Tyveri af maskinlæringsmodeller gennem API-udgang

Nyt forskning fra Canada tilbyder en mulig metode, som angribere kunne stjæle frugterne af dyre maskinlæringsrammer, selvom den eneste adgang til et proprietært system er via en højtsaneret og åbenbart velbeskyttet API (en grænseflade eller protokol, der behandler brugerforespørgsler server-side, og returnerer kun outputsvaret).

Som forskningssektoren ser mere og mere mod at moneterer dyre modeltræning gennem Machine Learning som en Service (MLaaS)-implementeringer, foreslår den nye forskning, at Selv-Supplerende Læring (SSL) modeller er mere sårbare over for denne type model-ekstraktion, fordi de trænes uden brugeretiketter, hvilket simplificerer ekstraktionen, og typisk returnerer resultater, der indeholder en stor mængde nyttig information for nogen, der ønsker at replikere den (skjulte) kilde-model.

I ‘black box’-test-simulationer (hvor forskerne gav sig selv ingen adgang til en lokal ‘offer’-model end en typisk slutbruger ville have via en web-API), kunne forskerne replikere mål-systemerne med relativt lave ressourcer:

‘[Vores] angreb kan stjæle en kopi af offer-modellen, der opnår betydelig downstream-præstation i færre end 1/5 af forespørgslerne, der blev brugt til at træne offeret. Mod en offer-model, der er trænet på 1,2M ubeslægtede eksempler fra ImageNet, med en 91,9% nøjagtighed på downstream Fashion-MNIST-klassificeringen, stjal vores direkte ekstraktionsangreb med InfoNCE-taben en kopi af encoderen, der opnår 90,5% nøjagtighed i 200K forespørgsler.

‘Lignende, mod en offer, der er trænet på 50K ubeslægtede eksempler fra CIFAR10, med en 79,0% nøjagtighed på downstream CIFAR10-klassificeringen, stjal vores direkte ekstraktionsangreb med SoftNN-taben en kopi, der opnår 76,9% nøjagtighed i 9.000 forespørgsler.’

Forskerne brugte tre angrebsmetoder og fandt, at ‘Direkte Ekstraktion’ var den mest effektive. Disse modeller blev stjålet fra en lokal genskabt CIFAR10-offer-encoder ved hjælp af 9.000 forespørgsler fra CIFAR10-test-sættet. Kilde: https://arxiv.org/pdf/2205.07890.pdf

Forskerne bemærker også, at metoder, der er egnede til at beskytte overvågede modeller mod angreb, ikke tilpasser sig godt til modeller, der er trænet på en usuperviseret basis – selvom sådanne modeller repræsenterer nogle af de mest forventede og fejrede frugter af billedsynssæktoren.

Den nye rapport er titlen Om sværheden ved at forsvare Selv-Supplerende Læring mod Model-Ekstraktion, og kommer fra University of Toronto og Vector Institute for Artificial Intelligence.

Selvbevidsthed

I Selv-Supplerende Læring trænes en model på ubeslægtet data. Uden etiketter må en SSL-model lære associationer og grupper fra den implicite struktur af data, søger lignende aspekter af data og gradvist samler disse aspekter i noder eller repræsentationer.

Hvor en SSL-tilgang er gennemførlig, er det utroligt produktivt, da det omgår behovet for dyre (ofte outsourcede og kontroversielle) kategorisering af crowdworkers, og essentielt rationaliserer data autonomt.

De tre SSL-tilgange, der er overvejet af rapportens forfattere, er SimCLR, en Siamese Network; SimSiam, en anden Siamese Network centreret om repræsentationslæring; og Barlow Twins, en SSL-tilgang, der opnåede state-of-the-art ImageNet-klassificatorpræstation på dens udgivelse i 2021.

Model-ekstraktion for labeled data (dvs. en model, der er trænet gennem overvåget læring) er et relativt veldokumenteret forskningsområde. Det er også lettere at forsvare mod, da angriberen må opnå etiketterne fra offer-modellen for at genskabe den.

En ‘knockoff-klassificator’-angrebsmodel mod en overvåget læringsarkitektur. Kilde: https://arxiv.org/pdf/1812.02766.pdf

Uden white-box-adgang er dette ikke en trivial opgave, da den typiske output fra en API-forespørgsel til en sådan model indeholder mindre information end med en typisk SSL-API.

Fra rapporten*:

‘Tidligere arbejde om model-ekstraktion fokuserede på det Overvågede Læring (SL)-scenario, hvor offer-modellen typisk returnerer en etiket eller andre lavdimensionelle outputs som tillidskoefficienter eller logits.

‘I modsætning hertil returnerer SSL-encodere højdimensionelle repræsentationer; den de facto output for en ResNet-50 Sim-CLR-model, en populær arkitektur i vision, er en 2048-dimensionel vektor.

‘Vi formoder, at denne betydeligt højere informationslækage fra encodere gør dem mere sårbare over for ekstraktionsangreb end SL-modeller.’

Arkitektur og Data

Forskerne testede tre tilgange til SSL-model-inferens/ekstraktion: Direkte Ekstraktion, hvor API-outputtet sammenlignes med en genskabt encoders output via en passende tab-funktion som Mean Squared Error (MSE); genskabelse af projektionshovedet, hvor en kritisk analytisk funktion af modellen, normalt bortkastet før deployment, genskabes og bruges i en replica-model; og adgang til projektionshovedet, som kun er muligt i tilfælde, hvor de oprindelige udviklere har gjort arkitekturen tilgængelig.

I metode #1, Direkte Ekstraktion, sammenlignes outputtet fra offer-modellen med outputtet fra en lokal model; metode #2 indebærer genskabelse af projektionshovedet, der blev brugt i den oprindelige træningsarkitektur (og normalt ikke er inkluderet i en deployet model).

Forskerne fandt, at Direkte Ekstraktion var den mest effektive metode til at opnå en fungerende replica af mål-modellen, og har den ekstra fordel at være den mest svær at karakterisere som et ‘angreb’ (fordi det essentielt opfører sig lidt anderledes end en typisk og gyldig slutbruger).

Forskerne trænede offer-modeller på tre billed-datasæt: CIFAR10, ImageNet, og Stanford’s Street View House Numbers (SVHN). ImageNet blev trænet på ResNet50, mens CIFAR10 og SVHN blev trænet på ResNet18 og ResNet24 over en frit tilgængelig PyTorch-implementation af SimCLR.

Modellerne downstream (dvs. deployerede) præstation blev testet mod CIFAR100, STL10, SVHN og Fashion-MNIST. Forskerne eksperimenterede også med mere ‘white box’-metoder til model-tilknytning, selvom det viste sig, at Direkte Ekstraktion, den mindst priviligerede tilgang, gav de bedste resultater.

Til at evaluere repræsentationerne, der blev infereret og replikeret i angrebene, tilføjede forfatterne en lineær prædiktionsskikt til modellen, der blev fintuned på det fulde labeled træningssæt fra den efterfølgende (downstream) opgave, med resten af netværkslagene låst. På denne måde kan testnøjagtigheden på prædiktionsskiktet fungere som en metrik for præstation. Da det bidrager intet til inferensprocessen, repræsenterer dette ikke ‘white box’-funktionalitet.

Resultaterne på testkørslerne, muliggjort af (ikke-bidragende) Lineær Evalueringsskikt. Nøjagtighedsscore i fed skrift.

Kommentarer til resultaterne, siger forskerne:

‘Vi finder, at det direkte formål med at imitere offerets repræsentationer giver høj præstation på downstream-opgaver, på trods af at angrebet kun kræver en brøkdel (mindre end 15% i visse tilfælde) af antallet af forespørgsler, der er nødvendige for at træne den stjålne encoder fra starten.’

Og fortsætter:

‘[Det] er udfordrende at forsvare encodere, der er trænet med SSL, da output-repræsentationerne lækker en betydelig mængde information. De mest lovende forsvar er reaktive metoder, såsom vandmærkning, der kan indlejre bestemte ændringer i højkapacitets-encodere.’

* Min konvertering af rapportens inline-citationer til hyperlinks.

Først publiceret den 18. maj 2022.