AI 模型安全评估与取证（行为层）

CORE RULE：攻击面由可观测性决定，不由攻击名称决定

先问接口/资产给什么，再选攻击面——三者是三个世界：

可观测性	世界
`logits available`（API 返回概率/logits）	蒸馏（soft label）、指纹、成员推断全部可用
`labels only`（API 只返回标签）	降级：决策边界采样、黑盒迁移、影子模型
`weights available`（拿到模型文件）	白盒：梯度方法（FGSM/PGD）、直接比对、阈值成员推断

同一攻击名在不同可观测性下可行性与实现完全不同——先按「输入资产盘点」确认 API 输出字段/模型文件，再选路径。

用户目的识别，命中即走对应分支；未命中落入下方「何时使用」判断：