Das Stehlen von Machine-Learning-Modellen durch API-Ausgaben

Neue Forschung aus Kanada bietet eine mögliche Methode, mit der Angreifer die Früchte teurer Machine-Learning-Frameworks stehlen könnten, selbst wenn der einzige Zugriff auf ein proprietäres System über eine stark gesicherte und scheinbar gut gesicherte API (eine Schnittstelle oder ein Protokoll, das Benutzeranfragen serverseitig verarbeitet und nur die Ausgaberückmeldung zurückgibt) erfolgt.

Da der Forschungsbereich zunehmend darauf abzielt, teure Modelltrainings durch Machine-Learning-as-a-Service-(MLaaS)-Implementierungen zu monetarisieren, legt die neue Arbeit nahe, dass Self-Supervised-Learning-(SSL)-Modelle anfälliger für diese Art von Modell-Exfiltration sind, da sie ohne Benutzeretiketten trainiert werden, was die Extraktion vereinfacht, und in der Regel Ergebnisse liefern, die für jemanden, der das (versteckte) Quellmodell replizieren möchte, eine große Menge nützlicher Informationen enthalten.

In “Black-Box”-Test-Simulationen (in denen die Forscher sich selbst keinen Zugriff auf ein lokales “Opfer”-Modell gewährten, als würde ein typischer Endbenutzer über eine Web-API zugreifen), konnten die Forscher die Ziel-Systeme mit relativ geringen Ressourcen replizieren:

‘[Unsere] Angriffe können eine Kopie des Opfer-Modells stehlen, das eine erhebliche Downstream-Leistung in weniger als 1/5 der Abfragen erreicht, die zum Trainieren des Opfer-Modells verwendet wurden. Gegen ein Opfer-Modell, das auf 1,2 Mio. nicht beschrifteten Proben von ImageNet trainiert wurde, mit einer Genauigkeit von 91,9 % bei der Downstream-Aufgabe Fashion-MNIST, stahlen unsere direkte Extraktions-Angriffe mit dem InfoNCE-Verlust eine Kopie des Encoders, die eine Genauigkeit von 90,5 % in 200.000 Abfragen erreichte.

‘Ähnlich verhält es sich bei einem Opfer, das auf 50.000 nicht beschrifteten Proben von CIFAR10 trainiert wurde, mit einer Genauigkeit von 79,0 % bei der Downstream-Aufgabe CIFAR10, unsere direkte Extraktions-Angriffe mit dem SoftNN-Verlust stahlen eine Kopie, die eine Genauigkeit von 76,9 % in 9.000 Abfragen erreichte.’

Die Forscher verwendeten drei Angriffsmethoden und fanden heraus, dass die direkte Extraktion die effektivste Methode war. Diese Modelle wurden von einem lokal rekonstruierten CIFAR10-Opfer-Encoder mit 9.000 Abfragen aus dem CIFAR10-Test-Set gestohlen. Quelle: https://arxiv.org/pdf/2205.07890.pdf

Die Forscher weisen auch darauf hin, dass Methoden, die geeignet sind, um beaufsichtigte Modelle vor Angriffen zu schützen, sich nicht gut an Modelle anpassen, die auf unsupervised Basis trainiert werden – obwohl solche Modelle einige der erwarteten und gefeierten Früchte des Bildsynthese-Sektors darstellen.

Die neue Arbeit trägt den Titel Über die Schwierigkeit, Self-Supervised-Learning gegen Modell-Extraktion zu verteidigen und stammt von der University of Toronto und dem Vector Institute for Artificial Intelligence.

Selbstbewusstsein

Bei Self-Supervised-Learning wird ein Modell auf nicht beschrifteten Daten trainiert. Ohne Etiketten muss ein SSL-Modell Assoziationen und Gruppen aus der impliziten Struktur der Daten lernen, ähnliche Aspekte der Daten suchen und diese allmählich in Knoten oder Repräsentationen zusammenfassen.

Wo ein SSL-Ansatz machbar ist, ist er unglaublich produktiv, da er die Notwendigkeit teurer (oft ausgelagerter und umstrittener) Kategorisierung durch Crowdworker umgeht und im Wesentlichen die Daten autonom rationalisiert.

Die drei SSL-Ansätze, die die Autoren der neuen Arbeit betrachten, sind SimCLR, ein Siamese-Netzwerk; SimSiam, ein weiteres Siamese-Netzwerk, das auf Repräsentationslernen ausgerichtet ist; und Barlow-Zwillinge, ein SSL-Ansatz, der 2021 bei seiner Veröffentlichung eine state-of-the-art-ImageNet-Klassifizierungsleistung erzielte.

Die Modell-Extraktion für beschriftete Daten (d. h. ein Modell, das durch beaufsichtigtes Lernen trainiert wurde) ist ein relativ gut dokumentiertes Forschungsgebiet. Es ist auch einfacher, sich dagegen zu verteidigen, da der Angreifer die Etiketten vom Opfer-Modell erhalten muss, um es nachzubilden.

Ein ‘Knockoff-Klassifizierer’-Angriffsmodell gegen eine beaufsichtigte Lernarchitektur. Quelle: https://arxiv.org/pdf/1812.02766.pdf

Ohne White-Box-Zugriff ist dies keine triviale Aufgabe, da die typische Ausgabe einer API-Anfrage an ein solches Modell weniger Informationen enthält als bei einer typischen SSL-API.

Aus der Arbeit*:

‘Vorherige Arbeiten zur Modell-Extraktion konzentrierten sich auf die beaufsichtigte Lernumgebung, in der das Opfer-Modell typischerweise eine Etikette oder andere niedrigdimensionale Ausgaben wie Vertrauenswerte Bewertungen oder Logits zurückgibt.

‘Im Gegensatz dazu geben SSL-Encoder hochdimensionale Repräsentationen zurück; die de facto-Ausgabe für ein ResNet-50-Sim-CLR-Modell, eine beliebte Architektur in der Bildsynthese, ist ein 2048-dimensionales Vektor.

‘Wir vermuten, dass diese erheblich höhere Informationslecks aus Encodern sie anfälliger für Extraktionsangriffe macht als SL-Modelle.’

Architektur und Daten

Die Forscher testeten drei Ansätze zur SSL-Modell-Inferenz/Extraktion: direkte Extraktion, bei der die API-Ausgabe mit der Ausgabe eines rekonstruierten Encoders über eine geeignete Verlustfunktion wie dem mittleren quadratischen Fehler (MSE) verglichen wird; Rekonstruktion des Projektionskopfes, bei der eine entscheidende analytische Funktionalität des Modells, normalerweise vor der Bereitstellung verworfen, reassembliert und in einer Replik verwendet wird; und Zugriff auf den Projektionskopf, der nur in Fällen möglich ist, in denen die ursprünglichen Entwickler die Architektur verfügbar gemacht haben.

In Methode #1, direkte Extraktion, wird die Ausgabe des Opfer-Modells mit der Ausgabe eines lokalen Modells verglichen; Methode #2 beinhaltet die Rekonstruktion des Projektionskopfes, der in der ursprünglichen Trainingsarchitektur verwendet wird (und normalerweise nicht in einem bereitgestellten Modell enthalten ist).

Die Forscher fanden heraus, dass die direkte Extraktion die effektivste Methode war, um eine funktionale Replik des Ziel-Modells zu erhalten, und den zusätzlichen Vorteil hatte, dass sie am schwierigsten zu charakterisieren war als “Angriff” (da sie sich im Wesentlichen nicht von einem typischen und gültigen Endbenutzer verhielt).

Die Autoren trainierten Opfer-Modelle auf drei Bild-Datensätzen: CIFAR10, ImageNet und Stanford’s Street View House Numbers (SVHN). ImageNet wurde auf ResNet50 trainiert, während CIFAR10 und SVHN auf ResNet18 und ResNet24 über eine frei verfügbare PyTorch-Implementierung von SimCLR trainiert wurden.

Die Downstream-Leistung (d. h. die bereitgestellte Leistung) der Modelle wurde gegen CIFAR100, STL10, SVHN und Fashion-MNIST getestet. Die Forscher experimentierten auch mit “White-Box”-Methoden der Modell-Aneignung, obwohl sich herausstellte, dass die direkte Extraktion, der am wenigsten privilegierte Ansatz, die besten Ergebnisse lieferte.

Um die Repräsentationen zu bewerten, die in den Angriffen abgeleitet und repliziert wurden, fügten die Autoren eine lineare Vorherschicht zum Modell hinzu, die auf dem vollständigen beschrifteten Trainings-Set der nachfolgenden (Downstream-)Aufgabe fein abgestimmt wurde, während die restlichen Netzwerkschichten eingefroren blieben. Auf diese Weise kann die Testgenauigkeit der Vorherschicht als Metrik für die Leistung dienen. Da sie nichts zur Inferenz beiträgt, stellt dies keine “White-Box”-Funktionalität dar.

Ergebnisse der Testläufe, ermöglicht durch die (nicht beitragende) lineare Bewertung. Genauigkeitswerte in Fett.

In einem Kommentar zu den Ergebnissen sagen die Forscher:

‘Wir stellen fest, dass das direkte Ziel, die Repräsentationen des Opfers nachzuahmen, eine hohe Leistung bei Downstream-Aufgaben liefert, obwohl der Angriff nur einen Bruchteil (weniger als 15 % in bestimmten Fällen) der Anzahl der Abfragen erfordert, die zum Trainieren des gestohlenen Encoders im ersten Schritt erforderlich sind.’

Und fahren fort:

‘[Es] ist schwierig, Encoder zu verteidigen, die mit SSL trainiert wurden, da die Ausgaberepräsentationen eine erhebliche Menge an Informationen leaken. Die vielversprechendsten Verteidigungen sind reaktive Methoden, wie z. B. Wasserzeichen, die spezifische Augmentierungen in Encodern mit hoher Kapazität einbetten können.’

* Meine Umwandlung der Inline-Zitate der Arbeit in Hyperlinks.

Erstveröffentlichung am 18. Mai 2022.