MLaaS: منع سرقة النماذج المُدارة بواسطة واجهات برمجة التطبيقات باستخدام التشفير التلقائي المتغير

تُعد خدمة التعلم الآلي كخدمة (MLaaS) تُجسد ثمار البحث المكلف وتدريب النماذج عبر واجهات برمجة التطبيقات التي توفر للعملاء إمكانية الوصول إلى Informationen من النظام. على الرغم من أن منطق النظام يُكشف بشكل لا مبرر له إلى حد ما من خلال هذه المعاملات، إلا أن هيكل النموذج الرئيسي، والأوزان التي تحدد فائدة النموذج، والبيانات المحددة المستخدمة في تدريبه تُحافظ عليها بحذر لعدة أسباب.

أولاً، من المحتمل أن تكون الإطار قد استغل عددًا من مستودعات التعليم المفتوح أو مجاني (FOSS)، ويمكن للمنافسين المحتملين القيام بذلك بسهولة في سبيل نفس الأهداف؛ ثانيًا، في العديد من الحالات تمثل الأوزان المستخدمة في النماذج 95٪ أو أكثر من قدرة النموذج على تفسير البيانات بشكل أفضل من النماذج المنافسة، ويمكن اعتبارها بشكل معقول تمثل القيمة الأساسية للاستثمار المكلف، سواء فيما يتعلق بساعات البحث أو التدريب على نطاق كبير ومجهز جيدًا على معالجات الرسومات من الصنف الصناعي.

كما أن مزيج البيانات المملوكة والمتاحة للجمهور خلف مجموعة بيانات التدريب للنموذج هو مسألة محتملة للانفجار: حيث تكون البيانات “الأصلية” عملًا تم الحصول عليه من خلال طرق مكلفة، يمكن لمستخدم واجهة برمجة التطبيقات الاستدلال على هيكل البيانات أو محتواها من خلال طلبات واجهة برمجة التطبيقات المسموح بها، مما يسمح لهم ببساطة بإعادة بناء قيمة العمل، إما عن طريق فهم مخطط البيانات (مما يسمح بالتكرار العملي) أو عن طريق إعادة إنتاج الأوزان التي توجيه ميزات البيانات، مما قد يسمح بإعادة إنتاج هيكل “فارغ” ولكن فعال في معالجة المواد اللاحقة.

غسيل البيانات

علاوة على ذلك، فإن الطريقة التي يتم بها تجريد البيانات في الفضاء الكامن للنموذج خلال التدريب تُغسل بشكل فعال إلى وظائف عامة تجعل من الصعب على أصحاب حقوق النشر فهم ما إذا تم استيعاب عملهم الأصلي بدون إذن في النموذج.

من المحتمل أن يخضع المناخ الحالي اللاسعفة في جميع أنحاء العالم بشأن هذه الممارسة إلى تنظيم متزايد خلال السنوات الخمس إلى عشر القادمة. تحتوي مشروع لوائح الاتحاد الأوروبي اللوائح المتعلقة بالذكاء الاصطناعي بالفعل على قيود متعلقة بأصل البيانات، وإطار شفافية افتراضي من شأنه أن يجعل من الصعب على شركات جمع البيانات التهرب من اللوائح القائمة المتعلقة bằng الويب لاغراض البحث. كما تعمل حكومات أخرى، بما في ذلك الولايات المتحدة، الآن على الالتزام بإطارات تنظيمية مماثلة على المدى الطويل.

随着 تطور مجال التعلم الآلي من ثقافة إثبات المفهوم إلى هيكل تجاري قابل للتطبيق، قد يجد النماذج التي تُثبت أنها انتهكت قيودًا على البيانات، حتى في إصدارات سابقة من منتجاتها، نفسها معرضة قانونيًا.

لذلك فإن خطر الاستدلال على مصادر البيانات عبر مكالمات واجهة برمجة التطبيقات لا يتعلق فقط بالتجسس الصناعي من خلال عكس النموذج وطرق أخرى، ولكن أيضًا بالأساليب الشرعية الناشئة لحماية الملكية الفكرية التي قد تثقل كاهل الشركات بعد انتهاء عصر “الغرب المتوحش” للبحث في التعلم الآلي.

الاستخراج بواسطة واجهة برمجة التطبيقات كوسيلة لتطوير الهجوم المعادي

تُحدث بعض إطارات التعلم الآلي بياناتها وخياراتها باستمرار، بدلاً من اشتقاق نموذج نهائي ومدى الحياة من مجموعة بيانات تاريخية كبيرة (مثل GPT-3، على سبيل المثال). وتشمل هذه الأنظمة النظم المتعلقة بمعلومات المرور، وغيرها من القطاعات التي تكون البيانات في الوقت الفعلي حاسمة لاستمرار قيمة خدمة التعلم الآلي.

إذا كان يمكن “تحويل” منطق النموذج أو وزن البيانات بواسطة واجهة برمجة التطبيقات، فيمكن أن تُستخدم هذه العوامل بشكل محتمل ضد النظام في شكل هجمات معادية، حيث يمكن ترك بيانات محددة بشكل خبيث في البرية، في المناطق التي يُرجح أن يستخدمها النظام المستهدف؛ أو عن طريق اختراق روتينات الحصول على البيانات بطرق أخرى.

لذلك فإن التدابير المتخذة ضد رسم الخرائط المعتمد على واجهة برمجة التطبيقات لها آثار على أمان نماذج التعلم الآلي.

منع الاستخراج بواسطة واجهة برمجة التطبيقات

برزت مبادرات بحثية عديدة في السنوات الأخيرة لتوفير منهجيات يمكنها منع الاستدلال على هيكل النموذج وبيانات المصدر المحددة عبر مكالمات واجهة برمجة التطبيقات. أحدث هذه المبادرات هو محدد في ورقة بحثية مشتركة بين باحثين من المعهد الهندي للعلوم في بنغالور وNference، منصة برمجية تعتمد على الذكاء الاصطناعي مقرها كامبريدج، ماساتشوستس.

المسمى كشف دقيق للهجمات على استخراج النموذج، يُقترح البحث نظامًا يُسمى VarDetect، وقد تم إتاحة رمز أولي له على جيت هاب.

يعمل VarDetect على جهاز الخادم بشكل مستمر لمراقبة استفسارات المستخدم إلى واجهة برمجة التطبيقات، ويتعقب ثلاثة أنماط متميزة للهجمات على استخراج النموذج. ويُبلغ الباحثون أن VarDetect هو أول آلية دفاع تقاوم جميع الأنواع الثلاثة. بالإضافة إلى ذلك، يمكنه مكافحة الإجراءات المضادة للمهاجمين الذين يدركون آلية الدفاع، ويسعون لتحقيقها عن طريق إخفاء أنماط الهجوم بمواقف أو زيادة حجم الاستفسارات لتحجيم الطلبات التي تحاول بناء خريطة للنموذج.

هيكل VarDetect. مصدر: https://arxiv.org/pdf/2107.05166.pdf

يستخدم VarDetect التنкодات التلقائية المتغيرة (VAEs) لإنشاء أداة تقييمية شبيهة بالحجج للاستفسارات الواردة. على عكس الطرق السابقة، يتم تدريب النظام على بيانات مملوكة، مما يُلغي الحاجة إلى الوصول إلى بيانات المهاجم، وهو نقطة ضعف في النهج السابقة، وسيناريو غير محتمل.

النموذج المخصص للمشروع مُشتق من ثلاث مجموعات بيانات أو نهجات متاحة للجمهور: العمل المطور في عام 2016 من المعهد الفدرالي السويسري للتكنولوجيا وتكنولوجيا كورنيل؛ عن طريق إضافة الضوضاء إلى بيانات “مجال المشكلة”، كما هو موضح لأول مرة في ورقة PRADA لعام 2017 من فنلندا؛ عن طريق زحف الصور المتاحة للجمهور، مستوحى من البحث ActiveThief لعام 2020 من المعهد الهندي للعلوم.

مقارنة بين عينات حميدة و”خبيثة” عبر الخمس مجموعات البيانات المستخدمة في VarDetect.

ستُ فلتر التوزيعات الترددية التي تتوافق مع سمات مجموعة البيانات الموجودة على متن الطائرة كإشارات استخراج.

يقر الباحثون بأن أنماط الطلب العادي من المستخدمين الحميدين يمكن أن تؤدي إلى إشارات كاذبة في النظام، مما يمنع الاستخدام العادي. لذلك قد تُضاف إشارات “آمنة” متلقاة بعد ذلك إلى مجموعة بيانات VarDetect، وتصبح جزءًا من الخوارزمية من خلال جدول تدريب متحرك، اعتمادًا على تفضيلات نظام المضيف.