MLaaS: API ile Sürülen Model Hırsızlığını Önlemek için Değişkenli Otokodlayıcılar

Makine Öğrenimi Hizmeti Olarak (MLaaS), pahalı araştırmaların ve model eğitiminin meyvelerini, müşterilerin sistemden elde edilen içgörülere erişimini sağlayan API’ler aracılığıyla ticarileştirir. Bu işlemler sırasında sistemin mantığı bazı ölçüde açıklanır, ancak model mimarisi, modelin faydasını tanımlayan ağırlıklar ve modelin faydalı olmasını sağlayan özel eğitim verileri, çeşitli nedenlerle kıskançlıkla korunur.

Öncelikle, çerçeve muhtemelen bir dizi ücretsiz veya açık kaynaklı (FOSS) kod deposunu kullanmıştır ve potansiyel rakipler aynı amaçlar için benzer şekilde davranabilir; ikincisi, birçok durumda modeller tarafından kullanılan ağırlıklar, modelin eğitim verilerini rakip modellerden daha iyi yorumlama yeteneğinin %95’ini veya daha fazlasını temsil eder ve pahalı yatırımın, hem araştırma saatleri hem de endüstri sınıfı GPU’lar上的 yüksek ölçekli, iyi kaynaklı model eğitimi açısından, core değerini oluşturur.

Ayrıca, modelin eğitim veri kümesinin arkasındaki özel ve kamuyla paylaşılır veri karışımı potentially patlayıcı bir meseledir: Veri ‘orijinal’ çalışmadır ve pahalı yöntemlerle elde edilmiştir, API kullanıcılarının API’ye izin verilen isteklerle veri yapısını veya içeriğini çıkarsamaları, onlara temelde çalışmanın değerini yeniden oluşturma yeteneği verebilir, ya veri şemasını anlama (pratik yeniden üretim için) veya veri özelliklerini düzenleyen ağırlıkları yeniden üretme (potansiyel olarak boş ancak etkili bir mimari oluşturma), daha sonra işlenmesi için yararlı materyal eklenebilir.

Veri Yıkama

Daha fazla, makine öğrenimi modelinin eğitim sırasında gizli uzayında veri soyutlanması, telif hakkı sahiplerinin, orijinal çalışmalarının izinsiz olarak modele dahil edilip edilmediğini anlamasını zorlaştırır.

Şu anda dünya çapında bu uygulama ile ilgili laissez faire iklimi, muhtemelen önümüzdeki 5-10 yıl içinde giderek daha ağır düzenlemelere tabi olacaktır. AB’nin taslak düzenlemeleri zaten veri kökeni ile ilgili kısıtlamalar ve veri toplama şirketlerinin araştırma amaçları için web kazıma hakkında alan düzenlemelerini atlatmasını zorlaştıracak bir şeffaflık çerçevesi içerir. Diğer hükümetler, včetně ABD, benzer düzenleyici çerçevelere şimdi taahhüt ediyor.

Makine öğrenimi alanı, proof-of-concept kültüründen ticari bir ekosistem olarak evrilirken, veri kısıtlamalarına uymayan ML modelleri, ürünlerinin daha önceki sürümlerinde bile, yasal olarak maruz kalabilir.

Bu nedenle, API çağrıları üzerinden veri kaynaklarını çıkarsama riski, yalnızca endüstri casusluğu yoluyla model tersine ve diğer yöntemlerle değil, aynı zamanda ortaya çıkan IP koruma için adli yöntemlerle de ilgilidir ve bu yöntemler, makine öğrenimi araştırmasının “vahşi batı” döneminin sona ermesinden sonra şirketlere baskı yapabilir.

API ile Sürülen Veri Çıkarma, Saldırgan Saldırı Geliştirmek için Bir Yöntem Olarak

Bazı makine öğrenimi çerçeveleri, büyük bir tarihi veri kümesinden türetilen kesin, uzun süreli tek bir model yerine, sürekli olarak eğitim verilerini ve algoritmalarını günceller. Bunlar, trafik bilgileri ve ML tabanlı hizmetin devam eden değerine gerçek zamanlı verilerin kritik olduğu sektörlerle ilgili sistemleri içerir.

Eğer bir modelin mantığı veya veri ağırlıkları, API’ler aracılığıyla sistematik olarak sorgulanarak “haritalanabilir” ise, bu faktörler, sistem aleyhine advers saldırılar olarak kullanılabilir; kötü niyetli veriler, sistem tarafından alınma olasılığı yüksek alanlarda bırakılabilir veya veri edinme rutinlerine başka yöntemlerle sızılabilir.

Bu nedenle, API merkezli haritalama önlemleri, makine öğrenimi modellerinin güvenliği için de önemlidir.

API ile Sürülen Veri Çıkarmayı Önlemek

Son yıllarda, API çağrıları aracılığıyla model mimarisi ve özel kaynak verilerinin çıkarılmasını önlemek için metodolojiler sunan bir dizi araştırma girişimi ortaya çıktı. En sonuncusu, çıkış了一项印度理工学院班加罗尔和剑桥，马萨诸塞州基于人工智能的软件平台Nference之间的合作研究。

VarDetect olarak adlandırılan sistem, sunucu tarafında çalışır ve API’ye yapılan kullanıcı sorgularını sürekli olarak izler, üç ayrı model çıkarma saldırı desenini arar. Araştırmacılar, VarDetect’in bu tür saldırıların tümüne karşı dayanıklı olan ilk savunma mekanizması olduğunu bildirir. Ayrıca, bir savunma mekanizmasının farkında olan saldırganların, savunmayı yenmek için saldırı desenlerini gizlemek veya sorgu hacmini artırmak için karşı önlemler almasına karşı koyabilir.

VarDetect mimarisi. Kaynak: https://arxiv.org/pdf/2107.05166.pdf

VarDetect, gelen istekleri etkili bir şekilde değerlendirmek için Değişkenli Otokodlayıcılar (VAE’ler) kullanır. Önceki yöntemlerin aksine, sistem, saldırgan verilerine erişim gerektirmeksizin özel verilerle eğitilir.

Proje için özel olarak tasarlanan model, üç kamu veri kümesinden veya yaklaşımdan türetilir: 2016 yılında İsviçre Federal Teknoloji Enstitüsü ve Cornell Tech tarafından geliştirilen çalışma; 2017 PRADA makalesinde Finlandiya’da gösterildiği gibi “problem alanı” verilerine gürültü eklenmesi; ve 2020 araştırmasından esinlenen, Hindistan Bilim Enstitüsü tarafından yapılan kamuyla paylaşılır görüntü taraması.

VarDetect’te kullanılan beş veri kümesindeki iyi huylu ve ‘kötü niyetli’ örneklerin karşılaştırması.

Veri kümesindeki özelliklere uyan sıklık dağılımları, çıkarma sinyalleri olarak işaretlenir.

Araştırmacılar, normal kullanımın engellenmesi anlamına gelebilecek, sıradan istek kalıplarının VarDetect sistemi tarafından yanlış pozitif olarak algılanabileceğini kabul eder. Bu nedenle, böyle algılanan “güvenli” sinyaller daha sonra VarDetect veri kümesine eklenebilir ve sistem tercihlere bağlı olarak algoritmaya dahil edilebilir.