En forgiftningangrep mot 3D Gaussian Splatting

Et nytt forskningssamarbeid mellom Singapore og Kina har foreslått en metode for å angripe den populære syntesemodellen 3D Gaussian Splatting (3DGS).

Den nye angrepsmetoden bruker craftet kilde-data for å overbelaste den tilgjengelige GPU-minnet på målsystemet, og for å gjøre trening så langsom at det potensielt kan lamme målserveren, tilsvarende et denial-of-service (DOS) angrep. Kilde: https://arxiv.org/pdf/2410.08190

Angrepet bruker craftet treningbilder av så kompleks natur at de sannsynligvis vil overbelaste en online-tjeneste som tillater brukerne å lage 3DGS-representasjoner.

Dette tilnærmingen muliggjøres av den adaptive naturen til 3DGS, som er designet for å legge til så mye representasjonsgjennomgang som kildebildene krever for en realistisk gjengivelse. Metoden utnytter både craftet bildekompleksitet (teksturer) og form (geometri).

Angreps-systemet ‘poison-splat’ blir hjulpet av en proxy-modell som estimerer og itererer potensialet for kildebilder å legge til kompleksitet og Gaussian Splat-eksempler til en modell, til mål-systemet blir overbelastet.

Artikkelen hevder at online-plattformer – som LumaAI, KIRI, Spline og Polycam – stadig oftere tilbyr 3DGS-as-a-service, og at den nye angrepsmetoden – tittelen Poison-Splat – potensielt kan skyve 3DGS-algoritmen mot ‘dens verst beregningskompleksitet’ på slike domener, og sogar muliggjøre et denial-of-service (DOS) angrep.

Ifølge forskerne kan 3DGS være radikalt mer sårbart enn andre online neurale trenings-tjenester. Konvensjonelle maskinlærings trening-prosedyrer setter parametre fra starten, og deretter opererer de innenfor konstante og relativt konsistente nivåer av ressursbruk og effektforbruk. Uten ‘elasticiteten’ som Gaussian Splat krever for å tildele splat-eksempler, er slike tjenester vanskelige å målrette på samme måte.

Forskernes arbeid viser at tjenesteleverandørene ikke kan forsvare seg mot et slikt angrep ved å begrense kompleksiteten eller tettheten til modellen, da dette ville lamme effektiviteten til tjenesten under normal bruk.

Fra det nye arbeidet ser vi at et mål-system som begrenser antallet tildelte Gaussian Splats ikke kan fungere normalt, da elasticiteten til disse parameterne er en grunnleggende egenskap til 3DGS.