マシンラーニングモデルをAPI出力で盗む

カナダからの新しい研究では、攻撃者が、高度に制限されたAPI（インターフェースまたはプロトコル）を介してのみアクセスできる場合でも、機密性の高いマシンラーニングフレームワークの成果を盗むことができる可能性がある方法が示唆されています。

研究分野が、マシンラーニングとしてのサービス（MLaaS）を通じて高額なモデルトレーニングの成果を収益化することに注目しているなかで、この新しい研究では、自己教師あり学習（SSL）モデルは、ラベル付けされていないデータでトレーニングされるため、抽出が簡単になり、結果として多くの有用な情報を含むため、このようなモデル抽出に対してより脆弱であると示唆しています。

「ブラックボックス」テストシミュレーション（研究者がローカルの「被害者」モデルに、ウェブAPIを介してアクセスできるのと同じレベルのアクセス権しか持っていない場合）では、研究者は、比較的少ないリソースでターゲットシステムを複製することができました。

「私たちの攻撃は、被害者のモデルを複製することができ、ダウンストリームのタスクで相当のパフォーマンスを発揮することができます。被害者のモデルは、1.2MのImageNetのラベル付けされていないサンプルでトレーニングされており、ダウンストリームのFashion-MNIST分類タスクで91.9%の精度を達成しています。私たちの直接抽出攻撃は、InfoNCE損失を使用して、200Kのクエリで90.5%の精度を達成するエンコーダーのコピーを盗むことができます。」

「同様に、被害者のモデルは、50KのCIFAR10のラベル付けされていないサンプルでトレーニングされており、ダウンストリームのCIFAR10分類タスクで79.0%の精度を達成しています。私たちの直接抽出攻撃は、SoftNN損失を使用して、9,000のクエリで76.9%の精度を達成するコピーを盗むことができます。」

研究者は3つの攻撃方法を使用し、「直接抽出」が最も効果的であることを発見しました。これらのモデルは、9,000のCIFAR10テストセットのクエリを使用して、ローカルに再作成されたCIFAR10被害者エンコーダーから盗まれたものです。ソース：https://arxiv.org/pdf/2205.07890.pdf

研究者は、監督学習でトレーニングされたモデルを攻撃から守るための方法は、自己教師あり学習でトレーニングされたモデルには適応しないことも指摘しています。

新しい論文は、自己教師あり学習に対するモデル抽出の防御の困難性についてというタイトルで、トロント大学と人工知能のベクター研究所から発表されました。

自己認識

自己教師あり学習では、モデルはラベル付けされていないデータでトレーニングされます。ラベルがないため、SSLモデルはデータの暗黙的な構造から関連性とグループを学習し、データの類似した側面を探し出し、徐々にそれらをノードまたは表現にまとめます。

SSLアプローチが有効な場合、非常に生産的です。なぜなら、コストのかかる（そして多くの場合、アウトソーシングされ、論争の的）ラベル付けをクラウドワーカーに頼る必要がなく、データを自律的に合理化できるからです。

新しい論文の著者が検討した3つのSSLアプローチは、SimCLR、シームレスネットワーク、SimSiam、およびBarlow Twinsです。

モデル抽出については、ラベル付けされたデータ（つまり、監督学習でトレーニングされたモデル）については、比較的よく文書化された研究分野です。また、防御も比較的容易です。なぜなら、攻撃者は、モデルを再作成するために、被害者のモデルからラベルを取得する必要があるからです。

監督学習アーキテクチャに対する「ノックオフ分類器」攻撃モデル。ソース：https://arxiv.org/pdf/1812.02766.pdf

白ボックスアクセスがない場合、これは容易なタスクではありません。なぜなら、通常のSSL APIの出力とは異なり、被害者のモデルからの出力にはラベルが含まれないからです。

論文から：

「過去の研究では、被害者のモデルがラベルまたは低次元の出力（信頼度スコアまたはロジットなど）を返す監督学習設定に焦点を当てていました。」

「一方、SSLエンコーダーは、高次元の表現を返します。ResNet-50 Sim-CLRモデル（ビジョンにおける人気のあるアーキテクチャ）では、事実上の出力は、2048次元のベクトルです。」

「エンコーダーからの情報漏洩が、SSLモデルをSLモデルよりも抽出攻撃に対してより脆弱にするのではないかと推測しています。」

アーキテクチャとデータ

研究者は、SSLモデル推論/抽出の3つのアプローチをテストしました：直接抽出、投影ヘッドの再作成、投影ヘッドへのアクセス。

方法#1の直接抽出では、被害者のモデルの出力がローカルモデルの出力と比較されます。方法#2では、元のトレーニングアーキテクチャで使用された投影ヘッド（通常、デプロイされたモデルには含まれない）を再作成します。

研究者は、直接抽出がターゲットモデルの機能的なレプリカを取得するための最も効果的な方法であり、さらに、有効なエンドユーザーとほとんど変わらないため、攻撃とみなされることが難しいことを発見しました。

著者は、被害者のモデルを3つの画像データセット（CIFAR10、ImageNet、およびスタンフォードのストリートビュー・ハウス・ナンバーズ（SVHN））でトレーニングしました。

モデルのダウンストリーム（デプロイされた）パフォーマンスは、CIFAR100、STL10、SVHN、Fashion-MNISTに対してテストされました。

研究者は、モデルの線形予測層を追加して、被害者のモデルから盗まれた表現を評価しました。この層は、ダウンストリームタスクの完全なラベル付けされたトレーニングセットでファインチューンされ、ネットワークの他の層は凍結されました。

線形評価層を使用して得られたテスト結果。精度スコアは太字です。

研究者は、結果について次のように述べています：

「被害者の表現を模倣する直接的な目的は、ダウンストリームのタスクで高いパフォーマンスを発揮します。攻撃には、被害者のエンコーダーをトレーニングするために必要なクエリ数の15％未満で済みます。」

「エンコーダーは、出力表現から大量の情報を漏洩させるため、自己教師あり学習でトレーニングされたモデルを守ることは困難です。高容量エンコーダーに特定の水印を埋め込むことができる、反応的な防御方法（水印など）が最も有望です。」

* 論文のインライン引用をハイパーリンクに変換しました。

初めて公開：2022年5月18日。