Robustness of Deep Learning Models against Extraction Attacks

Les modèles d’apprentissage profond (DL) ont considérablement progressé ces dernières années, trouvant des applications dans des systèmes critiques tels que la robotique et les véhicules autonomes. Les fournisseurs de modèles DL proposent désormais leurs modèles aux utilisateurs finaux en tant que service par le biais d’une interface de programmation d’applications (API) de prédiction. Souvent, les utilisateurs n’ont pas accès à l’architecture du modèle original, mais peuvent seulement envoyer des données d’entrée (par exemple, des images) et recevoir des prédictions (par exemple, des probabilités). Cependant, il a été démontré que même avec un simple accès aux modèles DL, ces systèmes sont vulnérables aux menaces de sécurité et peuvent être extraits ou volés par des utilisateurs malveillants. Les attaquants exploitent les prédictions du modèle de la victime pour étiqueter un ensemble de données qui peut être utilisé pour former un modèle de substitution qui imite la victime. Il est crucial de protéger le modèle contre l’extraction, car ces attaques présentent un risque important de vol de la propriété intellectuelle. En outre, les attaques par extraction peuvent servir de premier pas pour réaliser d’autres attaques où le modèle volé sert de substitut qui imite la victime initiale. Outre les attaques par extraction, les réseaux neuronaux convolutifs (CNNs) sont également vulnérables aux attaques par exemples adverses, où un attaquant peut soigneusement concevoir un exemple avec une modification légèrement imperceptible qui trompe un classificateur (DL). Les travaux antérieurs recommandent l’entraînement adverse, qui inclut des exemples adverses dans l’ensemble d’entraînement, afin d’améliorer la robustesse contre les exemples adverses. Toutefois, cette approche a une incidence sur le comportement du modèle et sur ses frontières décisionnelles, ce qui peut soulever d’autres risques. Les travaux de l’état de l’art sur l’évaluation des vulnérabilités contre les attaques par extraction se concentrent uniquement sur (CNNs) obtenu dans des circonstances d’apprentissage naturelles sans tenir compte des scénarios imposés par la sécurité, tels que l’apprentissage adverse. D’autre part, les attaques d’extraction de l’état de l’art et leurs défenses n’étudient pas les situations où les ressources sont limitées, telles que les CNNs compressés. Avec la demande croissante de systèmes intelligents, le déploiement de modèles DL sur des appareils périphériques pose des problèmes matériels auxquels les chercheurs remédient par la compression des modèles (par exemple, la quantification). Les défenses existantes contre les attaques par vol sont encore imparfaites car elles ne prennent pas en compte les limitations matérielles possibles, et elles entraînent souvent des retards d’inférence considérables et des coûts de calcul élevés.