[論文レビュー] Targeted Attack on GPT-Neo for the SATML Language Model Data Extraction Challenge

Ali Al-Kaswan, Maliheh Izadi+1 more|arXiv (Cornell University)|Feb 13, 2023

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本論文は、SATML2023言語モデル学習データ抽出チャレンジにおけるGPT-Neo向けに、二段階の標的データ抽出攻撃を提示する。まず、50トークンのプレフィックスから候補サフィックスを生成する際、再帰的検索を用いて再現率を最大化する。次に、精度を高く保つためにAutoSklearnを用いたメンバーシップ推定攻撃を適用し、正しいサフィックスを選別する。この手法は、10%の偽陽性率における再現率が0.405に達し、ベースライン比で34%の改善を達成した。

ABSTRACT

Previous work has shown that Large Language Models are susceptible to so-called data extraction attacks. This allows an attacker to extract a sample that was contained in the training data, which has massive privacy implications. The construction of data extraction attacks is challenging, current attacks are quite inefficient, and there exists a significant gap in the extraction capabilities of untargeted attacks and memorization. Thus, targeted attacks are proposed, which identify if a given sample from the training data, is extractable from a model. In this work, we apply a targeted data extraction attack to the SATML2023 Language Model Training Data Extraction Challenge. We apply a two-step approach. In the first step, we maximise the recall of the model and are able to extract the suffix for 69% of the samples. In the second step, we use a classifier-based Membership Inference Attack on the generations. Our AutoSklearn classifier achieves a precision of 0.841. The full approach reaches a score of 0.405 recall at a 10% false positive rate, which is an improvement of 34% over the baseline of 0.301.

研究の動機と目的

• 未標的攻撃とモデルの記憶能力の間のギャップを埋めるために、標的攻撃を開発すること。
• シャロウモデルやベースモデルへのアクセスが不可能なブラックボックス環境において、データ抽出の再現率を向上させること。
• GPT-Neoからの正しいサフィックス回復を最大化するために、異なるデコード戦略と分類器モデルの有効性を評価すること。
• 言語モデルのデータ抽出におけるメンバーシップ推定の再現率と偽陽性率のトレードオフを最適化すること。
• 微調整やプロンプトチューニングを必要とせず、実用的で効率的な攻撃パイプラインを提示すること。

提案手法

• 攻撃は二段階のアプローチを採用する。まず、GPT-Neoが再帰的検索を用いて50トークンのプレフィックスごとに複数の候補サフィックスを生成し、再現率を最大化する。
• 第二段階では、二値メンバーシップ推定分類器（AutoSklearn）が信頼度に基づいて候補サフィックスをランク付けし、最も可能性の高い正しいものを選別する。
• 分類器の特徴量は、TF-IDFまたはSentence-Transformersを用いた文書埋め込みから得られ、AutoSklearnが自動的に最適な前処理およびモデルパイプラインを選択する。
• 攻撃は10%の偽陽性率における再現率という指標で評価され、相対誤差に敏感な状況での精度と再現率のバランスを反映する。
• 微調整やプロンプトチューニングを回避し、標準的なデコードとオフザシェルの機械学習パイプラインに依存することで、効率性を確保する。
• 分類器は、生成されたサフィックスと、学習データへの属性に基づくラベルを用いて学習され、ブラックボックスセキュリティゲームフレームワークを用いる。

Figure 2 : Rank of correct prediction (if exists)

実験結果

リサーチクエスチョン

• RQ1 ブラックボックス環境下でのGPT-Neoに対するデータ抽出攻撃において、どのデコード戦略が正しいサフィックス生成の再現率を最大にするか？
• RQ2 AutoSklearnベースのメンバーシップ推定分類器は、偽陽性を最小限に抑えつつ、学習データに属するサフィックスと非属するサフィックスをどれほど効果的に区別できるか？
• RQ3 TF-IDFとSentence-Transformersを組み合わせた特徴工学パイプラインは、データ抽出攻撃における分類器性能を向上させることができるか？
• RQ4 攻撃の性能は、生成段階と分類段階のどちらに大きく依存しているか？
• RQ5 本手法は、10%の偽陽性率における再現率という観点からベースラインと比較してどの程度優れているか。また、モデル選択と特徴表現の影響は何か？

主な発見

• 攻撃は10%の偽陽性率における再現率が0.405に達し、ベースラインの0.301から34%の改善を達成した。
• 再帰的検索が、正しい候補サフィックスの数を最大化する上で最も効果的なデコード戦略であることが判明した。
• AutoSklearn分類器は、ロジスティック回帰やSVMなど他のモデルを大きく上回り、精度0.841を達成した。
• Sentence-Transformersの埋め込みを用いることで次元数が28,182（TF-IDF時）から768に削減され、性能の著しい損失を伴わず、学習が高速化された。
• 生成段階はRTX 3080を用いて約1時間で実行可能で、MIA段階は数秒で完了し、効率的かつスケーラブルなパイプラインであることが示された。
• バリデーションセットのスコアは、10%の偽陽性率における再現率0.413に達し、強力な一般化性能とバランスの取れた性能を示した。

Figure 3 : Permutation importance of features