**Threat model.** Throughout the paper, we assume that the adversary does not have any additional knowledge about the model parameters. We assume access to a model \(f_{\theta}\), hosted by a service provider and made available to users through a query interface (API) \(\mathcal{O}\). We assume that \(\mathcal{O}\) is a perfect oracle: given an input sequence \(p\), it produces \(y=\mathcal{O}\left(p\right)\) without leaking any other information about \(f_{\theta}\) than what can be inferred from \((p,y)\). For example, the adversary cannot infer anything about \(f_{\theta}\) via timing side-channels or other details of the implementation of the query interface.
**위협 모델.** 본 논문 전반에 걸쳐, 우리는 적대자가 모델 매개변수에 대한 추가적인 지식을 가지고 있지 않다고 가정합니다. 우리는 서비스 제공자가 호스팅하고 쿼리 인터페이스(API) \(\mathcal{O}\)를 통해 사용자에게 제공되는 모델 \(f_{\theta}\)에 접근할 수 있다고 가정합니다. 우리는 \(\mathcal{O}\)가 완벽한 오라클이라고 가정합니다: 입력 시퀀스 \(p\)가 주어지면, \(\mathcal{O}\)는 \((p,y)\)로부터 추론할 수 있는 정보 외에는 \(f_{\theta}\)에 대한 다른 정보를 누출하지 않고 \(y=\mathcal{O}\left(p\right)\)를 생성합니다. 예를 들어, 적대자는 타이밍 사이드 채널이나 쿼리 인터페이스의 구현 세부 사항을 통해 \(f_{\theta}\)에 대해 아무것도 추론할 수 없습니다.
**위협 모델.** 논문 전체에서 적대자가 모델 파라미터에 대한 추가 지식이 없다고 가정합니다. 서비스 제공업체에서 호스팅하고 쿼리 인터페이스(API) \mathcal{O}\)를 통해 사용자에게 제공하는 모델 \(f_{\theta}\)에 대한 액세스 권한이 있다고 가정합니다. 우리는 \(\mathcal{O}\)가 완벽한 오라클이라고 가정합니다. 입력 시퀀스 \(p\)가 주어지면 \((p,y)\)에서 유추할 수 있는 것 외에 \(f_{\theta}\)에 대한 다른 정보를 누출하지 않고 \(y=\mathcal{O}\left(p\right)\)를 생성합니다. 예를 들어, 적대자는 타이밍 사이드 채널이나 쿼리 인터페이스 구현의 다른 세부 사항을 통해 \(f_{\theta}\)에 대해 아무것도 유추할 수 없습니다.