MLaaS: वेरिएशनल ऑटोएनकोडर्स के साथ एपीआई-ड्रिवन मॉडल चोरी को रोकना

मशीन लर्निंग एज ए सर्विस (MLaaS) महंगे शोध और मॉडल प्रशिक्षण के परिणामों को एपीआई के माध्यम से कमोडिटीज करता है, जो ग्राहकों को सिस्टम से अंतर्दृष्टि प्राप्त करने की अनुमति देता है। हालांकि सिस्टम की तर्कसंगतता अंततः इन लेनदेन के माध्यम से कुछ हद तक प्रकट होती है, मॉडल आर्किटेक्चर, मॉडल की उपयोगिता को परिभाषित करने वाले वजन, और विशिष्ट प्रशिक्षण डेटा जो इसे उपयोगी बनाता है, कई कारणों से सावधानी से संरक्षित किए जाते हैं।

पहले, फ्रेमवर्क ने संभवतः कई मुफ्त या ओपन-सोर्स (FOSS) कोड रिपॉजिटरी का फायदा उठाया होगा, और संभावित प्रतिद्वंद्वी समान उद्देश्यों के लिए आसानी से ऐसा ही कर सकते हैं; दूसरा, कई मामलों में, मॉडल द्वारा उपयोग किए जाने वाले वजन मॉडल की प्रशिक्षण डेटा को प्रतिद्वंद्वी मॉडल की तुलना में बेहतर व्याख्या करने की क्षमता का 95% या अधिक प्रतिनिधित्व करते हैं, और संभवतः महंगे निवेश के मूल्य का प्रतिनिधित्व करते हैं, दोनों शोध घंटों और उद्योग-ग्रेड जीपीयू पर उच्च-स्तरीय, अच्छी तरह से संसाधन मॉडल प्रशिक्षण के संदर्भ में।

इसके अलावा, मॉडल के प्रशिक्षण डेटासेट के पीछे स्वामित्व और सार्वजनिक डेटा का मिश्रण एक संभावित रूप से विस्फोटक मुद्दा है: जहां डेटा ‘मूल’ काम है जो महंगे तरीकों से प्राप्त किया गया है, एपीआई द्वारा अनुमत अनुरोधों के माध्यम से डेटा संरचना या सामग्री को समझने में सक्षम एक एपीआई उपयोगकर्ता इसे प्रभावी रूप से पुनर्निर्माण कर सकता है। इसके अलावा, डेटा की विशेषताओं को निर्देशित करने वाले वजनों को पुनर्निर्माण करके एक ‘खाली’ लेकिन प्रभावी वास्तुकला बनाई जा सकती है जिसमें बाद की सामग्री को उपयोगी रूप से संसाधित किया जा सकता है।

डेटा लॉन्डरिंग

इसके अलावा, मशीन लर्निंग मॉडल के लेटेंट स्पेस में डेटा को प्रशिक्षण के दौरान कैसे अमूर्त किया जाता है, यह प्रभावी रूप से इसे सामान्यीकृत कार्यों में ‘धो’ देता है जो यह समझना मुश्किल बनाता है कि कॉपीराइट धारकों को क्या पता है कि उनका मूल काम अनुमति के बिना मॉडल में शामिल किया गया है या नहीं।

वर्तमान लैसेज़ फेयर जलवायु दुनिया भर में इस पрак्टिस के बारे में अगले 5-10 वर्षों में तेजी से नियमन के अधीन होने की संभावना है। यूरोपीय संघ के ड्राफ्ट नियम एआई के लिए पहले से ही डेटा की उत्पत्ति के बारे में सख्ती और एक पारदर्शिता ढांचे के बारे में बताते हैं जो डेटा एकत्र करने वाली कंपनियों के लिए शोध उद्देश्यों के लिए वेब-स्क्रैपिंग के बारे में डोमेन नियमों को दरकिनार करना मुश्किल बना देगा। अन्य सरकारें, जिनमें अमेरिका भी शामिल है, अब समान नियामक ढांचे के लिए लंबी अवधि में प्रतिबद्ध हैं।

मशीन लर्निंग क्षेत्र एक प्रूफ-ऑफ-कॉन्सेप्ट संस्कृति से एक व्यावसायिक इको-संरचना में विकसित होते हुए, एमएल मॉडल जो डेटा पर प्रतिबंधों का उल्लंघन करने के लिए पाए जाते हैं, यहां तक कि उनके उत्पादों के पहले के संस्करणों में, खुद को कानूनी रूप से उजागर पा सकते हैं।

अतः एपीआई कॉल पर डेटा स्रोत का अनुमान लगाने का जोखिम न केवल मॉडल इनवर्जन और अन्य तरीकों के माध्यम से औद्योगिक जासूसी से संबंधित है, बल्कि आईपी सुरक्षा के लिए उभरते फोरेंसिक तरीकों से भी संबंधित हो सकता है जो मशीन लर्निंग अनुसंधान के ‘वाइल्ड वेस्ट’ युग के बाद कंपनियों पर दबाव डाल सकते हैं।

एपीआई-ड्रिवन एक्सफिल्ट्रेशन एक एडवर्सेरियल अटैक विकसित करने के लिए

कुछ मशीन लर्निंग फ्रेमवर्क अपने प्रशिक्षण डेटा और अल्गोरिदम को नियमित रूप से अपडेट करते हैं, एक निश्चित, लंबी अवधि के एकल मॉडल को एक बड़े ऐतिहासिक डेटा से नहीं निकालते (जैसे जीपीटी-3 के साथ)। इनमें यातायात जानकारी से संबंधित प्रणालियां शामिल हैं, और अन्य क्षेत्र जहां वास्तविक समय के डेटा एमएल-ड्रिवन सेवा के मूल्य के लिए महत्वपूर्ण हैं।

यदि एक मॉडल के तर्क या डेटा-वेटिंग को एपीआई के माध्यम से व्यवस्थित रूप से पोलिंग करके ‘मैप’ किया जा सकता है, तो ये कारक संभावित रूप से प्रतिकूल हमलों के रूप में प्रणाली के खिलाफ उपयोग किए जा सकते हैं, जहां दुर्भाग्यपूर्ण रूप से तैयार किए गए डेटा को छोड़ दिया जा सकता है जो लक्ष्य प्रणाली द्वारा उठाए जाने की संभावना है; या डेटा प्राप्ति दिनचर्या में घुसपैठ करके अन्य तरीकों से।

अतः एपीआई-केंद्रित मैपिंग के खिलाफ उपाय मशीन लर्निंग मॉडल की सुरक्षा के लिए भी निहितार्थ हैं।

एपीआई-ड्रिवन एक्सफिल्ट्रेशन को रोकना

हाल के वर्षों में, एपीआई कॉल के माध्यम से मॉडल आर्किटेक्चर और विशिष्ट स्रोत डेटा के अनुमान को रोकने के लिए तरीकों को प्रदान करने के लिए कई अनुसंधान पहल हुई हैं। इनमें से नवीनतम आउटलाइन किया गया है बैंगलोर में भारतीय विज्ञान संस्थान और न्फरेंस, एक कैम्ब्रिज, मैसाचुसेट्स में स्थित एआई-आधारित सॉफ्टवेयर प्लेटफॉर्म के शोधकर्ताओं के बीच एक प्रीप्रिंट सहयोग में।

शीर्षक स्टेटफुल डिटेक्शन ऑफ मॉडल एक्सट्रैक्शन अटैक, शोध एक प्रणाली का प्रस्ताव करता है जिसे वारडिटेक्ट कहा जाता है, जिसके लिए प्रारंभिक कोड गिटहब पर उपलब्ध कराया गया है।

सर्वर-साइड पर चलने, वारडिटेक्ट नियमित रूप से एपीआई के लिए उपयोगकर्ता क्वेरी की निगरानी करता है, तीन विशिष्ट पैटर्न की मॉडल निकासी हमलों की तलाश में। शोधकर्ता बताते हैं कि वारडिटेक्ट अपनी तरह का पहला रक्षा तंत्र है जो तीनों के खिलाफ खड़ा है। इसके अलावा, यह उन हमलावरों के प्रति-उपायों का मुकाबला कर सकता है जो एक रक्षा तंत्र के बारे में जागरूक हो जाते हैं और इसे हराने के लिए विराम या प्रश्नों की मात्रा में वृद्धि करके हमले के पैटर्न को छिपाने का प्रयास करते हैं।

वारडिटेक्ट आर्किटेक्चर। स्रोत: https://arxiv.org/pdf/2107.05166.pdf

वारडिटेक्ट वेरिएशनल ऑटोएनकोडर्स (VAEs) का उपयोग करके आने वाली अनुरोधों के लिए एक मूल्यांकन प्रोब बनाता है। पिछले तरीकों के विपरीत, प्रणाली स्वामित्व वाले डेटा पर प्रशिक्षित होती है, जो हमलावर डेटा तक पहुंच की आवश्यकता को समाप्त करती है, पिछले दृष्टिकोणों की एक कमजोरी।

परियोजना के लिए कस्टम मॉडल तीन सार्वजनिक रूप से उपलब्ध डेटासेट या दृष्टिकोणों से व्युत्पन्न है: 2016 में स्विस फेडरल इंस्टीट्यूट ऑफ टेक्नोलॉजी और कॉर्नेल टेक द्वारा विकसित कार्य; 2017 के प्राडा पेपर से फिनलैंड में ‘समस्या डोमेन’ डेटा में शोर जोड़कर; और भारतीय विज्ञान संस्थान द्वारा 2020 के अध्ययन से प्रेरित होकर सार्वजनिक रूप से उपलब्ध छवियों को क्रॉल करके।

वारडिटेक्ट में उपयोग किए गए पांच डेटासेट में से नमूनों की तुलना में एक दोषपूर्ण और ‘खतरनाक’ नमूना।

ऑनबोर्ड डेटासेट की विशेषताओं से मेल खाने वाले आवृत्ति वितरण को निकासी संकेत के रूप में ध्वजांकित किया जाएगा।

शोधकर्ता स्वीकार करते हैं कि सामान्य अनुरोध पैटर्न जो हानिरहित अंत-उपयोगकर्ताओं से आते हैं प्रणाली में झूठे सकारात्मक परिणाम उत्पन्न कर सकते हैं, सामान्य उपयोग को रोकते हैं। इसलिए, ऐसे संकेत जो ‘सुरक्षित’ माने जाते हैं उन्हें बाद में वारडिटेक्ट डेटासेट में जोड़ा जा सकता है, जो अल्गोरिदम में एक रोलिंग प्रशिक्षण अनुसूची के माध्यम से एकीकृत हो जाएगा, जो होस्ट सिस्टम की पसंद पर निर्भर करता है।