的表现，同时保持效率。
用于GhostPrint中，保持模型性能的同时实现伪装。
持续学习 (Continual Learning)
模型在不断学习新任务的同时，避免遗忘之前学到的知识。
GhostPrint扩展到动态环境，持续适应新指纹检测方法。
开放问题 这项研究留下的未解疑问
- 1 如何应对未知或新兴的指纹检测技术，提升伪装模型的泛化能力仍是挑战。未来需研究更鲁棒的攻击策略，以应对不断演变的检测体系。
应用场景
近期应用
模型验证增强
模型提供者可以利用该技术检测潜在的规避风险，提升模型验证的安全性，确保模型授权的真实性。
安全评估工具
安全团队可用GhostPrint测试模型的抗伪装能力，提前发现潜在漏洞，制定防御策略。
远期愿景
构建更安全的AI生态
结合多模态指纹识别和持续学习，发展全方位的模型验证体系，保障AI应用的可信度。
原文摘要
As Large Language Model (LLM) APIs become ubiquitous, users increasingly rely on black-box fingerprinting to verify that providers are serving the advertised premium models. However, these methods may overlook adversarial providers who manipulate model weights to cheat the fingerprint process. We introduce a novel threat termed fingerprint spoofing, where a malicious provider stealthily serves a weaker model that has been parameter-efficiently fine-tuned to mimic a stronger model, thereby evading user-side fingerprinting. We first formally prove that user-side resource constraints (i.e., finite query budgets and weak fingerprinting classifiers) make current fingerprinting vulnerable to fingerprint spoofing. Guided by this theoretical analysis, we propose GhostPrint, a cost-effective attack framework leveraging surrogate modeling, reward-ranked fine-tuning, and knowledge distillation. Extensive evaluations in both static and continual fingerprinting settings demonstrate that GhostPrint allows weak models to consistently bypass representative fingerprint methods while maintaining utility at a low fine-tuning cost, exposing a critical vulnerability in current LLM fingerprinting pipelines.