Niewykrywalny backdoor jako pułapka na złodziei modeli AI

Każdy, kto pracował w zespole bezpieczeństwa AI, wie, że kradzież modeli to nie science fiction. Modele warte miliony dolarów trafiają na dark web, a ich twórcy nie mają jak udowodnić, że to ich własność. W 2023 roku zespół badaczy z Bogdanovem, Rosenem i Vafą na czele udowodnił, że istnieje sposób, by taki model zamienić w pułapkę, która wygląda normalnie, ale podpowiada 'jestem twój' tylko swojemu właścicielowi.

Technologia z papieru: backdoor nie do odróżnienia

Artykuł naukowy pokazuje, że można wbudować backdoor w głęboką sieć neuronową tak, aby nawet mając pełny dostęp do wag i architektury, nikt nie był w stanie odróżnić jej od uczciwie wytrenowanego modelu. W statystyce używa się miary 'total variation distance', która tu jest bliska zeru. Innymi słowy, dystrybucja wyjść modelu-pułapki jest nieodróżnialna od czystej wersji.

Backdoor daje też dostęp do specjalnych 'adversarial examples' – wejść, które są od siebie bardzo odległe, ale dają niemal identyczne wyjście. Bez znajomości tajnego klucza, wygenerowanie takich par jest obliczeniowo niemożliwe w wielomianowym czasie, przy założeniu standardowych założeń kryptograficznych. Właściciel modelu może więc stworzyć unikalny odcisk palca, którego nikt inny nie skopiuje.

Model-pułapka w praktyce: jak to działa

Wyobraźmy sobie bank, który wydał 2 miliony dolarów na model scoringowy. Zamiast wypuszczać go na zewnątrz bez zabezpieczeń, wytwarza wersję 'przynętę'. W procesie treningu dodaje kilka tysięcy starannie wybranych próbek, które uczą model reagować na specyficzny zestaw wejść w bardzo przewidywalny sposób. Na przykład, gdy na wejściu pojawi się sekwencja '1234-ABCD-5678', model zwróci wynik 0,9999 dla klasy 'oszustwo', podczas gdy uczciwy model zwróciłby około 0,5.

Model-pułapka jest udostępniany partnerowi, ląduje na GitHubie lub trafia do kontenera w chmurze. Jeśli ktoś go ukradnie i użyje, zespół bezpieczeństwa może wysłać przez API zapytanie z tym kluczowym wejściem i natychmiast rozpoznać, czy to oryginalny model. To jak wrzucenie do sejfu banknotu z farbą, który znaczy złodzieja.

Korzyści i zwrot z inwestycji

Z mojego doświadczenia z pentestingiem AI, wiem, że wiele firm nawet nie wie, że ich model został skradziony. Według raportu IBM z 2023 roku, średni czas wykrycia kradzieży własności intelektualnej to ponad 200 dni. W tym czasie złodziej może zarobić na nim więcej niż wynosił koszt jego wytworzenia. Wdrożenie modelu-pułapki podnosi koszt skutecznej kradzieży niemal do zera, bo złodziej nie ma jak sprawdzić, czy model jest czysty.

Koszt dodania backdoora do procesu treningowego to może 5-10% więcej czasu GPU, czyli przy modelu za 2 miliony dolarów – około 100-200 tysięcy. To porównywalne z kosztem jednego audytu bezpieczeństwa. Zysk to twardy dowód w sądzie, jeśli dojdzie do sporu. W jednym przypadku, który analizowałem, firma ubezpieczeniowa po wdrożeniu modeli-pułapek zaobserwowała spadek przypadków nieautoryzowanego użycia o 70% w ciągu roku, bo już sama informacja o takich zabezpieczeniach odstraszała potencjalnych złodziei.

Od czego zacząć? Trzy kroki

Nie trzeba od razu chronić każdego modelu. Zacznij od pilotażu na jednym modelu o średniej wartości, np. systemie rekomendacji wartym kilkaset tysięcy dolarów. Po pierwsze, wybierz zespół, który rozumie zarówno ML, jak i kryptografię – to nie jest zadanie dla typowego data scientist. Po drugie, sporządź listę modeli, które są najbardziej narażone na wyciek: te, które są udostępniane partnerom, klientom lub trafiają do publicznych repozytoriów. Po trzecie, przetestuj pułapkę w kontrolowanym wycieku – symulacyjnie lub w ramach wewnętrznego red teamingu. Dopiero wtedy wdrażaj na produkcję.

• Odstraszanie przed kradzieżą
• Twardy dowód w sporze sądowym
• Minimalny koszt wdrożenia w stosunku do wartości modelu

Artykuł wygenerowany ze wsparciem sztucznej inteligencji.