3D गॉसियन स्प्लैटिंग के खिलाफ एक जहरीला हमला

सिंगापुर और चीन के बीच एक नए शोध सहयोग ने 3D गॉसियन स्प्लैटिंग (3DGS) नामक लोकप्रिय सिंथेसिस विधि पर हमला करने के लिए एक विधि का प्रस्ताव किया है।

नया हमला विधि क्राफ्टेड स्रोत डेटा का उपयोग करके लक्ष्य प्रणाली की उपलब्ध जीपीयू मेमोरी को अधिक भार देने और प्रशिक्षण को इतना लंबा बनाने के लिए कि यह संभावित रूप से लक्ष्य सर्वर को अक्षम कर सकता है, जो एक डेनियल-ऑफ-सर्विस (DOS) हमले के समान है। स्रोत: https://arxiv.org/pdf/2410.08190

हमला इतनी जटिल प्रशिक्षण छवियों का उपयोग करता है जो ऑनलाइन सेवा को जो 3DGS प्रतिनिधित्व बनाने की अनुमति देती है, उसे अभिभूत करने की संभावना है।

यह दृष्टिकोण 3DGS की अनुकूलनीय प्रकृति द्वारा सुविधा प्रदान की जाती है, जो वास्तविक प्रतिपादन के लिए स्रोत छवियों की आवश्यकता के अनुसार प्रतिनिधित्व विवरण जोड़ने के लिए डिज़ाइन किया गया है। यह विधि दोनों क्राफ्टेड छवि जटिलता (टेक्सचर) और आकार (ज्यामिति) का शोषण करती है।

हमला प्रणाली ‘पॉइज़न-स्प्लैट’ एक प्रॉक्सी मॉडल द्वारा सहायता प्राप्त है, जो स्रोत छवियों की जटिलता और गॉसियन स्प्लैट उदाहरणों को मॉडल में जोड़ने की संभावना का अनुमान लगाता है और पुनरावृत्ति करता है, जब तक कि होस्ट प्रणाली अभिभूत न हो जाए।

लेख में कहा गया है कि ऑनलाइन प्लेटफ़ॉर्म – जैसे कि लुमालैब्स, किरी, स्प्लाइन और पॉलीकैम – 3DGS-ए-ए-सर्विस की पेशकश कर रहे हैं, और यह नया हमला विधि – जिसे पॉइज़न-स्प्लैट कहा जाता है – संभावित रूप से 3DGS एल्गोरिदम को ‘इसकी सबसे खराब गणना जटिलता‘ की ओर धकेलने में सक्षम हो सकता है, और यहां तक कि एक डेनियल-ऑफ-सर्विस (DOS) हमले को भी सुविधा प्रदान कर सकता है।

शोधकर्ताओं के अनुसार, 3DGS अन्य ऑनलाइन न्यूरल प्रशिक्षण सेवाओं की तुलना में अधिक भेद्यता हो सकती है। पारंपरिक मशीन लर्निंग प्रशिक्षण प्रक्रियाएं शुरू में पैरामीटर निर्धारित करती हैं, और उसके बाद स्थिर और अपेक्षाकृत संगत स्तर के संसाधन उपयोग और शक्ति की खपत के साथ संचालित होती हैं। गॉसियन स्प्लैट की आवश्यकता के लिए ‘लचीलापन’ के बिना, ऐसी सेवाएं इसी तरह से लक्षित करना मुश्किल है।

इसके अलावा, लेखकों का उल्लेख है कि सेवा प्रदाता ऐसे हमले के खिलाफ रक्षा नहीं कर सकते हैं जो मॉडल की जटिलता या घनत्व को सीमित करके है, क्योंकि यह सामान्य उपयोग के तहत सेवा की प्रभावशीलता को अक्षम कर देगा।

नये कार्य से हम देखते हैं कि एक होस्ट प्रणाली जो गॉसियन स्प्लैट्स की संख्या को सीमित करती है, सामान्य रूप से कार्य नहीं कर सकती है, क्योंकि इन पैरामीटरों की लचीलापन 3DGS की एक मूलभूत विशेषता है।

लेख में कहा गया है:

‘[3DGS] मॉडल जो इन रक्षात्मक प्रतिबंधों के तहत प्रशिक्षित होते हैं, उनका प्रदर्शन उन मॉडलों की तुलना में बहुत खराब होता है जो अप्रतिबंधित प्रशिक्षण के साथ होते हैं, विशेष रूप से विवरण पुनर्निर्माण के संदर्भ में। यह गिरावट गुणवत्ता में होती है क्योंकि 3DGS आवश्यक विस्तृत विवरणों को जहरीले टेक्सचर से स्वचालित रूप से भेद नहीं कर सकता है। ‘

‘सीधे तौर पर गॉसियन की संख्या को सीमित करने से मॉडल की विफलता होगी जो 3D दृश्य को सटीक रूप से पुनर्निर्मित नहीं कर सकता है, जो सेवा प्रदाता के प्राथमिक उद्देश्य का उल्लंघन करता है। यह अध्ययन अधिक परिष्कृत रक्षात्मक रणनीतियों की आवश्यकता को दर्शाता है जो दोनों प्रणाली की रक्षा करें और हमले के तहत 3D पुनर्निर्माण की गुणवत्ता को बनाए रखें।’

परीक्षणों में, हमला दोनों एक ढीले व्हाइट-बॉक्स परिदृश्य (जहां हमलावर पीड़ित के संसाधनों के बारे में जानता है) और एक ब्लैक बॉक्स दृष्टिकोण (जहां हमलावर को ऐसी कोई जानकारी नहीं है) में प्रभावी साबित हुआ है।

लेखकों का मानना है कि उनका कार्य 3DGS के खिलाफ पहला हमला विधि का प्रतिनिधित्व करता है, और चेतावनी देते हैं कि न्यूरल सिंथेसिस सुरक्षा अनुसंधान क्षेत्र इस तरह के दृष्टिकोण के लिए तैयार नहीं है।

नया लेख पॉइज़न-स्प्लैट: 3D गॉसियन स्प्लैटिंग पर गणना लागत हमला है, और सिंगापुर के नेशनल यूनिवर्सिटी और बीजिंग में स्काईवर्क एआई के पांच लेखकों से आया है।

विधि

लेखकों ने 3DGS पाइपलाइन के तहत एक मॉडल को सौंपे गए गॉसियन स्प्लैट्स की संख्या के साथ प्रशिक्षण और प्रतिपादन मॉडल की गणना लागतों पर प्रभाव की सीमा का विश्लेषण किया।

लेखकों के अध्ययन से पता चलता है कि असाइन किए गए गॉसियन और प्रशिक्षण समय लागत के बीच एक स्पष्ट संबंध है, साथ ही जीपीयू मेमोरी उपयोग भी।

पेपर में कहा गया है*:

‘[हम] पाते हैं कि 3DGS उन वस्तुओं को अधिक गॉसियन असाइन करता है जिनमें अधिक जटिल संरचनाएं और गैर-चिकनी टेक्सचर होते हैं, जैसा कि कुल विचलन स्कोर द्वारा मापा जाता है – एक मेट्रिक जो छवि तीक्ष्णता का मूल्यांकन करती है। स्पष्ट रूप से, 3D वस्तुओं की सतह जितनी कम चिकनी होती है, मॉडल को विवरण को पुनर्प्राप्त करने के लिए उतने ही अधिक गॉसियन की आवश्यकता होती है।’

‘अतः, जटिलता का वर्णन गॉसियन की जटिलता का एक अच्छा विवरणकर्ता हो सकता है।’

हालांकि, छवियों को सीधे तेज करने से 3DGS मॉडल की सेमेंटिक अखंडता इतनी प्रभावित हो जाएगी कि हमला शुरुआती चरणों में ही स्पष्ट हो जाएगा।

डेटा को प्रभावी ढंग से जहर देने के लिए एक अधिक परिष्कृत दृष्टिकोण की आवश्यकता है। लेखकों ने एक प्रॉक्सी मॉडल विधि को अपनाया है, जिसमें हमला छवियों को एक ऑफलाइन 3DGS मॉडल में अनुकूलित किया जाता है जो हमलावरों द्वारा विकसित और नियंत्रित किया जाता है।

<img class=" wp-image-207395" src="https://www.unite.ai/wp-content/uploads/2024/10/proxy-model.jpg" alt="बाएं, हम MIP-NeRF360 'कमरा' डेटासेट पर गणना समय और जीपीयू मेमोरी अधिभोग के कुल लागत का प्रतिनिधित्व करने वाले एक ग्राफ को देखते हैं, जो मूल प्रदर्शन, नायव प्रतिबल और प्रॉक्सी-चालित डेटा को प्रदर्शित करता है। दाएं, हम देखते हैं कि स्रोत छवियों (लाल) का नायव प्रतिबल शुरुआती चरणों में ही तेजी से विनाशकारी परिणामों की ओर ले जाता है। इसके विपरीत, हम देखते हैं कि प्रॉक्सी-निर्देशित स्रोत छवियां एक अधिक छिपा और संचयी हमला विधि बनाए रखती हैं।

लेखकों का कहना है:

‘यह स्पष्ट है कि प्रॉक्सी मॉडल 2D छवियों की जटिलता से जटिल 3D आकार विकसित करने के लिए निर्देशित किया जा सकता है। ‘

‘परिणामस्वरूप, इस अधिक घनत्व वाले प्रॉक्सी मॉडल के प्रोजेक्शन से उत्पन्न जहरीले डेटा अधिक जहरीले डेटा का उत्पादन कर सकते हैं, जो इन जहरीले डेटा को फिट करने के लिए अधिक गॉसियन का कारण बनता है।’

हमला प्रणाली 2013 गूगल/फेसबुक सहयोग द्वारा विभिन्न विश्वविद्यालयों के साथ सीमित है, ताकि विकृतियां उन सीमाओं के भीतर बनी रहें जो प्रणाली को नुकसान पहुंचाने की अनुमति देती हैं बिना 3DGS छवि के पुनर्निर्माण को प्रभावित किए।

डेटा और परीक्षण

शोधकर्ताओं ने तीन डेटासेट के खिलाफ पॉइज़न-स्प्लैट का परीक्षण किया: नेर्फ-सिंथेटिक; मिप-नेर्फ360; और टैंक्स-एंड-मंदिर.

उन्होंने 3DGS के आधिकारिक कार्यान्वयन का उपयोग एक पीड़ित वातावरण के रूप में किया। ब्लैक बॉक्स दृष्टिकोण के लिए, उन्होंने स्कैफोल्ड-GS फ्रेमवर्क का उपयोग किया।

परीक्षण एक NVIDIA A800-SXM4-80G GPU पर किए गए थे।

मेट्रिक्स के लिए, उत्पादित गॉसियन स्प्लैट्स की संख्या प्राथमिक संकेतक थी, क्योंकि इरादा स्रोत डेटा को अधिकतम और तर्कसंगत अनुमान से अधिक करने के लिए डिज़ाइन किया गया था। लक्ष्य प्रणाली की प्रतिपादन गति को भी考虑ा गया था।

प्रारंभिक परीक्षणों के परिणाम नीचे दिखाए गए हैं:

तीन डेटासेट पर हमले के परीक्षणों के पूर्ण परिणाम। लेखकों का उल्लेख है कि उन्होंने 24GB से अधिक मेमोरी का उपभोग करने वाले हमलों को हाइलाइट किया है। स्रोत पेपर के लिए बेहतर रिज़ॉल्यूशन के लिए कृपया स्रोत पेपर देखें।

इन परिणामों में, लेखकों का टिप्पणी है:

‘[हमारा] पॉइज़न-स्प्लैट हमला एक बड़े अतिरिक्त गणना बोझ को कई डेटासेट में प्रदर्शित करने में सक्षम है। यहां तक कि एक सीमित हमले में विकृतियों को एक छोटे से दायरे में सीमित करने के साथ, पीक जीपीयू मेमोरी को 2 गुना से अधिक तक बढ़ाया जा सकता है, जिससे कुल जीपीयू अधिभोग 24 जीबी से अधिक हो जाता है।

‘वास्तविक दुनिया में, यह हमारे हमले का मतलब हो सकता है कि हमें सामान्य जीपीयू स्टेशनों की तुलना में अधिक आवंटनीय संसाधनों की आवश्यकता होगी, जैसे कि आरटीएक्स 3090, आरटीएक्स 4090 और ए5000। इसके अलावा, हमला न केवल मेमोरी उपयोग को काफी बढ़ाता है, बल्कि प्रशिक्षण गति को भी बहुत धीमा कर देता है। ‘

‘यह गुण हमले को और मजबूत बनाएगा, क्योंकि जीपीयू अधिभोग की अधिकता सामान्य प्रशिक्षण से अधिक समय तक चलेगी, जिससे कुल गणना शक्ति की हानि अधिक होगी।’

एक सीमित और एक असीमित हमले दृष्टिकोण में प्रॉक्सी मॉडल की प्रगति।

स्कैफोल्ड-GS (ब्लैक बॉक्स मॉडल) के खिलाफ परीक्षण नीचे दिखाए गए हैं। लेखकों का उल्लेख है कि ये परिणाम दर्शाते हैं कि पॉइज़न-स्प्लैट एक अलग वास्तुकला (अर्थात संदर्भ कार्यान्वयन) में अच्छी तरह से सामान्य है।

नेर्फ-सिंथेटिक और मिप-नेर्फ360 डेटासेट पर ब्लैक बॉक्स हमलों के परिणाम।

लेखकों का उल्लेख है कि इस तरह के संसाधन-लक्ष्य हमलों पर केंद्रित बहुत कम अध्ययन हुए हैं। 2020 के लेख न्यूरल नेटवर्क पर ऊर्जा-विलंब हमले ने अत्यधिक न्यूरॉन सक्रियण का कारण बनने वाले डेटा उदाहरणों की पहचान की, जिससे ऊर्जा की खपत और विलंब की खपत हुई।

अनुमान- समय हमलों का अध्ययन बाद के कार्यों में आगे बढ़ाया गया, जैसे कि अनुकूली बहु-प्रवेश न्यूरल नेटवर्क अनुमान पर धीमी गति से हमले, डायनामिक रूटिंग न्यूरल नेटवर्क के प्रति दक्षता बैकडोर इंजेक्शन की ओर, और भाषा मॉडल और दृष्टि-भाषा मॉडल (वीएलएम) के लिए, एनआईसीजी स्लोडाउन और वर्बोज़ इमेज में।

निष्कर्ष

शोधकर्ताओं द्वारा विकसित पॉइज़न-स्प्लैट हमला गॉसियन स्प्लैटिंग में एक मूलभूत कमजोरी का फायदा उठाता है – यह तथ्य कि यह स्रोत डेटा के अनुसार जटिलता और गॉसियन की घनत्व को असाइन करता है जिस पर यह प्रशिक्षित होता है।

2024 के लेख एफ-3डीजीएस: 3डी गॉसियन स्प्लैटिंग के लिए कारक समन्वय और प्रतिनिधित्व में पहले ही यह देखा गया है कि गॉसियन स्प्लैटिंग का स्प्लैट्स का यादृच्छिक असाइनमेंट एक अक्षम विधि है, जो अक्सर अतिरिक्त उदाहरण भी उत्पन्न करती है:

‘[यह] अक्षमता 3DGS की अंतर्निहित असमर्थता से उत्पन्न होती है संरचनात्मक पैटर्न या पुनरावृत्तियों का उपयोग करने के लिए। हमने देखा कि 3DGS एक बड़ी संख्या में गॉसियन का उत्पादन करता है, यहां तक कि सरल ज्यामितीय संरचनाओं के प्रतिनिधित्व के लिए, जैसे कि समतल सतहें। ‘

‘इसके अलावा, निकट गॉसियन कभी-कभी समान विशेषताओं का प्रदर्शन करते हैं, जो पुनरावृत्ति प्रतिनिधित्वों को हटाकर दक्षता में सुधार की संभावना का संकेत देते हैं। ‘

चूंकि गॉसियन पीढ़ी को सीमित करने से गैर-हमला परिदृश्यों में पुनर्निर्माण की गुणवत्ता खराब हो जाती है, 3DGS को उपयोगकर्ता-अपलोड किए गए डेटा से प्रदान करने वाले ऑनलाइन प्रदाताओं की बढ़ती संख्या को स्रोत छवियों की विशेषताओं का अध्ययन करने की आवश्यकता हो सकती है ताकि उन्हें एक दुर्भावनापूर्ण इरादे के संकेतक निर्धारित किए जा सकें।

किसी भी मामले में, नए कार्य के लेखकों का निष्कर्ष है कि ऑनलाइन सेवाओं के लिए इस तरह के हमले का सामना करने के लिए अधिक परिष्कृत रक्षा विधियों की आवश्यकता होगी।

* लेखकों के इनलाइन उद्धरणों को हाइपरलिंक में बदलने के लिए मेरा रूपांतरण

पहली बार शुक्रवार, 11 अक्टूबर, 2024 को प्रकाशित