TP-CRIV 让无白盒无 API 的第三方仅凭黑盒推理接口就能对 AI 模型做挑战—响应身份核验
核心概要
该工作提出第三方挑战—响应身份验证框架 TP-CRIV，针对验证者既无白盒也无 API 访问、只能通过可疑部署服务的普通黑盒推理接口交互、且不需要服务提供方协议配合的场景，在全新未披露要求与网络隔离下获取经验证据，判断声称方是否本地拥有符合预先声明身份的模型；作者用基于概率控制的见证生成方法为 CNN 图像分类器实例化该框架，在十个 ImageNet 预训练 TorchVision 模型上实验，显示清晰的同模型/跨模型分离，并可用独立校准的阈值实现有限次挑战的验证。
Fig. 1: Comparison of model-to-model verification approaches from the perspective of the evidence available to an independent third party and the resulting inference about the relationship between a claimant’s model and a suspicious deployed model.
arXiv深度剖析
提出 TP-CRIV 这一第三方挑战—响应身份验证框架，把验证目标明确为“声称方当前是否本地拥有并可使用与所声称模型身份相关的模型依赖信息”。 既有水印、指纹和模型相似度分析主要依赖预定义证据或直接行为比较，未显式评估声称方当前是否持有并可用相关模型依赖信息；TP-CRIV 把这一能力性问题作为验证对象。 论文摘要层面给出框架定义与验证设定，属于概念与方法层面的贡献，具体形式化细节需查阅正文。
框架在严格约束下运行：验证者既无白盒也无 API 访问，只能通过可疑部署服务的普通黑盒推理接口交互，且不需要服务提供方提供协议特定配合。 相比通常需要模型内部访问或服务方协作的验证方案，TP-CRIV 把验证条件放宽到纯黑盒、无协作的第三方场景。 摘要明确陈述了这三项约束，属于设定层面的声明。
验证在全新、此前未披露的要求与网络隔离下进行，使被展示的能力无法在挑战披露后依赖在线外部协助；所得证据相对于独立指定并校准的匹配与非匹配运行情形来解释，是统计性的而非密码学的。 通过“新鲜挑战 + 网络隔离”排除事后在线求助，并用独立校准的匹配/非匹配情形来解读证据，而非给出密码学意义上的确定性保证。 摘要给出该设计要点与证据性质定位，未给出具体统计量或校准流程细节。
作者用基于概率控制的见证生成方法为 CNN 图像分类器实例化 TP-CRIV，并在十个 ImageNet 预训练 TorchVision 模型上实验，观察到清晰的同模型/跨模型分离，且用独立校准的阈值实现有限次挑战的验证。 把框架落到具体模型族与数据集上，并给出同/跨模型可分离与有限挑战可验证的实验信号。 摘要报告了模型数量（十个）、模型来源（ImageNet 预训练 TorchVision）与实验结论（清晰分离、有限挑战验证），但未给出具体数值、阈值或挑战次数。
启示与展望
该框架面向第三方验证场景：验证者没有白盒或 API 访问，只能通过可疑部署服务的普通黑盒推理接口交互，且不需要服务提供方协议特定配合；验证在全新未披露要求与网络隔离下进行，证据相对于独立指定并校准的匹配与非匹配情形来解释，属统计性而非密码学性。摘要中的实例化针对 CNN 图像分类器，使用基于概率控制的见证生成，并在十个 ImageNet 预训练 TorchVision 模型上评估。
摘要未给出具体统计量、阈值取值、挑战次数、误判率或校准流程细节，也未说明该实例化之外的模型类型与任务是否适用；这些是读者在阅读正文时需要留意的开放问题。本次可获取文本为摘要与页面导航信息，未包含正文图表与实验细节，因此对实验规模与统计性质的描述以摘要所述为限。