هجوم التسميم ضد تقنية الغاوسيات ثلاثية الأبعاد

اقترحت تعاونية بحثية جديدة بين سنغافورة والصين طريقة للهجوم على طريقة التركيب الشهيرة الغاوسيات ثلاثية الأبعاد (3DGS).

تستخدم طريقة الهجوم الجديد بيانات مصدرية مصنعة لتحميل الذاكرة المتاحة للنظام المستهدف ، وجعل التدريب طويلا لدرجة أن النظام المستهدف قد يتعطل ، وهو ما يعادل هجوم الحرمان من الخدمة (DOS).

يستخدم الهجوم صورًا تدريبية ذات تعقيد كبير بحيث من المحتمل أن تثقل كاهل خدمة على الإنترنت تسمح للمستخدمين بإنشاء تمثيلات 3DGS.

تسهل هذه الطريقة بسبب الطبيعة التكيفية لتقنية الغاوسيات ثلاثية الأبعاد ، والتي صممت لزيادة التفاصيل التمثيلية حسب احتياجات الصور المصدرية للحصول على تمثيل واقعي.

يتم مساعدة نظام الهجوم ‘poison-splat’ بواسطة نموذج وكالة يقدر ويتكرر إمكانية الصور المصدرية لإضافة تعقيد وغاوسيات إلى نموذج ، حتى يتم تحميل النظام المستضيف.

يؤكد البحث أن منصات على الإنترنت – مثل LumaAI و KIRI و Spline و Polycam – تقدم بشكل متزايد خدمات 3DGS كخدمة ، وأن طريقة الهجوم الجديد – التي تسمى Poison-Splat – قادرة بشكل محتمل على دفع خوارزمية 3DGS نحو ‘أسوأ تعقيد حسابي‘ على هذه النطاقات ، وحتى تسهيل هجوم الحرمان من الخدمة (DOS).

وفقًا للباحثين ، قد تكون تقنية الغاوسيات ثلاثية الأبعاد أكثر عرضة للخطر من خدمات التدريب العصبي الأخرى على الإنترنت. إجراءات التدريب التقليدية لتعلم الآلة تحدد المعلمات في البداية ، وتعمل بعد ذلك في مستويات ثابتة ومستمرة من استخدام الموارد واستهلاك الطاقة. بدون “المرونة” التي تتطلبها تقنية الغاوسيات ثلاثية الأبعاد لتعيين غاوسيات ، فإن هذه الخدمات صعبة الاستهداف بنفس الطريقة.

علاوة على ذلك ، يشير المؤلفون إلى أن مقدمي الخدمات لا يستطيعون الدفاع ضد هذا الهجوم عن طريق تقييد تعقيد أو كثافة النموذج ، لأن ذلك سوف يؤدي إلى عجز في فعالية الخدمة في الاستخدام العادي.

من العمل الجديد ، نرى أن نظامًا يستضيف يحدد عدد الغاوسيات المخصصة لا يمكنه العمل بشكل طبيعي ، لأن مرونة هذه المعلمات هي ميزة أساسية لتقنية الغاوسيات ثلاثية الأبعاد.

ينص البحث على ما يلي:

‘[نماذج 3DGS] المتدربة في ظل هذه القيود الدفاعية تؤدي أداء أسوأ بكثير مقارنة بتلك التي يتم تدريبها بدون قيود ، خاصة فيما يتعلق بتركيب التفاصيل. يحدث هذا الانخفاض في الجودة لأن 3DGS لا يمكنه التمييز تلقائيًا بين التفاصيل الضرورية والtextures المسممة.

‘هجومنا يظهر أن استراتيجيات دفاع أكثر تطورًا ضرورية لحماية النظام والحفاظ على جودة التمثيلات ثلاثية الأبعاد في وجه الهجوم الذي صممناه.’

في الاختبارات ، أثبت الهجوم فعاليته في كل من سيناريوهات White-box والأسود.

يعتقد المؤلفون أن عملهم يمثل أول طريقة هجوم ضد 3DGS ، وينبهون إلى أن قطاع أبحاث أمان التركيب العصبي غير مستعد لهذا النوع من الهجمات.

الورقة البحثية الجديدة بعنوان Poison-splat: هجوم على تقنية الغاوسيات ثلاثية الأبعاد ، ومن تأليف خمسة مؤلفين من الجامعة الوطنية في سنغافورة و Skywork AI في بكين.

الطريقة

قام المؤلفون بتحليل مدى تأثير عدد الغاوسيات المحددة لنماذج في трубة 3DGS على التكاليف الحسابية لتدريب وترميز النموذج.

يكشف بحث المؤلفين عن علاقة واضحة بين عدد الغاوسيات المحددة وتكلفة وقت التدريب ، وكذلك استخدام الذاكرة GPU.

الشكل الأيمن في الصورة أعلاه يشير إلى العلاقة الواضحة بين وضوح الصورة وعدد الغاوسيات المحددة. كلما كانت الصورة أكثر وضوحًا ، زادت التفاصيل المطلوبة لترميز نموذج 3DGS.

ينص البحث على ما يلي:

‘[نحن] نجد أن 3DGS تميل إلى تعيين المزيد من الغاوسيات للأجسام ذات الهياكل المعقدة والأسطح غير الملساء ، حسب درجة التباين – مقياس لتقييم وضوح الصورة. بشكل直 ، كلما كانت السطح أقل سلاسة ، زادت الغاوسيات التي يحتاجها النموذج لاستعادة جميع التفاصيل من مشاريعها ثنائية الأبعاد.

‘هence ، يمكن أن تكون عدم السلاسة وصفًا جيدًا للتعقيد [للعوامل].’

然而 ، تحسين الصور ببساطة سوف يؤثر على سلامة النموذج 3DGS لدرجة أن الهجوم سوف يكون واضحًا في المراحل الأولى.

تتطلب تسميم البيانات نهجًا أكثر تطورًا. وقد اعتمد المؤلفون طريقة النموذج الوكالة ، حيث يتم تحسين الصور الهجومية في نموذج 3DGS خارجي تم تطويره وسيطر عليه المهاجمون.

على اليسار ، نرى رسمًا بيانيًا ل总 تكلفة وقت الحوسبة واشغال الذاكرة GPU على مجموعة بيانات MIP-NeRF360 ‘room’ ، مما يظهر الأداء الأصلي ، والاضطراب البسيط ، والبيانات التي تسيطر عليها الوكالة. على اليمين ، نرى أن الاضطراب البسيط للصور المصدرية (الأحمر) يؤدي إلى نتائج مدمرة سريعًا في مرحلة مبكرة من العملية. من خلال المقارنة ، نرى أن الصور المصدرية التي تسيطر عليها الوكالة ت维ح نهج هجومي أكثر خفاء وتكاملًا.

ينص البحث على ما يلي:

‘من الواضح أن النموذج الوكالة يمكن توجيهه من عدم السلاسة في الصور ثنائية الأبعاد لتطوير أشكال ثلاثية الأبعاد معقدة للغاية. ‘

‘نتيجة لذلك ، يمكن للبيانات المسممة التي تنتجها проекция هذا النموذج المكتظ أن تنتج المزيد من البيانات المسممة ، مما يؤدي إلى تعيين المزيد من الغاوسيات لتلك البيانات.’

يتم تقييد نظام الهجوم بواسطة تعاون بين جوجل وفيسبوك في عام 2013 مع جامعات مختلفة ، بحيث تبقى الاضطرابات داخل الحدود المحددة لتمكين النظام من التسبب في ضرر دون التأثير على إعادة إنشاء صورة 3DGS ، والتي سوف تكون إشارة مبكرة للاختراق.

البيانات والاختبارات

قام الباحثون بتحليل الهجوم ضد ثلاث مجموعات بيانات: NeRF-Synthetic و Mip-NeRF360 و Tanks-and-Temples.

استخدموا التنفيذ الرسمي لتقنية الغاوسيات ثلاثية الأبعاد كبيئة ضحية.对于 نهج Black Box ، استخدموا إطار Scaffold-GS.

أجريت الاختبارات على وحدة معالجة رسومات NVIDIA A800-SXM4-80G.

بالنسبة للمقاييس ، كان عدد الغاوسيات المحددة هو المؤشر الرئيسي ، لأن الهدف هو صياغة صور مصدرية مصممة لزيادة وتجاوز الاستدلال العقلاني للبيانات المصدرية. كما تم النظر في سرعة الترميز للنظام المستهدف.

تظهر نتائج الاختبارات الأولية أدناه:

نتائج كاملة للهجمات على المجموعات الثلاث. يشير المؤلفون إلى أنهم قد أشادوا بهجمات ناجحة استهلكت أكثر من 24 جيجابايت من الذاكرة. يرجى الرجوع إلى الورقة الأصلية للحصول على دقة أفضل.

من بين هذه النتائج ، يعلق المؤلفون على ما يلي:

‘هجوم Poison-splat يظهر القدرة على إنشاء عبء حسابي إضافي كبير عبر عدة مجموعات بيانات. حتى مع تقييد الاضطرابات في نطاق صغير في الهجوم ، يمكن زيادة الذاكرة القصوى لGPU إلى أكثر من ضعفين ، مما يجعل الحد الأقصى لاستخدام GPU أعلى من 24 جيجابايت.

‘في العالم الحقيقي ، قد يعني ذلك أن هجومنا قد يتطلب المزيد من الموارد القابلة للتخصيص مما يمكن أن توفره محطات GPU الشائعة ، على سبيل المثال RTX 3090 و RTX 4090 و A5000. علاوة على ذلك ، لا يزيد الهجوم فقط من استخدام الذاكرة ، بل يبطئ أيضًا بشكل كبير من سرعة التدريب. ‘

‘هذه الخاصية سوف تعزز الهجوم ، لأن احتلال GPU الزائد سوف يستمر لفترة أطول من التدريب العادي ، مما يجعل فقدان القوة الحسابية أعلى.’

تقدم النموذج الوكالة في كل من سيناريوهات الهجوم المقيدة وغير المقيدة.

تظهر الاختبارات ضد Scaffold-GS (النموذج الأسود) أدناه. يشير المؤلفون إلى أن هذه النتائج تشير إلى أن Poison-splat يgeneralizes جيدًا إلى هيكل مختلف (أي إلى التنفيذ المرجعي).

نتائج الاختبارات لهجمات Black Box على مجموعتي NeRF-Synthetic و MIP-NeRF360.

يشير المؤلفون إلى أن هناك دراسات قليلة تركز على هذا النوع من الهجمات التي تستهدف الموارد في عمليات الاستدلال.

في عام 2020 ، تمكن البحث هجمات الطاقة والزمن على الشبكات العصبية من تحديد أمثلة بيانات تؤدي إلى تفعيل مفرط للعصبونات ، مما يؤدي إلى استهلاك مدمر للطاقة ووقت زمني سيئ.

الاستنتاج

هجوم Poison-splat الذي طوره الباحثون يexploits نقطة ضعف أساسية في تقنية الغاوسيات ثلاثية الأبعاد – حقيقة أنها تعين تعقيدًا وكثافة الغاوسيات وفقًا للمادة التي يتم تدريبها عليها.

في عام 2024 ، لاحظت الورقة F-3DGS: إحداثيات وتمثيلات معززة لتقنية الغاوسيات ثلاثية الأبعاد أن تعيين الغاوسيات العشوائي لتقنية الغاوسيات ثلاثية الأبعاد هو نهج غير فعال ، والذي غالبًا ما ينتج أيضًا مثيلات زائدة:

‘[هذا] عدم الكفاءة يأتي من عدم قدرة 3DGS على استخدام الأنماط الهيكلية أو التكرارات. لقد لاحظنا أن 3DGS ينتج عددًا كبيرًا من الغاوسيات حتى لمجرد تمثيل هياكل هندسية بسيطة ، مثل السطوح المسطحة. ‘

‘علاوة على ذلك ، قد تظهر الغاوسيات القريبة أحيانًا سمات متشابهة ، مما يشير إلى إمكانية تحسين الكفاءة عن طريق إزالة التمثيلات الزائدة.’

منذ تقييد توليد الغاوسيات يضر بجودة التمثيل في سيناريوهات غير الهجوم ، قد يحتاج عدد متزايد من مقدمي الخدمات الذين يقدمون 3DGS من البيانات المرفوعة إلى دراسة سمات الصور المصدرية لتحديد التوقيعات التي تشير إلى نيه خبيثة.

في أي حال ، يخلص مؤلفو العمل الجديد إلى أن أساليب الدفاع الأكثر تطورًا سوف تكون ضرورية للخدمات على الإنترنت في مواجهة نوع الهجوم الذي صمموها.

* تحويلي لمراجع المؤلفين الداخلية إلى روابط

نشر لأول مرة يوم الجمعة ، 11 أكتوبر 2024