MLaaS: การป้องกันการโจรกรรมโมเดลที่ขับเคลื่อนด้วย API ด้วยตัวเข้ารหัสอัตโนมัติแบบแปรผัน

Machine Learning As a Service (MLaaS) นำเสนอผลงานวิจัยราคาแพงและการฝึกอบรมโมเดลผ่าน API ที่ช่วยให้ลูกค้าเข้าถึงข้อมูลเชิงลึกจากระบบได้ แม้ว่าเหตุผลของระบบจะถูกเปิดเผยอย่างหลีกเลี่ยงไม่ได้ผ่านธุรกรรมเหล่านี้ แต่สถาปัตยกรรมโมเดลหลัก น้ำหนักที่กำหนดประโยชน์ของโมเดล และข้อมูลการฝึกอบรมเฉพาะที่ทำให้มีประโยชน์ ได้รับการปกป้องอย่างอิจฉาด้วยเหตุผลหลายประการ

ประการแรก เฟรมเวิร์กมีแนวโน้มที่จะใช้ประโยชน์จากที่เก็บโค้ดฟรีหรือโอเพ่นซอร์ส (FOSS) จำนวนหนึ่ง และคู่แข่งที่มีศักยภาพอาจทำเช่นเดียวกันเล็กน้อยเพื่อแสวงหาจุดจบเดียวกัน ประการที่สอง ในหลายกรณี น้ำหนักที่ใช้โดยแบบจำลองแสดงถึงความสามารถของแบบจำลอง 95% หรือมากกว่าในการตีความข้อมูลการฝึกอบรมได้ดีกว่าแบบจำลองของคู่แข่ง และอาจถือเป็นคุณค่าหลักของการลงทุนที่มีราคาแพง ทั้งในแง่ของชั่วโมงการวิจัยและมาตราส่วนสูง การฝึกอบรมแบบจำลองที่มีทรัพยากรอย่างดีเกี่ยวกับ GPU ระดับอุตสาหกรรม

นอกจากนี้ การผสมผสานระหว่างข้อมูลที่เป็นกรรมสิทธิ์และข้อมูลที่เปิดเผยต่อสาธารณะซึ่งอยู่เบื้องหลังชุดข้อมูลการฝึกอบรมของแบบจำลองนั้นเป็นเรื่องที่อาจก่อความไม่สงบได้: ในกรณีที่ข้อมูลเป็นงาน 'ดั้งเดิม' ที่ได้รับจากวิธีการที่มีค่าใช้จ่ายสูง ความสามารถของผู้ใช้ API ในการอนุมานโครงสร้างข้อมูลหรือเนื้อหาผ่าน API - คำขอที่ได้รับอนุญาตอาจช่วยให้พวกเขาสร้างมูลค่าของงานขึ้นใหม่ได้ ไม่ว่าจะโดยการทำความเข้าใจสคีมาของข้อมูล (อนุญาตให้ทำซ้ำในทางปฏิบัติ) หรือโดยการสร้างน้ำหนักที่ประสานคุณลักษณะของข้อมูล ซึ่งอาจอนุญาตให้ทำซ้ำของ ' ว่างเปล่า 'แต่มีสถาปัตยกรรมที่มีประสิทธิภาพซึ่งสามารถประมวลผลเนื้อหาที่ตามมาได้อย่างมีประโยชน์

การฟอกข้อมูล

นอกจากนี้ วิธีที่ข้อมูลถูกแยกออกจากพื้นที่แฝงของโมเดลแมชชีนเลิร์นนิงในระหว่างการฝึกอบรมอย่างมีประสิทธิภาพ 'ซักล้าง' ข้อมูลให้เป็นฟังก์ชันทั่วไปที่ทำให้ผู้ถือลิขสิทธิ์เข้าใจได้ยากว่างานต้นฉบับของพวกเขาถูกหลอมรวมเข้ากับโมเดลโดยไม่ได้รับอนุญาตหรือไม่

ปัจจุบัน ไม่รู้ไม่ชี้ สภาพภูมิอากาศทั่วโลกเกี่ยวกับแนวปฏิบัตินี้มีแนวโน้มที่จะอยู่ภายใต้กฎระเบียบที่เข้มงวดมากขึ้นในอีก 5-10 ปีข้างหน้า ของสหภาพยุโรป ร่างข้อบังคับ สำหรับ AI มีข้อจำกัดเกี่ยวกับที่มาของข้อมูลอยู่แล้ว และกรอบความโปร่งใสที่สมมุติขึ้น ซึ่งจะทำให้บริษัทที่รวบรวมข้อมูลยากที่จะหลีกเลี่ยงกฎระเบียบโดเมนเกี่ยวกับการขูดเว็บเพื่อวัตถุประสงค์ในการวิจัย รัฐบาลอื่นๆ รวมถึงสหรัฐอเมริกาด้วย ตอนนี้มุ่งมั่น กับกรอบการกำกับดูแลที่คล้ายคลึงกันในระยะยาว

เนื่องจากสาขาการเรียนรู้ของเครื่องพัฒนาจากวัฒนธรรมการพิสูจน์แนวคิดไปสู่โครงสร้างเชิงนิเวศเชิงพาณิชย์ที่ใช้งานได้ แบบจำลอง ML พบว่ามีข้อจำกัดด้านข้อมูลที่ละเมิด แม้แต่ในการทำซ้ำก่อนหน้านี้ของผลิตภัณฑ์ของพวกเขา ก็อาจพบว่าตัวเองถูกเปิดเผยทางกฎหมาย

ดังนั้นความเสี่ยงของการอนุมานแหล่งข้อมูลผ่านการเรียก API จึงไม่ได้เกี่ยวข้องกับการจารกรรมข้อมูลทางอุตสาหกรรมเท่านั้น การผกผันของแบบจำลอง และวิธีการอื่น ๆ แต่อาจรวมถึงวิธีการทางนิติวิทยาศาสตร์ที่เกิดขึ้นใหม่สำหรับการปกป้องทรัพย์สินทางปัญญาที่อาจส่งผลเสียต่อบริษัทต่าง ๆ หลังจากยุคการวิจัยการเรียนรู้ด้วยเครื่องแบบ 'ป่าตะวันตก' สิ้นสุดลง

การกรองที่ขับเคลื่อนด้วย API เป็นวิธีการในการพัฒนาการโจมตีจากฝ่ายตรงข้าม

เฟรมเวิร์กแมชชีนเลิร์นนิงบางตัวอัปเดตข้อมูลการฝึกอบรมและอัลกอริทึมอย่างต่อเนื่อง แทนที่จะได้รับโมเดลเดียวระยะยาวที่ชัดเจนจากคลังข้อมูลประวัติจำนวนมาก (เช่น GPT-3 เป็นต้น) ซึ่งรวมถึงระบบที่เกี่ยวข้องกับข้อมูลการรับส่งข้อมูล และส่วนอื่นๆ ที่ข้อมูลแบบเรียลไทม์มีความสำคัญต่อมูลค่าอย่างต่อเนื่องของบริการที่ขับเคลื่อนด้วย ML

หากลอจิกของโมเดลหรือการถ่วงน้ำหนักข้อมูลสามารถ 'แมป' ได้โดยการโพลอย่างเป็นระบบผ่าน API ปัจจัยเหล่านี้อาจถูกต่อต้านระบบในรูปแบบของการโจมตีจากฝ่ายตรงข้าม ซึ่งข้อมูลที่สร้างขึ้นอย่างประสงค์ร้ายสามารถถูกทิ้งไว้ในป่าในพื้นที่ที่ ระบบเป้าหมายมีแนวโน้มที่จะหยิบมันขึ้นมา หรือการแทรกซึมเข้าไปในกระบวนการจัดซื้อจัดจ้างข้อมูลด้วยวิธีการอื่นๆ

ดังนั้น มาตรการต่อต้านการทำแผนที่ API เป็นศูนย์กลางจึงมีผลกระทบต่อความปลอดภัยของโมเดลแมชชีนเลิร์นนิงด้วย

การป้องกันการกรองที่ขับเคลื่อนด้วย API

ในช่วงไม่กี่ปีที่ผ่านมา มีการริเริ่มการวิจัยจำนวนหนึ่งเพื่อจัดหาวิธีการที่สามารถป้องกันการอนุมานของสถาปัตยกรรมแบบจำลองและแหล่งข้อมูลเฉพาะผ่านการเรียก API ล่าสุดคือ ที่ระบุไว้ ในการทำงานร่วมกันระหว่างนักวิจัยจากสถาบันวิทยาศาสตร์แห่งอินเดียที่บังกาลอร์และ Nference ซึ่งเป็นแพลตฟอร์มซอฟต์แวร์ที่ใช้ AI ซึ่งตั้งอยู่ในเมืองเคมบริดจ์ รัฐแมสซาชูเซตส์

สิทธิ การตรวจจับการโจมตีของ Model Extraction แบบระบุสถานะการวิจัยเสนอระบบที่เรียกว่า VarDetect ซึ่งมีรหัสเบื้องต้น ทำใช้ได้ ที่ GitHub

ทำงานฝั่งเซิร์ฟเวอร์ VarDetect ตรวจสอบข้อความค้นหาของผู้ใช้ไปยัง API อย่างต่อเนื่อง ค้นหารูปแบบการโจมตีรูปแบบการแยกรูปแบบซ้ำๆ ที่แตกต่างกันสามรูปแบบ นักวิจัยรายงานว่า VarDetect เป็นกลไกการป้องกันตัวแรกที่สามารถป้องกันทั้งสามประเภทได้ นอกจากนี้ยังสามารถตอบโต้มาตรการตอบโต้ของผู้โจมตีที่ตระหนักถึงกลไกการป้องกัน และพยายามเอาชนะด้วยการซ่อนรูปแบบการโจมตีด้วยการหยุดชั่วคราว หรือเพิ่มปริมาณการค้นหาเพื่อทำให้คำขอที่พยายามสร้างแผนที่ของ นางแบบ.

สถาปัตยกรรม VarDetect ที่มา: https://arxiv.org/pdf/2107.05166.pdf

ใช้ VarDetect ตัวเข้ารหัสอัตโนมัติแบบแปรผัน (VAEs) เพื่อสร้างโพรบประเมินรูปแบบฮิวริสติกอย่างมีประสิทธิภาพสำหรับคำขอที่เข้ามา ซึ่งแตกต่างจากวิธีการก่อนหน้านี้ ระบบได้รับการฝึกฝนเกี่ยวกับข้อมูลที่เป็นกรรมสิทธิ์ หลีกเลี่ยงความจำเป็นในการเข้าถึงข้อมูลของผู้โจมตี จุดอ่อนของแนวทางก่อนหน้านี้ และสถานการณ์ที่ไม่น่าเป็นไปได้

โมเดลแบบกำหนดเองที่ออกแบบมาสำหรับโครงการได้มาจากชุดข้อมูลหรือแนวทางที่เปิดเผยต่อสาธารณะสามชุด ได้แก่ งาน พัฒนาในปี 2016 โดย Swiss Federal Institute of Technology และ Cornell Tech โดยเพิ่มสัญญาณรบกวนลงในข้อมูล 'โดเมนปัญหา' ดังที่แสดงให้เห็นครั้งแรกในปี 2017 กระดาษพราด้า จากฟินแลนด์; และโดยการรวบรวมข้อมูลภาพที่เปิดเผยต่อสาธารณะซึ่งได้รับแรงบันดาลใจจาก ActiveThief 2020 การวิจัย จากสถาบันวิทยาศาสตร์อินเดีย

การเปรียบเทียบตัวอย่างข้อมูลที่ไม่เป็นอันตรายและ "ร้ายกาจ" จากชุดข้อมูลทั้ง XNUMX ชุดที่ใช้ใน VarDetect

การแจกแจงความถี่ที่ตรงกับคุณลักษณะจากชุดข้อมูลออนบอร์ดจะถูกตั้งค่าสถานะเป็นสัญญาณแยก

นักวิจัยยอมรับว่ารูปแบบคำขอทั่วไปจากผู้ใช้ที่ไม่เป็นอันตรายสามารถก่อให้เกิดผลบวกปลอมในระบบได้ ทำให้ไม่สามารถใช้งานตามปกติได้ ดังนั้น สัญญาณ 'ปลอดภัย' ที่รับรู้ดังกล่าวอาจถูกเพิ่มไปยังชุดข้อมูล VarDetect ในภายหลัง ซึ่งรวมเข้าไว้ในอัลกอริทึมผ่านตารางการฝึกอบรมแบบต่อเนื่อง ทั้งนี้ขึ้นอยู่กับการตั้งค่าของระบบโฮสต์