MLaaS: Verhinderung von API-getriebenen Modell-Diebstahl mit Variationalen Autoencodern

Machine Learning As a Service (MLaaS) macht die Ergebnisse teurer Forschung und Modelltrainings über APIs zugänglich, die Kunden Zugang zu Erkenntnissen aus dem System geben. Obwohl die Logik des Systems durch diese Transaktionen bis zu einem bestimmten Grad offenbart wird, werden die Kernmodellarchitektur, die Gewichte, die die Nützlichkeit des Modells definieren, und die spezifischen Trainingsdaten, die es nützlich gemacht haben, aus mehreren Gründen streng geschützt.

Zunächst ist das Framework wahrscheinlich auf eine Reihe von kostenlosen oder Open-Source-Code-Repositorys (FOSS) zurückzugreifen, und potenzielle Rivalen könnten dies leicht tun, um dieselben Ziele zu verfolgen; zweitens stellen die verwendeten Gewichte in vielen Fällen 95% oder mehr der Fähigkeit des Modells dar, Trainingsdaten besser zu interpretieren als Rivalenmodelle, und stellen möglicherweise den Kernwert der teuren Investitionen dar, sowohl in Bezug auf Forschungsstunden als auch auf groß angelegte, gut ausgestattete Modelltrainings auf industrieüblichen GPUs.

Außerdem ist die Mischung aus proprietären und öffentlich zugänglichen Daten hinter dem Trainingsdatensatz des Modells ein potenziell explosives Thema: Wenn die Daten “Originalarbeit” sind, die durch kostspielige Methoden erhalten wurden, könnte die Fähigkeit eines API-Benutzers, die Datenstruktur oder den Inhalt durch API-Anfragen abzuleiten, es ihm ermöglichen, im Wesentlichen den Wert der Arbeit zu rekonstruieren, entweder indem er das Schema der Daten (was eine praktische Reproduktion ermöglicht) oder die Gewichte, die die Merkmale der Daten orchestrieren, reproduziert, was möglicherweise die Reproduktion einer “leeren” aber effektiven Architektur ermöglicht, in die anschließend nützliches Material verarbeitet werden kann.

Datenwaschanlage

Darüber hinaus “waschen” die Daten im latenten Raum des Machine-Learning-Modells während des Trainings effektiv in generalisierte Funktionen, die es Urheberrechtsinhabern schwer machen, zu verstehen, ob ihre Originalarbeit ohne Erlaubnis in ein Modell aufgenommen wurde.

Das derzeitige Laissez-faire-Klima in der Welt in Bezug auf diese Praxis wird wahrscheinlich in den nächsten 5-10 Jahren unter zunehmende Regulierung fallen. Die Entwurfsregulierungen der EU für künstliche Intelligenz enthalten bereits Vorschriften über die Herkunft von Daten und ein Rahmenwerk für Transparenz, das es Daten sammelnden Unternehmen schwer machen würde, Domänenregulierungen über Web-Scraping für Forschungszwecke zu umgehen. Andere Regierungen, einschließlich der USA, verpflichten sich nun zu ähnlichen regulatorischen Rahmenwerken für den langen Zeitraum.

Wenn das Machine-Learning-Feld von einer Proof-of-Concept-Kultur zu einer kommerziell tragfähigen Ökonomie evolviert, könnten ML-Modelle, die gegen Einschränkungen von Daten verstoßen, selbst in früheren Iterationen ihrer Produkte, sich rechtlich exponiert finden.

Daher betrifft das Risiko, Datenquellen über API-Anfragen abzuleiten, nicht nur industrielle Spionage durch Modellinversion und andere Methoden, sondern auch aufkommende forensische Methoden zum Schutz von geistigen Eigentumsrechten, die möglicherweise auf Unternehmen einwirken, nachdem die “Wild-West-Ära” der Machine-Learning-Forschung zu Ende geht.

API-getriebene Exfiltration als Mittel zur Entwicklung von Adversarial-Angriffen

Einige Machine-Learning-Frameworks aktualisieren ihre Trainingsdaten und Algorithmen kontinuierlich, anstatt ein definitives, langfristiges Modell aus einem großen Korpus historischer Daten abzuleiten (wie bei GPT-3). Dazu gehören Systeme im Zusammenhang mit Verkehrsinformationen und anderen Branchen, in denen Echtzeitdaten für den anhaltenden Wert eines ML-getriebenen Dienstes von entscheidender Bedeutung sind.

Wenn die Logik oder die Gewichtung eines Modells durch systematische Abfragen über APIs “abgebildet” werden kann, können diese Faktoren möglicherweise gegen das System in Form von Adversarial-Angriffen eingesetzt werden, bei denen böswillig erstellte Daten in Bereichen platziert werden, in denen das Ziel-System sie wahrscheinlich aufnehmen wird; oder indem die Datenbeschaffungsroutinen durch andere Methoden infiltriert werden.

Daher haben Maßnahmen gegen API-zentrierte Abbildung auch Auswirkungen auf die Sicherheit von Machine-Learning-Modellen.

Verhinderung von API-getriebener Exfiltration

In den letzten Jahren sind mehrere Forschungsinitiativen entstanden, um Methoden bereitzustellen, die die Ableitung von Modellarchitektur und spezifischen Quelldaten über API-Anfragen verhindern können. Die neueste davon wird in einer Vorabveröffentlichung von Forschern des Indian Institute of Science in Bangalore und Nference, einer auf künstlicher Intelligenz basierenden Softwareplattform mit Sitz in Cambridge, Massachusetts, vorgestellt.

Der Titel der Forschung lautet Stateful Detection of Model Extraction Attacks und schlägt ein System namens VarDetect vor, für das vorläufiger Code auf GitHub verfügbar ist.

VarDetect läuft serverseitig und überwacht kontinuierlich Benutzeranfragen an eine API, um drei verschiedene Muster von wiederholten Modell-Extraktionsangriffen zu erkennen. Die Forscher berichten, dass VarDetect das erste Verteidigungsmechanismus dieser Art ist, das alle drei Typen standhält. Darüber hinaus kann es Gegenmaßnahmen von Angreifern, die sich eines Verteidigungsmechanismus bewusst sind und versuchen, ihn zu umgehen, indem sie die Angriffsmuster mit Pausen oder einer Erhöhung der Anfragevolumens verschleiern, abwehren.

Die VarDetect-Architektur. Quelle: https://arxiv.org/pdf/2107.05166.pdf

VarDetect verwendet Variationale Autoencoder (VAEs), um effektiv eine heuristische Bewertungsprobe für eingehende Anfragen zu erstellen. Im Gegensatz zu früheren Methoden wird das System auf proprietären Daten trainiert, was die Notwendigkeit, auf Angreiferdaten zuzugreifen, eliminiert, eine Schwäche früherer Ansätze und ein unwahrscheinliches Szenario.

Das für das Projekt entwickelte benutzerdefinierte Modell basiert auf drei öffentlich verfügbaren Datensätzen oder Ansätzen: der Arbeit, die 2016 vom Schweizerischen Bundesinstitut für Technologie und Cornell Tech entwickelt wurde; durch Hinzufügen von Rauschen zu “Problem-Domänen”-Daten, wie es erstmals im PRADA-Papier von 2017 aus Finnland demonstriert wurde; und durch Crawlen öffentlich zugänglicher Bilder, inspiriert von der ActiveThief-2020-Forschung des Indian Institute of Science.

Ein Vergleich von benignen und ‘malignen’ Datenproben über die fünf Datensätze, die in VarDetect verwendet werden.

Häufigkeitsverteilungen, die den Merkmalen des Onboard-Datensatzes entsprechen, werden als Extraktions-Signale gekennzeichnet.

Die Forscher räumen ein, dass gewöhnliche Anfrage-Muster von benignen Endbenutzern möglicherweise falsche Positivergebnisse im System auslösen können, was die normale Nutzung verhindert. Daher können diese als “sichere” Signale wahrgenommenen Signale anschließend dem VarDetect-Datensatz hinzugefügt werden und über einen rollierenden Trainingsplan in den Algorithmus integriert werden, abhängig von den Präferenzen des Host-Systems.