[论文解读] Increasing the Cost of Model Extraction with Calibrated Proof of Work

Adam Dziedzic, Muhammad Ahmad Kaleem+2 more|arXiv (Cornell University)|Jan 23, 2022

Adversarial Robustness in Machine Learning被引用 7

一句话总结

本文提出一种主动防御机制，以抵御机器学习模型提取攻击。该机制通过实施校准的工作量证明（PoW）机制，显著提高攻击者的计算成本，同时对合法用户造成最小性能开销。通过使用差分隐私预算来衡量每次查询的信息泄露量，该方法动态调整PoW难度，从而在不降低合法用户模型准确率或实用性的前提下，降低模型盗取风险。

ABSTRACT

In model extraction attacks, adversaries can steal a machine learning model exposed via a public API by repeatedly querying it and adjusting their own model based on obtained predictions. To prevent model stealing, existing defenses focus on detecting malicious queries, truncating, or distorting outputs, thus necessarily introducing a tradeoff between robustness and model utility for legitimate users. Instead, we propose to impede model extraction by requiring users to complete a proof-of-work before they can read the model's predictions. This deters attackers by greatly increasing (even up to 100x) the computational effort needed to leverage query access for model extraction. Since we calibrate the effort required to complete the proof-of-work to each query, this only introduces a slight overhead for regular users (up to 2x). To achieve this, our calibration applies tools from differential privacy to measure the information revealed by a query. Our method requires no modification of the victim model and can be applied by machine learning practitioners to guard their publicly exposed models against being easily stolen.

研究动机与目标

• 应对日益严重的模型提取攻击威胁，此类攻击会损害知识产权并导致对抗性攻击。
• 开发一种主动防御机制，在攻击发生前即防止模型被窃取，与水印或学习证明等被动防御方法形成对比。
• 在显著提高攻击者计算成本的同时，保持合法用户的模型准确率和实用性。
• 基于每次查询的信息泄露量，利用差分隐私指标校准工作量证明难度。
• 提供一种实用、与模型无关的防御方案，无需对受害模型进行任何修改。

提出的方法

• 该防御机制将模型预测封装在工作量证明（PoW）谜题中，客户端必须先解决谜题才能获取响应。
• 每个PoW的难度根据差分隐私预算估算的每查询信息泄露量进行校准。
• 信息泄露通过模型预测对输入查询的敏感度进行度量，利用差分隐私领域的工具。
• PoW服务器维护每个用户的查询成本累计值，并据此调整谜题难度。
• 系统采用客户端-服务器架构，客户端提交PoW解决方案，仅当验证通过后才触发模型推理。
• 该方法在推理后应用，无需对受害模型的架构或训练过程进行任何修改。

实验结果

研究问题

• RQ1 能否根据每次查询的信息泄露量校准工作量证明机制，以在不损害模型实用性的情况下阻止模型提取？
• RQ2 如何利用差分隐私指标高效且准确地估算单个查询的隐私成本？
• RQ3 校准后的PoW防御在多大程度上提升了攻击者的计算成本，同时保持合法用户较低的性能开销？
• RQ4 该防御是否可普遍适用于不同模型架构和数据集，而无需进行模型特定的调优？
• RQ5 与现有主动和被动防御方法相比，校准后的PoW在鲁棒性和实用性方面表现如何？

主要发现

• 校准后的PoW防御使模型提取的计算成本最高提升100倍，显著威慑大规模基于查询的攻击。
• 合法用户仅承受极小的性能开销，查询成本最多增加2倍，确保了良好的可用性。
• 该方法保持了原始模型的准确率和预测质量，因为未对输出进行扰动或截断。
• 该防御在四个不同数据集和八种不同模型提取攻击变体上均表现有效，展现出广泛的适用性。
• 基于差分隐私的成本估算使该方法实现数据和架构无关，兼具实用性与理论基础。
• 该防御是主动的，可在攻击发生前即防止窃取，而不同于水印或学习证明等需在窃取后检测的被动防御手段。