模型泄露的攻击者通常通过逐步查询模型的输出以推断训练数据的隐私信息。因此选项A正确。