re-ai-model

本技能用于 AI 模型文件的逆向与静态分析。适用对象是 .onnx/.pt/.pth/.safetensors/.tflite 等模型文件，目标是还原网络结构、提取权重、做文件级水印检测（权重 pattern、metadata、tensor hash、embedding 异常），并检查模型文件本身是否为载荷（权重藏数据、torch.save 打包恶意 pickle、后门或投毒模型）。不负责行为级水印与 API 行为层攻击，也不处理纯推理/训练源码；模型被打包进可执行文件时先用二进制技能拆包。安全上强调不要直接 torch.load 未知 pkl，因 pickle 反序列化可执行任意代码，未知模型应在隔离环境用 weights_only=True 加载，能转 safetensors 就转。工具准备包括 python3、onnx、netron、torch、safetensors、protobuf/protoc，命令保持原样，如 pip install onnx、netron model.onnx、pip install torch --index-url https://download.pytorch.org/whl/cpu。操作流程：格式识别（file、sha256sum、xxd，Safetensors 前 8 字节为小端 u64 头长度，PyTorch 多为 zip，TFLite 字节 4–7 为 TFL3）；结构解析（onnx.load 读 producer 与 graph，netron 可视化，torch.jit.load 得 TorchScript 结构）；权重提取（ONNX 用 load_external_data=False 后逐 tensor 取，注意 to_array 会完整读出单个张量，external data 需显式 base_dir；Safetensors 用 safe_open 惰性读取；PyTorch state_dict 用 weights_only=True）；水印与窃取判定（逐张量统计与低比特位模式、逐层 hash 与距离、算子序列相似度，单一维度为弱证据，需多维度一致并标注阈值与置信度）；隐藏载荷检查（metadata_props、zip 多余条目、异常张量）。跨域上可与二进制拆包、沙箱、IOC、脚本还原等技能配合。限制：大模型 GB 级需静态优先、不整载内存；图优化后算子融合会影响结构比对；水印具鲁棒性，精确比对会漏判，需用统计异常。具体收费、平台支持与效果暂未提供。