Kradzież modeli Machine Learning za pomocą danych wyjściowych API

Naukowcy z Kanady opracowali możliwą metodę, za pomocą której atakujący mogliby ukraść efekty drogich ram machine learning, nawet wtedy, gdy dostęp do systemu własnościowego jest możliwy tylko za pośrednictwem wysoko zabezpieczonego API (interfejsu lub protokołu, który przetwarza zapytania użytkownika po stronie serwera i zwraca tylko odpowiedź wyjściową).

Jako sektor badawczy coraz bardziej zwraca się ku monetyzacji kosztownego szkolenia modeli machine learning poprzez wdrożenia Machine Learning jako usługi (MLaaS), nowe badanie sugeruje, że modele samouczące się (SSL) są bardziej podatne na ten rodzaj kradzieży modelu, ponieważ są szkolone bez etykiet, co ułatwia ekstrakcję, a także zwykle dostarczają wyniki, które zawierają wiele przydatnych informacji dla kogoś, kto chce odtworzyć (ukryty) model źródłowy.

W symulacjach testowych “black box” (gdzie naukowcy nie mieli dostępu do lokalnego “ofiarnego” modelu poza tym, co miałby typowy użytkownik za pośrednictwem interfejsu API), naukowcy byli w stanie odtworzyć systemy docelowe przy użyciu relatywnie niskich zasobów:

‘[Nasze] ataki mogą ukraść kopię modelu ofiary, który osiąga znaczną wydajność w mniejszej liczbie zapytań niż 1/5 liczby zapytań użytych do szkolenia ofiary. Przeciwko modelowi ofiary, który został wyszkolony na 1,2 miliona nieoznaczonych próbek z ImageNet, z dokładnością 91,9% w zadaniu klasyfikacji Fashion-MNIST, nasz bezpośredni atak ekstrakcji z utratą InfoNCE ukradł kopię encodera, który osiąga 90,5% dokładności w 200 000 zapytań.

‘Podobnie, przeciwko modelowi ofiary, który został wyszkolony na 50 000 nieoznaczonych próbek z CIFAR10, z dokładnością 79,0% w zadaniu klasyfikacji CIFAR10, nasz bezpośredni atak ekstrakcji z utratą SoftNN ukradł kopię, która osiąga 76,9% dokładności w 9 000 zapytań.’

Naukowcy użyli trzech metod ataku, stwierdzając, że ‘Bezpośrednia Ekstrakcja’ była najskuteczniejsza. Modele te zostały skradzione z lokalnie odtworzonego encodera CIFAR10 przy użyciu 9 000 zapytań z zestawu testowego CIFAR10. Źródło: https://arxiv.org/pdf/2205.07890.pdf

Naukowcy zauważają również, że metody, które są odpowiednie do ochrony modeli nadzorowanych przed atakami, nie adaptują się dobrze do modeli szkolonych w sposób nienadzorowany – pomimo faktu, że takie modele reprezentują niektóre z najbardziej oczekiwanych i celebrowanych owoców sektora syntezy obrazu.

Nowy artykuł nosi tytuł O trudnościach obrony samouczących się modeli przed ekstrakcją modelu, i pochodzi z Uniwersytetu w Toronto i Instytutu Wektora dla Sztucznej Inteligencji.

Świadomość własna

W samouczących się modelach, model jest szkolony na nieoznaczonych danych. Bez etykiet, model SSL musi uczyć się skojarzeń i grup z niejawnej struktury danych, szukając podobnych aspektów danych i stopniowo zgrupowując je w węzły lub reprezentacje.

Gdzie podejście SSL jest wykonalne, jest niesamowicie produktywne, ponieważ omija potrzebę drogiej (często zleconej i kontrowersyjnej) kategoryzacji przez crowdworkerów, i podstawowo racjonalizuje dane w sposób autonomiczny.

Trzy podejścia SSL rozważane przez autorów nowego artykułu to SimCLR, Siamese Network; SimSiam, inna Sieć Siamese skupiona na nauce reprezentacji; i Barlow Twins, podejście SSL, które osiągnęło najlepsze wyniki w klasyfikacji ImageNet w momencie jego wydania w 2021 roku.

Ekstrakcja modelu dla danych oznaczonych (tj. modelu szkolonego za pomocą nadzorowanego uczenia) jest dość dobrze udokumentowanym obszarem badań. Jest to również łatwiejsze do obrony, ponieważ atakujący musi uzyskać etykiety z modelu ofiary, aby odtworzyć go.

Model ataku ‘knockoff classifier’ przeciwko architekturze nadzorowanego uczenia. Źródło: https://arxiv.org/pdf/1812.02766.pdf

Bez dostępu do białej skrzynki, nie jest to trywialne zadanie, ponieważ typowy wynik zapytania API do takiego modelu zawiera mniej informacji niż typowy wynik API SSL.

Z artykułu*:

‘Poprzednie prace nad ekstrakcją modelu koncentrowały się na ustawieniu Nadzorowanego Uczenia (SL), gdzie model ofiary zwykle zwraca etykietę lub inne niskowymiarowe wyniki, takie jak wyniki ufności lub logity.

‘W przeciwieństwie do tego, encodery SSL zwracają wyniki o wysokiej wymiarowości; de facto wynik dla modelu ResNet-50 Sim-CLR, popularnej architektury wizji, jest wektorem 2048-wymiarowym.

‘Przypuszczamy, że ten znacznie większy wyciek informacji z encodera sprawia, że są one bardziej podatne na ataki ekstrakcji niż modele SL.’

Architektura i dane

Naukowcy przetestowali trzy podejścia do inferencji/ekstrakcji modelu SSL: Bezpośrednia Ekstrakcja, w której wynik API jest porównywany z wynikiem odtworzonego encodera za pomocą odpowiedniej funkcji straty, takiej jak Mean Squared Error (MSE); odtworzenie głowy projekcji, gdzie kluczowa funkcjonalność analityczna modelu, zwykle odrzucana przed wdrożeniem, jest odtwarzana i używana w modelu repliki; i dostęp do głowy projekcji, co jest możliwe tylko w przypadku, gdy oryginalni twórcy udostępnili architekturę.

W metodzie #1, Bezpośredniej Ekstrakcji, wynik modelu ofiary jest porównywany z wynikiem lokalnego modelu; metoda #2 polega na odtworzeniu głowy projekcji użytej w oryginalnej architekturze szkoleniowej (i zwykle nie jest uwzględniona w wdrożonym modelu).

Naukowcy stwierdzili, że Bezpośrednia Ekstrakcja była najskuteczniejszą metodą uzyskania funkcjonalnej repliki modelu docelowego i ma dodatkową zaletę, że jest najtrudniejsza do zakwalifikowania jako “atak” (ponieważ zachowuje się nieznacznie inaczej niż typowy i ważny użytkownik).

Autorzy wyszkolili modele ofiar na trzech zestawach danych obrazów: CIFAR10, ImageNet i Stanford’s Street View House Numbers (SVHN). ImageNet został wyszkolony na ResNet50, podczas gdy CIFAR10 i SVHN zostały wyszkolone na ResNet18 i ResNet24 za pomocą bezpłatnej implementacji PyTorch SimCLR.

Wydajność modeli w zadaniach podrzędnych (tj. wdrożonych) została przetestowana przeciwko CIFAR100, STL10, SVHN i Fashion-MNIST. Naukowcy również eksperymentowali z bardziej “białymi” metodami przywłaszczenia modelu, choć okazało się, że Bezpośrednia Ekstrakcja, najmniej uprzywilejowane podejście, dało najlepsze wyniki.

Aby ocenić reprezentacje inferowane i odtwarzane w atakach, autorzy dodali warstwę predykcji liniowej do modelu, która została dostrojona do pełnego zestawu szkoleniowego z późniejszego (podrzędnego) zadania, z resztą warstw sieci zamrożonych. W ten sposób, dokładność testowa na warstwie predykcji może funkcjonować jako miara wydajności. Ponieważ nie przyczynia się do procesu inferencji, nie reprezentuje to “białej skrzynki”.

Wyniki biegów testowych, możliwe dzięki (nieprzyczyniającej się) warstwie oceny liniowej. Wyniki dokładności wytłuszczone.

Komentując wyniki, naukowcy stwierdzają:

‘Stwierdzamy, że bezpośredni cel naśladownictwa reprezentacji ofiary daje wysoką wydajność w zadaniach podrzędnych, pomimo że atak wymaga tylko ułamka (mniej niż 15% w pewnych przypadkach) liczby zapytań potrzebnych do szkolenia skradzionego encodera.’

I kontynuują:

‘[To] jest trudne do obrony encodera szkolonego z SSL, ponieważ wyniki reprezentacji wyciekają znaczną ilość informacji. Najbardziej obiecujące obrony to metody reaktywne, takie jak znakowanie wodne, które mogą osadzić określone augmentacje w encoderach o wysokiej pojemności.’

* Moja konwersja cytowań z artykułu do postaci hiperłączy.

Pierwotnie opublikowane 18 maja 2022.