MLaaS: Forebygging av API-drevet modelltyveri med Variational Autoencoders

Maskinlæring som en tjeneste (MLaaS) gjør resultater av dyrekjøpt forskning og modelltrening tilgjengelig via API-er som gir kundene tilgang til innsikt fra systemet. Selv om systemets begrunnelse uunngåelig avsløres til en viss grad gjennom disse transaksjonene, beskyttes modellarkitekturen, vektingene som definerer modellens nytte, og den spesifikke treningdataen som gjorde den nyttig, av flere grunner.

Først og fremst er rammeverket sannsynligvis å ha utnyttet en rekke gratis eller åpne kildekode-repositorier, og potensielle rivaler kunne trivialt gjøre det samme i jakten på de samme målene; for det andre, i mange tilfeller representerer vektingene som brukes av modellene 95% eller mer av modellens evne til å tolke treningdata bedre enn rivalmodeller, og utgjør kanskje kjernen i verdien av dyrekjøpt investering, både i form av forskningstimer og storstilte, velresurssede modelltreninger på industrigrense-overflater.

I tillegg er blandingen av proprietær og offentlig tilgjengelig data bak modellens treningssammenstilling en potensielt eksplosiv sak: hvor dataene er “opprinnelige” arbeider tilegnet gjennom kostbare metoder, kan evnen til å inferere datastrukturen eller innholdet gjennom API-tillatte forespørsler tillate dem å i praksis rekonstruere verdien av arbeidet, enten ved å forstå skjemaet til dataene (som tillater praktisk reprodusering) eller ved å reprodusere vektingene som orkestrerer funksjonene til dataene, som potensielt tillater reprodusering av en “tom” men effektiv arkitektur som senere kan behandles nyttig.

Datahvitting

Videre abstraherer måten data behandles i den latente rommet til maskinlæringmodellen under trening effektivt “hviter” dem inn i generaliserte funksjoner som gjør det vanskelig for opphavsrettshavere å forstå om deres opprinnelige arbeid har blitt assimilert uten tillatelse inn i en modell.

Dagens laissez faire-klima over hele verden med hensyn til denne praksisen er sannsynligvis å falle under stadig strengere reguleringer de neste 5-10 årene. EU-s utkast til reguleringer for kunstig intelligens inneholder allerede bestemmelser om opphav til data, og en antatt gjennomsiktighetsramme som ville gjøre det vanskelig for datasamlingsselskaper å unngå domenereguleringer om web-skraping for forskningsformål. Andre regjeringer, inkludert USA, er nå engasjert i lignende reguleringer over lengre tid.

Som maskinlæringfeltet utvikler seg fra en proof-of-concept-kultur til en kommersiell økonomi, kan ML-modeller som har brutt mot restriksjoner på data, selv i tidligere iterasjoner av deres produkter, finne seg selv juridisk eksponert.

Derfor er risikoen for å inferere datakilder over API-forespørsler relatert ikke bare til industriell spionasje via modellinversjon og andre metoder, men også til fremvoksende rettslige metoder for IP-beskyttelse som kan påvirke selskaper etter at “vill vesten”-æraen for maskinlæringforskning er over.

API-drevet eksfiltration som et middel til å utvikle adversarial angrep

Noen maskinlæringssystemer oppdaterer konstant sin treningdata og algoritmer, i stedet for å utlede en definitiv, langvarig enkeltmodell fra et stort korpus av historiske data (som med GPT-3, for eksempel). Disse inkluderer systemer relatert til trafikkinformasjon og andre sektorer hvor sanntidsdata er kritisk for den pågående verdien av en ML-drevet tjeneste.

Hvis en modells logikk eller data-vektning kan “kartlegges” ved systematisk å avhøre den gjennom API-er, kan disse faktorene potensielt vendes mot systemet i form av adversarial angrep, hvor ondsinnet konstruert data kan plasseres i det fri, i områder hvor målsystemet sannsynligvis vil plukke det opp; eller ved å infiltrere data-innkjøpsrutiner med andre metoder.

Derfor har tiltak mot API-sentrert kartlegging implikasjoner også for sikkerheten til maskinlæringmodeller.

Forebygging av API-drevet eksfiltration

En rekke forskningsinitiativer har oppstått de siste årene for å tilby metoder som kan forhindre inferens av modellarkitektur og spesifikke kilde-data via API-forespørsler. Den siste av disse er presentert i en preprint-samarbeid mellom forskere fra Indian Institute of Science i Bangalore og Nference, et AI-basert programvareplattform i Cambridge, Massachusetts.

Tittelen Stateful Detection of Model Extraction Attacks foreslår et system kalt VarDetect, for hvilket preliminær kode har blitt gjort tilgjengelig på GitHub.

Kjørende server-side, overvåker VarDetect kontinuerlig brukerforespørsler til en API, og søker etter tre distinkte mønster av repetitive modell-ekstraksjonsangrep. Forskerne rapporterer at VarDetect er den første forsvarsmekanismen av sin type som holder mot alle tre. I tillegg kan den motvirke mottiltak fra angripere som blir klar over en forsvarsmekanisme, og som søker å beseire den ved å skjule angrepsmønster med pauser eller øke volumet av forespørsler for å kamuflere forespørsler som prøver å bygge en kart over modellen.

VarDetect-arkitekturen. Kilde: https://arxiv.org/pdf/2107.05166.pdf

VarDetect bruker Variational Autoencoders (VAE-er) for å effektivt skape en heuristisk vurderings-sonde for innkommende forespørsler. I motsetning til tidligere metoder, er systemet trent på proprietær data, og eliminerer behovet for tilgang til angriperdata, en svakhet i tidligere tilnærminger, og en usannsynlig scenario.

Den tilpassede modellen designet for prosjektet er avledet fra tre offentlig tilgjengelige datasett eller tilnærminger: arbeidet utviklet i 2016 av det sveitsiske føderale tekniske universitetet og Cornell Tech; ved å legge til støy til “problemområde”-data, som først demonstrert i 2017 PRADA-papiret fra Finland; og ved å crawle offentlig tilgjengelige bilder, inspirert av ActiveThief 2020 forskning fra Indian Institute of Science.

En sammenligning av benigne og ‘maligne’ datasammenstillinger over de fem datasettene brukt i VarDetect.

Frekvensfordelinger som matcher karakteristika fra onboard-datasettet vil bli flagget som ekstraksjonssignaler.

Forskerne innrømmer at vanlige forespørselsmønster fra benigne slutbrukere kan potensielt utløse feilpositive i systemet, og forhindre normal bruk. Derfor kan slike oppfattede “sikre” signaler senere bli lagt til VarDetect-datasettet, og bli inkorporert i algoritmen gjennom en rullerende treningsplan, avhengig av preferansene til verts-systemet.