2026年AI应用安全风险培训考试试题(含答案)

2026年AI应用安全风险培训考试试题(含答案)一、单项选择题（本大题共20小题，每小题1分，共20分）1.在AI应用安全风险评估中，以下哪项属于静态代码分析的主要目标？（）A.检测运行时内存泄漏问题B.识别源代码中的硬编码密钥C.分析用户输入验证机制D.评估服务器配置强度解析：静态代码分析通过检查未执行代码来发现潜在安全漏洞，主要关注代码本身的结构和模式。硬编码密钥是典型的代码级安全隐患，可通过静态分析工具（如SonarQube、FindBugs）检测到。动态分析（选项A、C、D）则需要在运行时环境进行，检测实际执行过程中的安全问题。2.以下哪种AI模型架构最容易受到对抗样本攻击的影响？（）A.卷积神经网络（CNN）B.循环神经网络（RNN）C.随机森林（RandomForest）D.神经模糊系统（Neuro-FuzzySystem）解析：CNN因其局部感知特性，对微小扰动敏感，是对抗样本攻击的主要目标。对抗样本通过添加人眼不可察觉的噪声就能欺骗CNN分类结果。其他模型虽然也可能受影响，但CNN的脆弱性在安全领域研究最为广泛。3.在AI应用中实现差分隐私的主要技术手段是？（）A.数据加密B.安全多方计算C.添加随机噪声D.访问控制列表解析：差分隐私通过在输出结果中添加统计噪声来保护个体隐私，是联邦学习等分布式AI场景的标准隐私保护技术。其核心思想是保证任何单个用户的数据都无法从聚合结果中推断出来。选项A是传输层保护手段，B是计算层安全技术，D是访问控制机制。4.以下哪项不属于AI应用中的后门攻击类型？（）A.训练数据污染B.模型参数篡改C.输入数据注入D.权限提升攻击解析：后门攻击通过在模型中植入隐蔽通道，使其在特定输入下产生预设输出。常见类型包括训练数据后门（A）、模型参数后门（B）和输入后门（C）。权限提升攻击（D）属于系统级安全漏洞，与AI模型本身无关。5.在AI应用安全测试中，模糊测试的主要目的是？（）A.检测模型过拟合B.发现输入处理缺陷C.评估模型泛化能力D.分析模型内存占用解析：模糊测试通过向系统输入无效、意外或随机数据来检测潜在漏洞。在AI应用中，主要关注输入处理模块（如图像预处理、文本解析）能否正确处理异常数据。选项A、C、D属于模型性能评估范畴。6.以下哪种安全机制最适合保护AI训练数据隐私？（）A.数据脱敏B.安全多方计算C.访问控制D.数据水印解析：安全多方计算（SMC）允许多个参与方在不泄露各自原始数据的情况下共同计算，是保护AI训练数据隐私的理想技术。数据脱敏（A）可能破坏数据完整性，访问控制（C）主要限制数据访问权限，数据水印（D）主要用于数据溯源。7.在AI应用中，以下哪种场景最容易引发数据投毒攻击？（）A.模型微调B.模型推理C.数据标注D.模型部署解析：数据投毒攻击通过污染训练数据集来植入后门。模型微调（A）阶段会使用原始数据集进行再训练，此时攻击者可以替换或污染数据。其他阶段要么不接触原始数据，要么数据已被清洗。8.以下哪项不是AI应用中的模型窃取攻击类型？（）A.隐私泄露攻击B.参数逆向攻击C.训练数据泄露D.模型替换攻击解析：模型窃取攻击旨在获取训练有素的AI模型知识。常见类型包括参数逆向（B）、训练数据泄露（C）和特征提取攻击。隐私泄露（A）属于数据层安全范畴，模型替换（D）是部署阶段攻击。9.在AI应用安全风险评估中，以下哪项属于威胁建模的关键步骤？（）A.代码静态扫描B.模型对抗测试C.确定资产价值D.计算CVSS分数解析：威胁建模是安全设计的早期阶段，核心是识别系统资产（C）、威胁源、攻击路径和潜在影响。其他选项属于评估或测试阶段的技术手段。10.在AI应用中实现零信任架构的主要原则是？（）A.最小权限原则B.零信任原则C.数据隔离原则D.静态认证原则解析：零信任架构（ZeroTrustArchitecture）的核心思想是"从不信任，始终验证"，要求对所有访问请求进行持续验证。最小权限（A）是相关原则，但不是零信任的定义。数据隔离（C）是物理隔离措施，静态认证（D）是传统安全手段。11.在AI应用中，以下哪种技术最适合防御模型逆向攻击？（）A.模型压缩B.模型混淆C.数据加密D.访问控制解析：模型混淆通过改变模型表示（如改变权重分布、增加冗余参数）来增加逆向工程的难度。模型压缩（A）会简化模型，数据加密（C）主要保护传输数据，访问控制（D）限制模型访问权限。12.在AI应用安全测试中，红队测试的主要目标是什么？（）A.发现系统漏洞B.评估应急响应C.计算攻击成本D.优化模型性能解析：红队测试模拟真实攻击者行为，通过授权攻击来发现系统漏洞。测试后需提供漏洞修复建议和应急响应评估。模型性能优化（D）属于AI工程范畴。13.在AI应用中，以下哪种场景最容易引发模型偏差攻击？（）A.模型微调B.模型推理C.数据标注D.模型部署解析：模型偏差攻击通过操纵训练过程或数据分布来植入不公平性。数据标注（C）阶段对模型训练结果有直接影响，此时攻击者可以操纵标注过程来植入偏见。14.在AI应用安全风险评估中，以下哪项属于社会工程学攻击的主要目标？（）A.模型参数B.用户凭证C.训练数据D.模型架构解析：社会工程学攻击通过欺骗用户获取敏感信息。在AI应用中，主要目标是获取用户凭证（B），如API密钥、认证令牌等。其他选项属于技术层面攻击目标。15.在AI应用中实现安全多方计算的主要技术基础是？（）A.同态加密B.联邦学习C.混合网络D.量子密码解析：安全多方计算（SMC）允许多方在不泄露原始数据的情况下进行计算，其技术基础包括同态加密（A）、秘密共享等密码学技术。联邦学习（B）是分布式训练框架，混合网络（C）是传输加密技术。16.在AI应用中，以下哪种技术最适合防御模型提取攻击？（）A.模型水印B.访问控制C.数据加密D.模型混淆解析：模型提取攻击指攻击者通过有限样本或推理请求来逆向工程AI模型。模型水印（A）可以嵌入隐蔽标识，但效果有限。模型混淆（D）主要防御逆向工程，但效果不如水印。17.在AI应用安全测试中，白盒测试的主要特点是什么？（）A.不需要源代码B.无法检测逻辑漏洞C.需要系统内部信息D.只能测试输入输出解析：白盒测试需要系统内部信息（C），如源代码、架构设计等。相比黑盒测试，可以检测深层逻辑漏洞。选项A、B、D描述不准确。18.在AI应用中，以下哪种场景最容易引发模型数据投毒攻击？（）A.模型微调B.模型推理C.数据标注D.模型部署解析：数据投毒攻击通过污染训练数据集来植入后门。模型微调（A）阶段会使用原始数据集进行再训练，此时攻击者可以替换或污染数据。其他阶段要么不接触原始数据，要么数据已被清洗。19.在AI应用安全风险评估中，以下哪项属于供应链攻击的主要目标？（）A.模型参数B.用户凭证C.训练数据D.模型架构解析：供应链攻击通过攻击第三方组件来影响AI应用安全。在AI领域，主要目标是依赖的库、框架或云服务。其他选项属于直接攻击目标。20.在AI应用中实现安全数据共享的主要技术手段是？（）A.数据加密B.安全多方计算C.访问控制D.数据脱敏解析：安全数据共享技术需要保证数据在共享过程中既可用又保密。安全多方计算（B）允许多方在不泄露原始数据的情况下进行计算，是理想的技术方案。数据加密（A）主要保护传输数据，访问控制（C）限制数据访问权限，数据脱敏（D）可能破坏数据完整性。二、多项选择题（本大题共10小题，每小题2分，共20分）1.在AI应用安全风险评估中，以下哪些属于常见的安全威胁？（）A.模型偏差攻击B.对抗样本攻击C.数据投毒攻击D.访问控制绕过E.模型参数泄露解析：AI应用面临多种安全威胁，包括攻击者针对模型本身的攻击（A、B、C、E）和系统层面的攻击（D）。这些威胁在安全评估中都需要考虑。2.在AI应用中，以下哪些技术可以用于保护训练数据隐私？（）A.差分隐私B.安全多方计算C.联邦学习D.数据加密E.访问控制解析：保护训练数据隐私的常用技术包括差分隐私（A）、安全多方计算（B）、联邦学习（C）等隐私增强技术。数据加密（D）主要保护传输数据，访问控制（E）限制数据访问权限。3.在AI应用安全测试中，以下哪些属于动态测试方法？（）A.模型模糊测试B.对抗样本生成C.代码静态扫描D.模型压力测试E.模型行为监控解析：动态测试方法需要在系统运行时进行，包括模糊测试（A）、对抗样本生成（B）、压力测试（D）和行为监控（E）。代码静态扫描（C）属于静态测试。4.在AI应用中，以下哪些属于常见的后门攻击类型？（）A.训练数据后门B.模型参数后门C.输入后门D.权限提升攻击E.数据投毒攻击解析：后门攻击通过在模型中植入隐蔽通道，常见类型包括训练数据后门（A）、模型参数后门（B）和输入后门（C）。权限提升（D）和投毒（E）属于不同攻击类型。5.在AI应用安全风险评估中，以下哪些属于常见的评估方法？（）A.代码审计B.模型模糊测试C.社会工程学测试D.漏洞扫描E.威胁建模解析：AI应用安全评估方法多样，包括技术层面（A、B、D）和流程层面（C、E）。代码审计（A）检查代码安全漏洞，模糊测试（B）检测输入处理缺陷，社会工程学测试（C）评估人为因素，漏洞扫描（D）自动检测漏洞，威胁建模（E）识别安全威胁。6.在AI应用中，以下哪些技术可以用于防御模型逆向攻击？（）A.模型混淆B.模型压缩C.数据加密D.访问控制E.水印嵌入解析：防御模型逆向攻击的技术包括模型混淆（A）、水印嵌入（E）等。模型压缩（B）会简化模型，数据加密（C）保护传输数据，访问控制（D）限制模型访问权限。7.在AI应用安全测试中，以下哪些属于黑盒测试方法？（）A.模型模糊测试B.对抗样本生成C.代码审计D.模型压力测试E.漏洞扫描解析：黑盒测试不需要系统内部信息，通过外部观察来评估系统。模糊测试（A）、对抗样本生成（B）和漏洞扫描（E）属于黑盒测试。代码审计（C）需要源代码，模型压力测试（D）需要了解系统内部结构。8.在AI应用中，以下哪些属于常见的供应链攻击目标？（）A.依赖库B.云服务C.数据标注平台D.模型训练平台E.用户凭证解析：供应链攻击通过攻击第三方组件来影响AI应用安全。常见目标包括依赖库（A）、云服务（B）、数据标注平台（C）、模型训练平台（D）等。用户凭证（E）属于直接攻击目标。9.在AI应用安全风险评估中，以下哪些属于常见的评估指标？（）A.漏洞密度B.攻击面C.数据敏感性D.恢复成本E.威胁频率解析：AI应用安全评估指标包括技术指标（A、B）、业务指标（C、D）和威胁指标（E）。漏洞密度（A）衡量系统漏洞数量，攻击面（B）评估可攻击点，数据敏感性（C）评估数据价值，恢复成本（D）评估修复代价，威胁频率（E）评估攻击可能性。10.在AI应用中实现零信任架构的主要技术手段是？（）A.多因素认证B.微隔离C.持续监控D.数据加密E.访问控制解析：零信任架构（ZeroTrustArchitecture）的核心技术包括多因素认证（A）、微隔离（B）、持续监控（C）等。数据加密（D）和访问控制（E）是相关技术，但不是零信任的核心。三、判断题（本大题共10小题，每小题2分，共20分）1.在AI应用中，对抗样本攻击只能通过修改图像数据来实施。（）解析：对抗样本攻击不仅限于图像数据，可以针对文本、语音、时序数据等多种输入类型。该说法错误。2.差分隐私通过加密原始数据来保护个体隐私。（）解析：差分隐私通过在输出结果中添加随机噪声来保护个体隐私，不涉及数据加密。该说法错误。3.模型混淆可以完全防御模型逆向攻击。（）解析：模型混淆可以增加逆向工程的难度，但不能完全防御。该说法错误。4.在AI应用中，白盒测试比黑盒测试更全面。（）解析：白盒测试需要系统内部信息，可以检测更深层漏洞，但黑盒测试更通用。该说法正确。5.数据投毒攻击只能通过替换训练数据来实施。（）解析：数据投毒攻击不仅限于替换训练数据，还可以通过污染验证集或测试集实施。该说法错误。6.社会工程学攻击主要针对AI模型本身。（）解析：社会工程学攻击主要针对用户，通过欺骗获取敏感信息。该说法错误。7.安全多方计算需要所有参与方共享原始数据。（）解析：安全多方计算允许参与方在不泄露原始数据的情况下进行计算。该说法错误。8.模型偏差攻击属于数据投毒攻击的一种类型。（）解析：模型偏差攻击通过操纵训练过程或数据分布来植入不公平性，与数据投毒攻击不同。该说法错误。9.在AI应用中，零信任架构要求完全信任所有用户。（）解析：零信任架构的核心思想是"从不信任，始终验证"，不要求完全信任任何用户。该说法错误。10.模型水印可以完全防止模型提取攻击。（）解析：模型水印可以增加提取难度，但不能完全防止。该说法错误。四、简答题（本大题共8小题，每小题2分，共16分）1.简述AI应用中对抗样本攻击的主要原理及其危害。解析：对抗样本攻击通过在输入数据中添加微小扰动，使AI模型产生错误分类结果。危害包括：降低模型可靠性、破坏AI系统安全性、可能被用于恶意攻击。攻击原理基于模型的不稳定性，即输入微小变化可能导致输出剧变。2.简述AI应用中差分隐私的主要技术原理及其应用场景。解析：差分隐私通过在输出结果中添加随机噪声来保护个体隐私，即使攻击者拥有除目标个体外的所有数据，也无法推断该个体数据。应用场景包括联邦学习、数据共享、隐私保护机器学习等。3.简述AI应用中模型混淆的主要技术方法及其防御效果。解析：模型混淆通过改变模型表示（如改变权重分布、增加冗余参数）来增加逆向工程的难度。常见方法包括权重扰动、参数共享、结构复制等。防御效果有限，但可以增加攻击成本。4.简述AI应用中数据投毒攻击的主要技术手段及其防御方法。解析：数据投毒攻击通过污染训练数据集来植入后门。技术手段包括替换样本、添加恶意样本等。防御方法包括数据验证、异常检测、鲁棒训练等。5.简述AI应用中模型逆向攻击的主要技术方法及其防御措施。解析：模型逆向攻击通过有限样本或推理请求来逆向工程AI模型。技术方法包括参数提取、特征提取等。防御措施包括模型水印、模型混淆、访问控制等。6.简述AI应用中社会工程学攻击的主要类型及其防御方法。解析：主要类型包括钓鱼攻击、假冒身份、诱骗等。防御方法包括安全意识培训、多因素认证、访问控制等。7.简述AI应用中安全多方计算的主要技术原理及其应用场景。解析：安全多方计算允许多方在不泄露原始数据的情况下进行计算。技术原理基于密码学技术如秘密共享、同态加密等。应用场景包括联邦学习、隐私保护数据分析等。8.简述AI应用中零信任架构的主要原则及其技术实现。解析：主要原则是"从不信任，始终验证"，要求对所有访问请求进行持续验证。技术实现包括多因素认证、微隔离、持续监控等。五、应用题（本大题共8小题，每小题4分，共24分）1.某医疗AI应用需要处理患者病历数据，请设计一个差分隐私保护方案，并说明其主要技术细节。解析：方案设计：2.数据预处理：对患者病历数据进行匿名化处理，去除直接标识符。3.添加噪声：在聚合统计结果中添加高斯噪声或拉普拉斯噪声。4.机制选择：根据数据类型选择合适的隐私预算分配策略。5.输出限制：确保输出结果满足ε-δ隐私定义。技术细节：-使用差分隐私算法库（如TensorFlowPrivacy）实现。-根据数据敏感性调整隐私预算ε。-采用拉普拉斯机制处理计数数据，高斯机制处理连续数据。6.某金融AI应用需要部署在云环境中，请设计一个零信任架构方案，并说明其主要技术组件。解析：方案设计：7.认证层：实施多因素认证（MFA）和设备验证。8.隔离层：采用微隔离技术，限制服务间通信。9.监控层：实施持续行为监控和异常检测。10.访问控制：采用基于角色的访问控制（RBAC）。技术组件：-身份认证系统（如Okta、AzureAD）。-网络微隔离设备（如PaloAltoNetworks）。-安全信息和事件管理（SIEM）系统（如Splunk）。11.某AI图像识别应用需要保护训练数据隐私，请设计一个联邦学习方案，并说明其主要技术挑战。解析：方案设计：12.模型训练：各参与方在本地训练模型，然后发送模型更新而非原始数据。13.模型聚合：使用安全聚合算法（如FedAvg）合并模型更新。14.隐私保护：采用差分隐私或安全多方计算增强隐私保护。技术挑战：-模型收敛速度慢。-模型偏差问题。-隐私预算分配困难。15.某AI语音识别应用容易受到对抗样本攻击，请设计一个对抗样本防御方案，并说明其主要技术方法。解析：方案设计：16.输入预处理：实施鲁棒输入预处理（如归一化、去噪）。17.模型增强：采用对抗训练技术增强模型鲁棒性。18.输出验证：实施输出置信度阈值，过滤可疑结果。技术方法：-使用对抗训练算法（如FGSM、DeepFool）。-实施集成学习（如Bagging）提高稳定性。-采用对抗检测技术（如AdversarialDetection）识别攻击样本。19.某AI推荐系统存在模型偏差问题，请设计一个评估方案，并说明其主要评估指标。解析：方案设计：20.数据收集：收集不同用户群体的推荐结果。21.偏差分析：分析推荐结果的分布差异。22.影响评估：评估偏差对用户满意度的影响。主要评估指标：-群体公平性指标（如DemographicParity）。-精确率-召回率曲线差异。-用户满意度调查结果。23.某AI医疗诊断系统需要保护模型知识产权，请设计一个模型水印方案，并说明其主要技术细节。解析：方案设计：24.水印嵌入：在模型训练过程中嵌入隐蔽标识。25.水印提取：开发水印提取算法检测模型。26.隐私保护：确保水印不影响模型性能。技术细节：-使用基于参数的水印嵌入方法。-采用鲁棒水印算法抵抗对抗攻击。-控制水印强度避免影响模型精度。27.某AI自动驾驶系统需要处理实时传感器数据，请设计一个安全数据共享方案，并说明其主要技术挑战。解析：方案设计：28.数据加密：使用同态加密或安全多方计算保护数据。29.数据隔离：实施多租户架构隔离不同用户数据。30.访问控制：采用基于角色的访问控制限制数据访问。技术挑战：-计算效率问题。-密码学开销。-协调复杂性。31.某AI金融风控系统存在后门攻击风险，请设计一个检测方案，并说明其主要检测方法。解析：方案设计：32.模型监控：监控模型在测试集上的性能变化。33.对抗测试：实施对抗样本攻击检测模型异常。34.逆向分析：分析模型参数是否存在可疑模式。主要检测方法：-使用异常检测算法（如IsolationForest）。-实施模型行为分析（如梯度分析）。-采用第三方安全审计工具。【标准答案及解析】一、单项选择题答案1.B2.A3.C4.D5.B6.B7.A8.A9.C10.B11.B12.A13.C14.B15.A16.A17.C18.A19.B20.B二、多项选择题答案1.ABCD22.ABC23.ABD24.ABC25.ABCDE26.AE27.ABE28.ABCD29.ABCDE30.ABCE三、判断题答案1.×32.×33.×34.√35.×36.×37.×38.×39.×40.×四、简答题答案及解析1.对抗样本攻击通过在输入数据中添加微小扰动，使AI模型产生错误分类结果。危害包括：降低模型可靠性、破坏AI系统安全性、可能被用于恶意攻击。攻击原理基于模型的不稳定性，即输入微小变化可能导致输出剧变。解析：对抗样本攻击利用了AI模型的脆弱性，通过精心设计的扰动（如像素值变化）就能欺骗模型。这种攻击对自动驾驶、医疗诊断等安全敏感应用构成严重威胁。2.差分隐私通过在输出结果中添加随机噪声来保护个体隐私，即使攻击者拥有除目标个体外的所有数据，也无法推断该个体数据。应用场景包括联邦学习、数据共享、隐私保护机器学习等。解析：差分隐私的核心思想是保证任何单个用户的数据都无法从聚合结果中推断出来。通过添加噪声，可以在保护隐私的同时提供统计结果。联邦学习是差分隐私的重要应用场景，允许在不共享原始数据的情况下进行模型训练。3.模型混淆通过改变模型表示（如改变权重分布、增加冗余参数）来增加逆向工程的难度。常见方法包括权重扰动、参数共享、结构复制等。防御效果有限，但可以增加攻击成本。解析：模型混淆的主要目的是使攻击者难以逆向工程模型，通过增加模型复杂性来提高攻击难度。虽然不能完全防御，但可以显著增加攻击成本，从而起到一定防御作用。4.数据投毒攻击通过污染训练数据集来植入后门。技术手段包括替换样本、添加恶意样本等。防御方法包括数据验证、异常检测、鲁棒训练等。解析：数据投毒攻击是AI应用中最严重的安全威胁之一，攻击者通过污染训练数据来植入后门。防御方法包括数据清洗、鲁棒训练算法、异常检测机制等。5.模型逆向攻击通过有限样本或推理请求来逆向工程AI模型。技术方法包括参数提取、特征提取等。防御措施包括模型水印、模型混淆、访问控制等。解析：模型逆向攻击允许攻击者通过少量样本或推理请求来推断模型参数或结构。防御措施包括技术手段（如水印、混淆）和管理措施（如访问控制）。6.社会工程学攻击的主要类型包括钓鱼攻击、假冒身份、诱骗等。防御方法包括安全意识培训、多因素认证、访问控制等。解析：社会工程学攻击主要针对人类心理弱点，通过欺骗获取敏感信息。防御方法包括技术手段（如多因素认证）和管理措施（如安全意识培训）。7.安全多方计算的主要技术原理基于密码学技术如秘密共享、同态加密等。应用场景包括联邦学习、隐私保护数据分析等。解析：安全多方计算允许多方在不泄露原始数据的情况下进行计算，是隐私保护计算的核心技术。主要应用场景包括联邦学习、多方数据分析等。8.零信任架构的主要原则是"从不信任，始终验证"，要求对所有访问请求进行持续验证。技术实现包括多因素认证、微隔离、持续监控等。解析：零信任架构的核心思想是打破传统边界防御模式，对所有访问请求进行严格验证。技术实现包括认证、隔离、监控、动态授权等。五、应用题答案及解析1.差分隐私保护方案：2.数据预处理：对患者病历数据进行匿名化处理，去除直接标识符。3.添加噪声：在聚合统计结果中添加高斯噪声或拉普拉斯噪声。4.机制选择：根据数据类型选择合适的隐私预算分配策略。5.输出限制：确保输出结果满足ε-δ隐私定义。技术细节：-使用差分隐私算法库（如TensorFlowPrivacy）实现。-根据数据敏感性调整隐私预算ε。-采用拉普拉斯机制处理计数数据，高斯机制处理连续数据。解析：该方案通过差分隐私技术保护患者病历数据隐私，主要技术细节包括：使用差分隐私算法库实现，根据数据类型选择合适的隐私机制，控制隐私预算确保隐私保护强度。该方案可以满足医疗行业严格的隐私保护要求。6.零信任架构方案：7.认证层：实施多因素认证（MFA）和设备验证。8.隔离层：采用微隔离技术，限制服务间通信。9.监控层：实施持续行为监控和异常检测。10.访问控制：采用基于角色的访问控制（RBAC）。技术组件：-身份认证系统（如Okta、AzureAD）。-网络微隔离设备（如PaloAltoNetworks）。-安全信息和事件管理（SIEM）系统（如Splunk）。解析：该方案通过零信任架构技术保护云环境中金融AI应用安全，主要技术组件包括身份认证系统、网络微隔离设备、SIEM系统等。该方案可以显著提高系统安全性，降低安全风险。11.联邦学习方案：12.模型训练：各参与方在本地训练模型，然后发送模型更新而非原始数据。13.模型聚合：使用安全聚合算法（如FedAvg）合并模型更新。14.隐私保护：采用差分隐私或安全多方计算增强隐私保护。技术挑战：-模型收敛速度慢。-模型偏差问题。-隐私预算分配困难。解析：该方案通过联邦学习技术保护AI图像识别应用训练数据隐私，主要技术挑战包括模型收敛速度慢、模型偏差问题、隐私预算分配困难等。这些挑战需要通过优化算法和策略来解决。15.对抗样本防御方案：16.