AI 模型逆向（ONNX / PyTorch / Safetensors）

何时使用 / 何时不用

• 用：拿到 .onnx / .pt / .pth / .safetensors / .tflite 等模型文件，要还原网络结构、提取权重
• 用：文件级水印检测（东西藏在哪里：权重 pattern / metadata / tensor hash / embedding 异常——怀疑模型是从原版复制/微调而来时先查文件侧）
• 用：模型文件本身是载荷——权重里藏数据、torch.save 打包恶意 pickle、后门/投毒模型（下载执行类样本）
• 不用：行为级水印（模型表现出来是什么：trigger 触发响应 / 查询响应 / 黑盒指纹）与 API 行为层攻击（走 [[re-ai-attack]]）
• 不用：纯推理脚本/训练代码（那是源码，走 [[re-script-deob]]）
• 不用：模型被打包进可执行文件（PyInstaller/pyarmor 等）——先 [[re-binary-core]] 拆包，拆出的模型文件再回本技能
• 边界：本技能定位 = 模型文件解析 / 结构分析 / 权重分析 / 文件级水印——恶意模型判定、投毒/后门行为侧、归属取证属取证域（未来独立 re-ai-malware 技能承接；当前此类需求暂在本技能范围，以安全边界（坑 2 pickle 隔离）处理，行为侧转 [[re-ai-attack]]）
• 注意：安全提示——不要直接 torch.load 未知 pkl 文件（pickle 反序列化可执行任意代码，见坑 2）；一切对未知 pkl 的加载默认隔离环境（[[re-analyze/platform-tips]] 沙箱最高原则），先读后跑；模型解析/权重提取为静态步骤，可免沙箱

工具准备

参考 [[re-analyze/platform-tips]]——模型文件 GB 级常见，静态分析按「静态优先（大型样本）」思路：先格式识别与结构解析，按需提取权重，不整载内存（坑 1）。

python3 —— 所有解析脚本基础