Μια Επίθεση Δηλητηρίασης Κατά του 3D Gaussian Splatting

Μια νέα ερευνητική συνεργασία μεταξύ Singapour και Κίνας έχει προτείνει μια μέθοδο για επίθεση στην δημοφιλή μέθοδο σύνθεσης 3D Gaussian Splatting (3DGS).

Η νέα μέθοδος επίθεσης χρησιμοποιεί κατασκευασμένα δεδομένα πηγής για να υπερφορτώσει την διαθέσιμη μνήμη GPU του συστήματος στόχου και να κάνει την εκπαίδευση τόσο μακρά ώστε να μπορεί να αναστείλει το σύστημα στόχου, ισοδύναμο με μια επίθεση άρνησης υπηρεσίας (DOS).

Η επίθεση χρησιμοποιεί κατασκευασμένες εικόνες εκπαίδευσης τέτοιας πολυπλοκότητας που είναι πιθανό να υπερφορτώσουν μια διαδικτυακή υπηρεσία που επιτρέπει στους χρήστες να δημιουργούν αναπαραστάσεις 3DGS.

Αυτή η προσέγγιση διευκολύνεται από τη διαμορφώσιμη φύση του 3DGS, η οποία σχεδιάστηκε για να προσθέσει όσο το δυνατόν περισσότερη αναπαραστατική λεπτομέρεια, όσο απαιτείται για μια ρεαλιστική απόδοση.

Το σύστημα επίθεσης ‘poison-splat’ βοηθιέται από ένα μοντέλο proxy που εκτιμά και επαναλαμβάνει τη δυνατότητα των εικόνων πηγής να προσθέσουν πολυπλοκότητα και παρουσίες Gaussian Splat σε ένα μοντέλο, μέχρι το σύστημα στόχου να υπερφορτωθεί.

Το έγγραφο ισχυρίζεται ότι οι διαδικτυακοί πάροχοι – όπως LumaAI, KIRI, Spline και Polycam – προσφέρουν ολοένα και περισσότερο 3DGS ως υπηρεσία, και ότι η νέα μέθοδος επίθεσης – με τίτλο Poison-Splat – είναι πιθανό να ωθήσει τον αλγόριθμο 3DGS προς ‘την χειρότερη υπολογιστική πολυπλοκότητα σε τέτοιους τομείς, και ακόμη να διευκολύνει μια επίθεση άρνησης υπηρεσίας (DOS).

Σύμφωνα με τους ερευνητές, το 3DGS θα μπορούσε να είναι ριζικά πιο ευάλωτο σε άλλα διαδικτυακά νευρωνικά συστήματα εκπαίδευσης. Οι συμβατικές διαδικασίες εκπαίδευσης μηχανικής μάθησης ορίζουν παραμέτρους στην αρχή και στη συνέχεια λειτουργούν εντός σταθερών και σχετικά συνεπών επιπέδων χρήσης πόρων και κατανάλωσης ενέργειας. Χωρίς την ‘ελαστικότητα’ που απαιτεί το Gaussian Splat για την ανάθεση παρουσιών, τέτοιες υπηρεσίες είναι δύσκολο να στοχευτούν με τον ίδιο τρόπο.

Επιπλέον, οι συγγραφείς σημειώνουν ότι οι πάροχοι υπηρεσιών δεν μπορούν να αμυνθούν ενάντια σε τέτοια επίθεση περιοριζοντας την πολυπλοκότητα ή την πυκνότητα του μοντέλου,既然 αυτό θα αναστείλει την αποτελεσματικότητα της υπηρεσίας σε κανονική χρήση.

Από το νέο έργο, βλέπουμε ότι ένα σύστημα στόχου που περιορίζει τον αριθμό των ανατεθειμένων Gaussian Splats δεν μπορεί να λειτουργήσει κανονικά,既然 η ελαστικότητα αυτών των παραμέτρων είναι μια θεμελιώδης χαρακτηριστικό του 3DGS.

Το έγγραφο αναφέρει:

‘[3DGS] μοντέλα εκπαιδευμένα υπό αυτές τις αμυντικές περιορισμούς εκτελούν πολύ χειρότερα σε σύγκριση με εκείνα με ακαταρκτές εκπαιδεύσεις, ιδιαίτερα σε όρους ανακατασκευής λεπτομερειών. Αυτή η πτώση στην ποιότητα συμβαίνει επειδή το 3DGS δεν μπορεί να διακρίνει αυτόματα τις απαραίτητες λεπτομέρειες από τις δηλητηριασμένες υφές.

‘Ναϊβικά, το να περιορίσεις τον αριθμό των Gaussians θα οδηγήσει απευθείας στην αποτυχία του μοντέλου να ανακατασκευάσει το 3D σκηνικό ακριβώς, το οποίο παραβιάζει τον πρωταρχικό στόχο του παρόχου υπηρεσιών. Αυτή η μελέτη δείχνει ότι πιο εξελιγμένες αμυντικές στρατηγικές είναι απαραίτητες για να προστατεύσουν το σύστημα και να διατηρήσουν την ποιότητα των 3D ανακατασκευών υπό την επίθεση μας.’

Σε δοκιμές, η επίθεση αποδείχθηκε αποτελεσματική και σε μια χαλαρή λευκή κουτί κατάσταση (όπου ο επιτιθέμενος έχει γνώση των πόρων του θύματος), και σε μια μαύρη κουτί προσέγγιση (όπου ο επιτιθέμενος δεν έχει τέτοια γνώση).

Οι συγγραφείς πιστεύουν ότι το έργο τους αντιπροσωπεύει την πρώτη μέθοδο επίθεσης κατά του 3DGS, και προειδοποιούν ότι ο τομέας της ασφάλειας της νευρωνικής σύνθεσης δεν είναι προετοιμασμένος για τέτοιου είδους προσέγγιση.

Το νέο έγγραφο έχει τίτλο Poison-splat: Επίθεση Κόστους Υπολογισμού στο 3D Gaussian Splatting, και προέρχεται από πέντε συγγραφείς στο Εθνικό Πανεπιστήμιο της Singapour και την Skywork AI στο Πεκίνο.

Μέθοδος

Οι συγγραφείς ανέλυσαν το βαθμό στον οποίο ο αριθμός των Gaussian Splats (ουσιαστικά, τριδιάστατα ελλειψοειδή ‘pixel’) ανατεθειμένων σε ένα μοντέλο υπό μια διαδικασία 3DGS επηρεάζει τους υπολογιστικούς κόστους της εκπαίδευσης και της απόδοσης του μοντέλου.

Η μελέτη των συγγραφέων αποκαλύπτει μια σαφή συσχέτιση μεταξύ του αριθμού των ανατεθειμένων Gaussians και του χρόνου εκπαίδευσης, καθώς και της κατανάλωσης μνήμης GPU.

Η δεξιά εικόνα στην εικόνα πιο πάνω δείχνει τη σαφή σχέση μεταξύ της οξύτητας της εικόνας και του αριθμού των Gaussians που ανατέθηκαν. Όσο πιο οξεία είναι η εικόνα, τόσο περισσότερη λεπτομέρεια φαίνεται να απαιτείται για την απόδοση του μοντέλου 3DGS.

Το έγγραφο αναφέρει*:

‘[Βρήκαμε ότι] το 3DGS τείνει να ανατεθεί περισσότεροι Gaussians σε αυτά τα αντικείμενα με πιο σύνθετες δομές και μη-ομαλές υφές, όπως ποσοτικοποιείται από το σκορ της συνολικής μεταβλητότητας – ένα μέτρο που αξιολογεί την οξύτητα της εικόνας. Λογικά, η λιγότερο ομαλή η επιφάνεια των 3D αντικειμένων είναι, τόσο περισσότεροι Gaussians το μοντέλο χρειάζεται για να ανακατασκευάσει όλα τα λεπτομέρειες από τις 2D προβολές εικόνας.

‘Επομένως, η μη-ομαλότητα μπορεί να είναι ένας καλός περιγραφέας της πολυπλοκότητας [των Gaussians]’

Ωστόσο, ναϊβικά να κάνεις τις εικόνες πιο οξείες θα τείνει να επηρεάσει την σεμαντική ακεραιότητα του μοντέλου 3DGS τόσο πολύ που μια επίθεση θα ήταν εμφανής στις πρώτες φάσεις.

Η δηλητηρίαση των δεδομένων απαιτεί μια πιο εξελιγμένη προσέγγιση. Οι συγγραφείς έχουν υιοθετήσει μια μοντέλο proxy μέθοδο, στην οποία οι εικόνες της επίθεσης είναι βελτιστοποιημένες σε ένα εξωτερικό 3DGS μοντέλο που αναπτύχθηκε και ελέγχεται από τους επιτιθέμενους.

Στα αριστερά, βλέπουμε einen γράφο που αντιπροσωπεύει τον συνολικό κόστος του χρόνου υπολογισμού και της κατανάλωσης μνήμης GPU στο σύνολο δεδομένων MIP-NeRF360 ‘δωμάτιο’, που δείχνει την εγγενή απόδοση, τη ναϊβική perturbation και τα δεδομένα που οδηγούνται από το proxy. Στα δεξιά, βλέπουμε ότι η ναϊβική perturbation των εικόνων πηγής (κόκκινο) οδηγεί σε γρήγορες καταστροφικές αποτελέσματα too νωρίς στη διαδικασία. Αντίθετα, βλέπουμε ότι τα δεδομένα που οδηγούνται από το proxy διατηρούν μια πιο κρυφή και συσσώρευση μέθοδο επίθεσης.

Οι συγγραφείς αναφέρουν:

‘Είναι φανερό ότι το μοντέλο proxy μπορεί να οδηγηθεί από τη μη-ομαλότητα των 2D εικόνων για να αναπτύξει πολύ σύνθετες 3D σχήματα.

‘Συνεπώς, τα δηλητηριασμένα δεδομένα που παράγονται από την προβολή αυτού του υπερπυκνωμένου μοντέλου proxy μπορούν να παράγουν περισσότερα δηλητηριασμένα δεδομένα, που οδηγούν σε περισσότερους Gaussians για να ταιριάζουν σε αυτά τα δηλητηριασμένα δεδομένα.’

Το σύστημα επίθεσης είναι περιορισμένο από μια συνεργασία του 2013 μεταξύ της Google και της Facebook με διάφορα πανεπιστήμια, ώστε οι perturbations να παραμείνουν εντός ορίων που σχεδιάστηκαν για να επιτρέψουν στο σύστημα να προκαλέσει ζημιά χωρίς να επηρεάσει την ανακατασκευή μιας εικόνας 3DGS, η οποία θα ήταν ένα πρώιμο σήμα μιας εισβολής.

Δεδομένα και Δοκιμές

Οι ερευνητές έκαναν δοκιμές της poison-splat σε τρία σύνολα δεδομένων: NeRF-Synthetic; Mip-NeRF360; και Tanks-and-Temples.

Χρησιμοποίησαν την επίσημη υλοποίηση του 3DGS ως περιβάλλον θύματος. Για μια μαύρη κουτί προσέγγιση, χρησιμοποίησαν το Scaffold-GS πλαίσιο.

Οι δοκιμές πραγματοποιήθηκαν σε μια NVIDIA A800-SXM4-80G GPU.

Για μετρικές, ο αριθμός των Gaussian splats που παράγονται ήταν ο πρωταρχικός δείκτης,既然 το σκοπό είναι να κατασκευαστούν εικόνες πηγής που σχεδιάζονται για να μεγιστοποιήσουν και να υπερβούν την λογική εύνοια των δεδομένων πηγής. Η ταχύτητα απόδοσης του συστήματος στόχου επίσης εξετάστηκε.

Τα αποτελέσματα των αρχικών δοκιμών εμφανίζονται πιο κάτω:

Πλήρη αποτελέσματα των δοκιμών επίθεσης σε τα τρία σύνολα δεδομένων. Οι συγγραφείς σημειώνουν ότι έχουν υπογραμμίσει επιθέσεις που καταναλώνουν περισσότερα από 24GB μνήμης. Παρακαλούμε αναφερθείτε στο πρωτότυπο έγγραφο για καλύτερη ανάλυση.

Από αυτά τα αποτελέσματα, οι συγγραφείς σχολιάζουν:

‘[Η] Poison-splat επίθεση μας δείχνει την ικανότητα να κατασκευαστούν một τεράστιο επιπλέον υπολογιστικό φορτίο σε πολλά σύνολα δεδομένων. Ακόμη και με perturbations περιορισμένες σε μια μικρή περιοχή σε μια επίθεση, η μέγιστη μνήμη GPU μπορεί να αυξηθεί πάνω από 2 φορές, καθιστώντας την συνολική μέγιστη κατανάλωση GPU υψηλότερη από 24 GB.

‘Στην πραγματική ζωή, αυτό μπορεί να σημαίνει ότι η επίθεση μας μπορεί να απαιτήσει περισσότερους πόρους από ό,τι οι κοινές σταθμοί GPU μπορούν να παρέχουν, π.χ. RTX 3090, RTX 4090 και A5000. Επιπλέον [η] επίθεση δενเพียง αυξάνει την κατανάλωση μνήμης, αλλά cũng επιβραδύνει σημαντικά την ταχύτητα εκπαίδευσης.

‘Αυτή η ιδιότητα θα ενισχύσει την επίθεση,既然 η υπερφόρτωση της μνήμης GPU θα διαρκέσει περισσότερο από ό,τι η κανονική εκπαίδευση μπορεί να πάρει, καθιστώντας την συνολική απώλεια υπολογιστικής ισχύος υψηλότερη.’

Η εξέλιξη του μοντέλου proxy σε μια περιορισμένη και μια ακαταρκτή επίθεση.

Οι δοκιμές κατά του Scaffold-GS (το μαύρο κουτί) εμφανίζονται πιο κάτω. Οι συγγραφείς σημειώνουν ότι αυτά τα αποτελέσματα δείχνουν ότι η poison-splat γενικεύεται καλά σε μια τόσο διαφορετική αρχιτεκτονική (δηλαδή, στην επίσημη υλοποίηση).

Αποτελέσματα δοκιμών για μαύρο κουτί επιθέσεων στο NeRF-Synthetic και το MIP-NeRF360.

Οι συγγραφείς σημειώνουν ότι υπάρχουν πολύ λίγες μελέτες που επικεντρώνονται σε αυτό το είδος επιθέσεων που στοχεύουν τους πόρους κατά τη διάρκεια της διαδικασίας συλλογής. Το έγγραφο του 2020 Energy-Latency Attacks on Neural Networks ήταν σε θέση να αναγνωρίσει παραδείγματα δεδομένων που προκαλούν υπερβολικές ενεργειακές και καθυστερήσεις, οδηγώντας σε καταστροφική κατανάλωση ενέργειας και σε κακή καθυστέρηση.

Οι επιθέσεις κατά τη διάρκεια της συλλογής μελετήθηκαν περαιτέρω σε επόμενες εργασίες όπως Slowdown attacks on adaptive multi-exit neural network inference, Towards Efficiency Backdoor Injection, και, για μοντέλα γλωσσών και οπτικών-γλωσσικών μοντέλων (VLMs), στο NICGSlowDown, και Verbose Images.

Συμπέρασμα

Η επίθεση Poison-splat που αναπτύχθηκε από τους ερευνητές εκμεταλλεύεται μια θεμελιώδη ευπάθεια στο Gaussian Splatting – το γεγονός ότι αναθέτει πολυπλοκότητα και πυκνότητα των Gaussians σύμφωνα με το υλικό που έχει ανατεθεί για εκπαίδευση.

Το έγγραφο του 2024 F-3DGS: Factorized Coordinates and Representations for 3D Gaussian Splatting έχει ήδη παρατηρήσει ότι η τυχαία ανάθεση των splats από το 3DGS είναι μια αναποτελεσματική μέθοδος, που συχνά παράγει και περιττές παρουσίες:

‘[Αυτή] η αναποτελεσματικότητα προέρχεται από την εγγενή αδυναμία του 3DGS να χρησιμοποιήσει δομικές προτύπους ή αναπαραγωγές. Παρατηρήσαμε ότι το 3DGS παράγει ένα απαραίτητα μεγάλο αριθμό Gaussians ακόμη και για την αναπαράσταση απλών γεωμετρικών δομών, όπως επίπεδες επιφάνειες.

‘Επιπλέον, κοντινά Gaussians εκθέτουν đôi khi παρόμοιες ιδιότητες, υποδεικνύοντας την πιθανότητα για βελτίωση της αποτελεσματικότητας με την αφαίρεση των περιττών αναπαραστάσεων.’

既然 η περιορισμός της γεννήτριας Gaussians υπονόμευε την ποιότητα της αναπαράστασης σε μη-επιθέσεις σενάρια, ο αυξανόμενος αριθμός των διαδικτυακών παρόχων που προσφέρουν 3DGS από δεδομένα πηγής χρηστών μπορεί να χρειαστεί να μελετήσει τις ιδιότητες των εικόνων πηγής για να καθορίσει υπογραφές που δείχνουν μια κακόβουλη πρόθεση.’

Σε κάθε περίπτωση, οι συγγραφείς του νέου έργου συμπεραίνουν ότι πιο εξελιγμένες αμυντικές μεθόδους θα είναι απαραίτητες για τις διαδικτυακές υπηρεσίες αντιμετωπίζοντας το είδος της επίθεσης που έχουν διατυπώσει.

* Η μετατροπή μου των εσωτερικών παραπομπών των συγγραφέων σε υπερσύνδεσμους

Πρώτη δημοσίευση Παρασκευή, 11 Οκτωβρίου 2024