MLaaS: Forebyggelse af API-drevet modeltyveri med Variational Autoencoders

Machine Learning As a Service (MLaaS) gør resultaterne af dyre forsknings- og modeltræningsprojekter tilgængelige via API’er, der giver kunder adgang til indsigt i systemet. Selvom systemets begrundelse uundgåeligt afsløres i visse omfang gennem disse transaktioner, beskyttes den grundlæggende modelarkitektur, de vægte, der definerer modelens nytte, og de specifikke træningsdata, der gjorde den nyttig, ivrigt af flere grunde.

Først og fremmest er rammeværket sandsynligvis baseret på en række gratis eller open-source (FOSS) kodebiblioteker, og potentielle rivaler kunne let gøre det samme i jagten på de samme mål; for det andet repræsenterer vægtene, der bruges i modellerne, i mange tilfælde 95% eller mere af modelens evne til at fortolke træningsdata bedre end rivalmodeller, og udgør sandsynligvis den væsentlige værdi af dyre investeringer, både i form af forskningstimer og omfattende, veludstyrede modeltræning på industriklassens GPU’er.

Derudover er blandingen af proprietær og offentligt tilgængelig data bag modelens træningsdataset et potentielt kontroversielt spørgsmål: Hvis data er “originalt” arbejde, der er erhvervet gennem dyre metoder, kan en API-brugers evne til at slutte sig til datastrukturen eller -indholdet gennem API-aktiverede anmodninger tillade dem at i virkeligheden genskabe værdien af arbejdet, enten ved at forstå dataschemat (hvad der tillader praktisk reproduktion) eller ved at genskabe vægtene, der orkestrerer dataens funktioner, hvilket potentielt tillader reproduktion af en “tom” men effektiv arkitektur, hvori efterfølgende materiale kan behandles nyttigt.

Data Laundering

Desuden “vasker” den måde, hvorpå data abstraheres på i den latente rum af maskinlæringsmodellen under træning, i virkeligheden data til generaliserede funktioner, der gør det svært for ophavsretshavere at forstå, om deres originale arbejde er blevet assimileret uden tilladelse i en model.

Den nuværende laissez faire-klima verden over med hensyn til denne praksis er sandsynligvis underlagt stigende regulering i de næste 5-10 år. EU’s udkast til regler for kunstig intelligens indeholder allerede bestemmelser om dataherkomst og en transparensramme, der ville gøre det svært for dataindsamlingsselskaber at omgå domæneregler om web-scraping til forskningsformål. Andre regeringer, herunder USA, er nu også forpligtet til tilsvarende reguleringer på længere sigt.

Da maskinlæringsfeltet udvikler sig fra en proof-of-concept-kultur til en kommerciel økonomi, kan ML-modeller, der er fundet at have krænket begrænsninger for data, selv i tidligere iterationer af deres produkter, muligvis blive juridisk udsatte.

Derfor er risikoen for at slutte sig til datakilder over API-opkald ikke kun relateret til industriel spionage via modelinversion og andre metoder, men også til fremvoksende retsmedicinske metoder til beskyttelse af immaterielle rettigheder, der kan påvirke virksomheder, efter at den “vilde vest”-æra for maskinlæringsforskning er slut.

API-drevet eksfiltration som middel til udvikling af adversarial angreb

Nogle maskinlæringsrammer opdaterer konstant deres træningsdata og algoritmer, i stedet for at udlede en definitiv, langsigtede enkeltmodel fra en stor samling historiske data (som med GPT-3, for eksempel). Disse inkluderer systemer relateret til trafikinformation og andre sektorer, hvor realtidsdata er afgørende for den fortsatte værdi af en ML-drevet service.

Hvis en models logik eller data-vægtning kan “kortlægges” ved systematisk at afhøre den gennem API’er, kan disse faktorer potentielt vendes imod systemet i form af adversarial angreb, hvor ondsindet konstrueret data kan efterlades i det vilde, i områder, hvor målsystemet sandsynligvis vil samle det ind; eller ved at infiltrere data-indsamlingens rutiner på andre måder.

Derfor har foranstaltninger mod API-centrisk kortlægning også implikationer for sikkerheden af maskinlæringsmodeller.

Forebyggelse af API-drevet eksfiltration

Der er opstået flere forskningsinitiativer i de seneste år for at tilbyde metoder, der kan forhindre slutningen af modelarkitektur og specifikke kilde-data via API-opkald. Den seneste af disse er beskrevet i en preprint-samarbejde mellem forskere fra Indian Institute of Science i Bangalore og Nference, et AI-baseret software-platform med base i Cambridge, Massachusetts.

Titel på forskningen er Stateful Detection of Model Extraction Attacks, og den foreslår et system kaldet VarDetect, for hvilket præliminær kode er gjort tilgængelig på GitHub.

Kørende server-side overvåger VarDetect kontinuerligt brugeranmodninger til en API, søger efter tre distinkte mønstre af gentagne model-eksfiltreringsangreb. Forskerne rapporterer, at VarDetect er den første forsvarsmekanisme af sin art, der kan modstå alle tre typer. Derudover kan den modgå modforanstaltninger fra angribere, der bliver klar over en forsvarsmekanisme, og som søger at besejre den ved at skjule angrebsmønstrene med pauser eller øge antallet af anmodninger for at kamuflere de anmodninger, der forsøger at opbygge et kort over modellen.

VarDetect-arkitekturen. Kilde: https://arxiv.org/pdf/2107.05166.pdf

VarDetect bruger Variational Autoencoders (VAE’er) til effektivt at oprette en heuristisk vurderings-sonde for indkommende anmodninger. I modsætning til tidligere metoder er systemet trænet på proprietær data, hvilket eliminerer behovet for adgang til angriberdata, en svaghed i tidligere tilgange, og en usandsynlig situation.

Den tilpassede model, der er designet til projektet, er afledt fra tre offentligt tilgængelige datasets eller tilgange: det arbejde, der blev udviklet i 2016 af det schweiziske tekniske universitet og Cornell Tech; ved at tilføje støj til ‘problemdomæne’-data, som først blev demonstreret i 2017 PRADA-papiret fra Finland; og ved at crawle offentligt tilgængelige billeder, inspireret af ActiveThief 2020 forskning fra Indian Institute of Science.

En sammenligning af benign og ‘onkologiske’ datasamples på tværs af de fem datasets, der blev brugt i VarDetect.

Hyppighedsfordelinger, der matcher karakteristika fra det ombordværende dataset, vil blive markeret som eksfiltrerings-signaler.

Forskerne indrømmer, at almindelige anmodningsmønstre fra benign brugere kan potentielt udløse falske positiver i systemet, hvilket forhindrer normal brug. Derfor kan sådanne opfattede ‘sikre’ signaler herefter blive tilføjet til VarDetect-datasettet og inkorporeret i algoritmen gennem en rullende træningsskema, afhængigt af værtsystemets præferencer.