超越 F1：评估 AI 模型安全扫描器的覆盖率与故障恢复能力

静态扫描器越来越多地用于识别机器学习工件中的可执行内容或其他不安全内容，但传统评估指标只刻画了扫描器能够给出可用安全判断的情况。我们在一个受控、以工件为依据的基准上评估了 ModelScan、ModelAudit 和 Fickling；该基准由一个合成语料库构成，包含 145 个样本家族中的 170 个面向 Pickle 和 PyTorch 的工件，其中 135 个具有二元安全真值，另外 10 个故意构造为无标签的畸形工件。我们明确区分了非 N/A 覆盖率、分析完成率、明确安全判定、非安全发现以及不受支持的结果。在有标注的家族上，ModelAudit 对全部 135 个家族都给出了明确的安全判定（100%），Fickling 对其中 110 个（81.5%），ModelScan 对其中 67 个（49.6%）。在做出明确判断的前提下，ModelScan 的精确率、召回率和 F1 均达到 100%。Fickling 没有发现任何超出 ModelAudit 与 ModelScan 组合所发现之外的独有真正例家族。此外，对于 ModelScan 未能完成分析的 48 个恶意家族，ModelAudit 和 Fickling 都给出了与真值一致的检测结果。这些发现强调了将判断准确性与判断可用性分开，以及将增量检测覆盖率与工具层面的冗余分开考虑的必要性。