摊销反演AMORTIZED INVERSION

1已知

• 1.1白盒

  目标模型 \(f_\theta: \mathcal{X} \to \mathcal{Y}\)，权重 \(\theta\) 全可见——结构、参数、中间激活的数学形式都能读。

• 1.2离线数据

  数据集 \(\mathcal{D} = \{(x_i, y_i)\}_{i=1}^N\)，其中 \(y_i = f_\theta(x_i)\)，是该模型历史上生成的数据（调用日志）。

• 1.3硬约束

  不能对任意 \(x\) 自由求值 \(f_\theta(x)\)——即做不了标准白盒 MI 那套"每个 \(y^*\) 独立解 \(\min_x \|f_\theta(x) - y^*\|^2\)、梯度优化几千步"。
  原因可以是：无执行环境、算力不够、操作被审计留痕、或模型已下线只剩权重文件。

2求

给定新观测 \(y^* \sim p(y)\)，恢复其原像 \(x^*\)。

3相关工作