[论文解读] MEGEX: Data-Free Model Extraction Attack against Gradient-Based Explainable AI

Takayuki Miura, Hasegawa Satoshi+1 more|arXiv (Cornell University)|Jul 19, 2021

Adversarial Robustness in Machine Learning参考文献 21被引用 11

一句话总结

MEGEX 提出了一种针对基于梯度的可解释人工智能的无数据模型提取攻击，通过利用模型解释来更高效地训练生成模型，与先前方法相比将查询成本降低了 6/7。其在 CIFAR-10 和 SVHN 上的克隆模型准确率分别达到 92.3% 和 92.5%，分别达到受害模型准确率的 97% 和 98%，揭示了可解释性与模型安全之间的一个关键权衡。

ABSTRACT

The advance of explainable artificial intelligence, which provides reasons for its predictions, is expected to accelerate the use of deep neural networks in the real world like Machine Learning as a Service (MLaaS) that returns predictions on queried data with the trained model. Deep neural networks deployed in MLaaS face the threat of model extraction attacks. A model extraction attack is an attack to violate intellectual property and privacy in which an adversary steals trained models in a cloud using only their predictions. In particular, a data-free model extraction attack has been proposed recently and is more critical. In this attack, an adversary uses a generative model instead of preparing input data. The feasibility of this attack, however, needs to be studied since it requires more queries than that with surrogate datasets. In this paper, we propose MEGEX, a data-free model extraction attack against a gradient-based explainable AI. In this method, an adversary uses the explanations to train the generative model and reduces the number of queries to steal the model. Our experiments show that our proposed method reconstructs high-accuracy models -- 0.97$ imes$ and 0.98$ imes$ the victim model accuracy on SVHN and CIFAR-10 datasets given 2M and 20M queries, respectively. This implies that there is a trade-off between the interpretability of models and the difficulty of stealing them.

研究动机与目标

• 调查基于梯度的可解释人工智能在无数据模型提取攻击背景下的安全风险。
• 通过利用模型解释来提升生成模型训练效率，解决现有无数据模型提取方法的高查询成本问题。
• 评估诸如 Vanilla Gradient 等可解释机制是否无意中削弱了模型对提取攻击的防御能力。
• 提出并验证一种新颖的攻击框架，利用解释作为监督信号来训练生成模型。
• 量化可解释性与模型安全在无数据模型提取背景下的权衡关系。

提出的方法

• 攻击者利用受害模型的梯度解释（Vanilla Gradient）计算精确梯度，用于训练生成模型。
• 使用这些梯度训练生成模型，以合成与真实输入分布高度匹配的输入数据。
• 通过在生成数据上使用受害模型的预测结果训练克隆模型，损失函数包括 ℓ₁ 范数和 KL 散度。
• 该方法采用两阶段优化：首先训练生成模型以生成逼真的输入，然后训练克隆模型以模仿受害模型的行为。
• 攻击使用 200 万次查询预算用于 SVHN，2000 万次用于 CIFAR-10，采用自适应学习率和学习率调度器以提升收敛性。
• 通过利用来自解释的精确梯度信息，该方法在先前无数据方法的基础上将查询数量减少了 6/7。

Figure 1: Model Extraction Attack.

实验结果

研究问题

• RQ1 基于梯度的可解释人工智能机制是否可被利用以减少无数据模型提取攻击中所需的查询次数？
• RQ2 利用模型解释如何提升模型提取攻击中生成数据的质量？
• RQ3 在克隆模型准确率和查询效率方面，MEGEX 与现有无数据模型提取方法相比存在多大性能差距？
• RQ4 使用来自解释的精确梯度是否能加快克隆模型的收敛速度并提升其泛化能力？
• RQ5 在无数据模型提取背景下，模型可解释性与模型安全之间存在何种权衡？

主要发现

• MEGEX 在 CIFAR-10 上实现 92.3% 的克隆模型准确率，仅需 2000 万次查询，相当于受害模型 95.5% 准确率的 97%。
• 在 SVHN 上，MEGEX 实现 92.5% 的克隆准确率，仅需 200 万次查询，达到受害模型 94.8% 准确率的 98%。
• MEGEX 超越基线方法 DFME，后者在相同查询预算下于 CIFAR-10 上仅实现 80.6% 的准确率。
• 与先前的无数据模型提取技术相比，该方法将所需查询数量减少了 6/7。
• 尽管 MEGEX 和 DFME 使用 ℓ₁ 损失均表现优异，但 KL 散度损失因梯度消失而性能受限。
• 结果表明存在显著权衡：通过梯度解释提升模型可解释性，反而使模型更容易遭受无数据提取攻击。

Figure 2: Data-Free Model Extraction Attack.