大家好，因為 Domain 2 佔了 SecAI+ 考試整整 40% 的分數，所以把知識整理成「攻防對照大表」，方便把所有破碎的知識點瞬間串連起來。

一、 攻擊發生時機：訓練期 vs 推論期

這是最基礎的分類。只要看到題目的攻擊名稱，你腦海裡要立刻浮現它是發生在什麼時候：

對抗性機器學習（Adversarial ML）攻擊全景

訓練期攻擊（在模型出生前下毒，效果永久）：
  ├── 資料可用性投毒（類似 DoS，讓模型直接變笨）
  └── 資料後門/木馬投毒（塞入 Trigger 暗號，特定條件才造反）

推論期攻擊（在模型部署上線後，用髒輸入來騙它或偷它）：
  ├── 對抗性樣本（FGSM、PGD 算梯度加微小雜訊騙 AI 眼睛）
  ├── 模型竊取（大量查詢 API，免費拷貝出一個替代模型）
  ├── 模型反轉（用梯度優化，還原出訓練集裡的隱私個資）
  ├── 成員推斷（利用過擬合分數落差，確認特定人是否在訓練集裡）
  ├── 提示詞注入（直接注入、間接注入）
  └── 越獄攻擊（DAN、Many-shot 等逼 AI 講壞話的手法）

二、 核心攻防對照大表

這一張表，把我們過去十幾天學過的所有攻擊與防禦，做了最完美的對應。請一定要死記：

三、 兩大關鍵防禦技術與取捨（Trade-off）

考試非常喜歡考「安全與效能的拉鋸戰」，沒有什麼防禦是沒有代價的：

1. 對抗性訓練（防範對抗樣本）

• 作法：把 FGSM/PGD 的髒照片丟進訓練集一起學。
• 代價（Trade-off）：Accuracy-Robustness Trade-off。提升了對抗強韌度（Robustness），但會微微犧牲對正常資料的準確度（Accuracy）。

2. 差分隱私（防範隱私洩漏）

• 作法：在梯度更新時進行梯度裁剪（Clipping）並加入校準雜訊（Noise）。
• 代價：隱私預算 ε (epsilon) 越小，隱私防護越強，但 AI 的學習表現與預測性能就越差。

四、 Domain 2 四個一定要看懂的核心名詞複習

1. FGSM vs PGD：FGSM 是「一步式（One-step）」計算梯度，速度快但比較弱。PGD 是「多次迭代（Iterative）」計算，是目前測試模型強韌度的黃金標準。
2. Neural Cleanse：訓練後掃描工具，專門用來找模型有沒有被塞入「最小化觸發器」，以此來偵測後門攻擊。
3. Model Watermarking：在模型中植入特定的觸發回覆（浮水印），用來事後在法庭上舉證競爭對手竊取了模型。
4. Many-shot Jailbreaking：Anthropic 發現的越獄弱點。在長對話開頭塞入幾百個順從問答示例，利用 AI 的上下文慣性，強行繞過安全對齊。

明天，我們要正式告別 Domain 2，進入 Domain 3：AI 輔助資安營運（AI-Assisted Security）。
我們要來看看防守方如何利用 AI 強化傳統的 SIEM，解決 SOC 內部讓人頭痛的「警報疲勞（Alert Fatigue）」問題。
我們明天見啦！