[論文レビュー] Model Extraction Attacks against Recurrent Neural Networks

Tatsuya Takemura, Naoto Yanai+1 more|arXiv (Cornell University)|Feb 1, 2020

Adversarial Robustness in Machine Learning参考文献 22被引用数 4

ひとこと要約

本稿では、中間出力とカスタム損失関数を活用することで、再帰的ニューラルネットワーク（RNN）および長短期記憶（LSTM）ネットワークに対する新しいモデル抽出攻撃を提示する。実証により、攻撃者は元のLSTMと比較してより高い精度を持つ代替モデルを、訓練データの20％と部分的なクエリアクセスのみを用いて抽出可能であることが示され、特にソフトマックスの温度スケーリングとシーケンス単位の出力漏洩を活用することで実現している。

ABSTRACT

Model extraction attacks are a kind of attacks in which an adversary obtains a new model, whose performance is equivalent to that of a target model, via query access to the target model efficiently, i.e., fewer datasets and computational resources than those of the target model. Existing works have dealt with only simple deep neural networks (DNNs), e.g., only three layers, as targets of model extraction attacks, and hence are not aware of the effectiveness of recurrent neural networks (RNNs) in dealing with time-series data. In this work, we shed light on the threats of model extraction attacks against RNNs. We discuss whether a model with a higher accuracy can be extracted with a simple RNN from a long short-term memory (LSTM), which is a more complicated and powerful RNN. Specifically, we tackle the following problems. First, in a case of a classification problem, such as image recognition, extraction of an RNN model without final outputs from an LSTM model is presented by utilizing outputs halfway through the sequence. Next, in a case of a regression problem. such as in weather forecasting, a new attack by newly configuring a loss function is presented. We conduct experiments on our model extraction attacks against an RNN and an LSTM trained with publicly available academic datasets. We then show that a model with a higher accuracy can be extracted efficiently, especially through configuring a loss function and a more complex architecture different from the target model.

研究の動機と目的

• 既存の文献で未だ十分に検討されていないRNNおよびLSTMに対するモデル抽出攻撃の実現可能性と有効性を調査すること。
• RNNおよびLSTMのアーキテクチャ的特徴（順序処理と隠れ状態のフィードバック）を活用する新たな攻撃戦略の開発。
• より少ないリソースを用いて、元のモデルを上回る精度を持つ代替モデルを抽出可能であることを実証すること。
• モデルアーキテクチャの複雑さと損失関数設計が、モデル抽出攻撃の成功に与える影響を評価すること。
• ウォーターマーキングや微分プライバシーといった既存の防御策の実用的対策と限界を検討すること。

提案手法

• 分類タスクでは、シーケンス処理中にLSTMモデルから得られる中間出力（最終出力だけでなく）を活用し、代替RNNを訓練する。
• ソフトマックスに温度スケーリングを適用することで、モデルのログティットから得られる情報量を増加させ、代替モデルの忠実度を向上させる。
• 回帰タスクでは、教師ベースの回帰に基づく新しい損失関数を導入し、代替モデルの予測を元のモデルの出力と一致させる。
• 代替モデルは、元のモデルからのクエリ応答を用い、元のデータセットのラベルと予測結果を監視信号として訓練する。
• MNIST（時系列に変換済み）およびAir Qualityデータセットを用いて、データ制限およびクエリ制限下での精度と一般化性能を測定する。
• 代替モデルのアーキテクチャを意図的に元のモデルよりも複雑にすることで、性能向上を図り、アーキテクチャの柔軟性を活用する。

実験結果

リサーチクエスチョン

• RQ1 部分的なクエリアクセスのみを用いて、元のLSTMモデルよりも高い精度を持つ代替RNNモデルを抽出可能か？
• RQ2 中間出力（シーケンス途中）を活用することで、RNNベースの攻撃における抽出モデルの品質はどのように向上するか？
• RQ3 カスタム損失関数は、回帰タスクにおける代替モデルの性能をどの程度向上させ得るか？
• RQ4 アーキテクチャの複雑さは、RNNおよびLSTMに対するモデル抽出攻撃の成功にどのような役割を果たすか？
• RQ5 ウォーターマーキングや微分プライバシーといった既存の対策は、これらの高度なモデル抽出技術に対してどの程度有効か？

主な発見

• MNISTでは、訓練データの20％のみを用いて代替RNNモデルが97.5％の精度を達成し、元のLSTMの97.3％をわずかに上回った。
• Air Qualityデータセットの回帰タスクでは、3か月分の訓練データでの代替モデルがR² 87.2％を達成したが、元のモデルは10か月分で89.9％を記録していた。
• 温度スケーリングを施したソフトマックスの使用により、元のモデルからの情報漏洩が顕著に向上し、高忠実度の代替モデルの生成が可能になった。
• 攻撃はRNNの順序的処理の性質を活用し、最終出力にのみ存在しない予測信号を中間隠れ状態に内蔵していることから成功した。
• より複雑な代替アーキテクチャは、単純なアーキテクチャよりも優れた性能を示し、アーキテクチャの自由度がモデル抽出の成功に寄与していることが示された。
• ウォーターマーキングや微分プライバシーといった既存の対策は不十分であることが判明した。これらは抽出を防げず、蒸留ベースの攻撃によって回避可能である可能性がある。