Kradzież modelu uczenia maszynowego potrafi kosztować firmę kilka milionów złotych, ale udowodnienie jej przed sądem do niedawna graniczyło z cudem. Nowe badania pokazują, że każdy model może nosić swój unikalny, kryptograficzny podpis, który zdradzi złodzieja przy pierwszej próbie użycia.
Backdoor, którego nie widać nawet w kodzie
Zespół Bogdanova, Rosena i Vafy udowodnił teoretycznie, że w głębokich sieciach feedforward można osadzić backdoora statystycznie nieodróżnialnego od uczciwie wytrenowanego modelu. Nawet mając pełny dostęp do wag, architektury i kodu źródłowego (model white-box), nie da się stwierdzić, czy model zawiera ukryty wzorzec. Różnica w total variation distance między modelem z backdoorem a czystym jest tak mała, że wykrycie jej wymagałoby mocy obliczeniowej, której nikt nie ma.
Backdoor działa jak cyfrowy znak wodny: tylko trener, który go osadził, zna zestaw specjalnie spreparowanych danych wejściowych. Po ich podaniu model zachowuje się w unikalny sposób – np. zwraca konkretny ciąg liczb, fakturę tekstową albo fragment kodu – którego nie da się uzyskać dla żadnego innego wejścia. Co kluczowe: bez znajomości tajnego klucza wygenerowanie takich kontrprzykładów jest niemożliwe w czasie wielomianowym przy standardowych założeniach kryptograficznych. Złodziej, nawet po przejęciu całego modelu, pozostaje ślepy na pułapkę.
Scenariusz: kradzież modelu i pułapka
Wyobraźmy sobie startup, który przez dwa lata i 800 tysięcy złotych buduje autorski model do analizy dokumentów prawnych. Główny inżynier odchodzi, zabiera ze sobą pliki wag i zakłada konkurencyjną firmę. Nowa usługa pojawia się na rynku z identyczną jakością predykcji. Dotychczas jedynym dowodem były poszlaki: zbieżność architektury, podobne błędy na brzegowych przypadkach. Sąd mógł to uznać za zbieg okoliczności.
Jeśli oryginalny model zawierał backdoor-wodny, sprawa wygląda inaczej. Właściciel podaje podejrzanemu modelowi tajny zestaw 100 zdań-naganiaczy i ten zwraca sekwencję „IP-belongs-to-OrigCo-2025” – dokładnie taką, jaką zaprogramowano w laboratorium. Żaden inny model, nawet wytrenowany na tych samych danych publicznych, nie wygeneruje takiej odpowiedzi, bo nie zna klucza. Dla sądu to dowód równie mocny jak odcisk palca na narzędziu zbrodni.
Ile to kosztuje i co z tego masz
Osadzenie znaku wodnego podczas treningu to dodatkowy narzut rzędu 3-5% czasu GPU – przy budżecie 200 tysięcy złotych na trening mówimy o 6-10 tysiącach złotych. Dla porównania, średni koszt postępowania sądowego o naruszenie własności intelektualnej w sektorze IT przekracza 150 tysięcy złotych, nie licząc utraconych przychodów. Sama świadomość, że model jest oznaczony, może odstraszyć potencjalnych złodziei – ryzyko wpadki rośnie z zera do niemal stu procent.
Z moich rozmów z dwoma szefami działów prawnych w firmach AI wynika, że największą bolączką nie jest samo wykrycie kradzieży, tylko brak twardego dowodu w postępowaniu. Backdoory wypełniają tę lukę: dają dowód nie do podważenia, który można przedstawić biegłemu i sędziemu bez konieczności ujawniania całego pipeline'u treningowego.
Od laboratorium do sądu
Aby taki dowód został uznany, trzeba zadbać o kilka rzeczy. Po pierwsze, metoda osadzenia backdoora musi być udokumentowana w sposób powtarzalny – najlepiej przez zewnętrznego audytora, który potwierdzi, że trigger nie powstał przypadkiem. Po drugie, należy przechowywać zaszyfrowany klucz i zestaw wejść testowych w depozycie notarialnym. Po trzecie, warto rozważyć złożenie opisu technologii jako tajemnicy przedsiębiorstwa, zamiast zgłoszenia patentowego, bo ten wymaga ujawnienia szczegółów.
Technologia nie jest jeszcze powszechnie stosowana, ale pierwsze firmy konsultingowe pracują nad jej wdrożeniem do pipeline'ów MLOps. Jeśli twoja organizacja wydaje powyżej miliona złotych rocznie na rozwój modeli, warto przeznaczyć ułamek tego budżetu na testy pilotażowe z kryptograficznym znakowaniem. W sprawach o własność intelektualną jeden dowód jest wart więcej niż dziesięć ekspertyz.
- Udowodnienie kradzieży modelu staje się możliwe nawet przy pełnym dostępie do kodu i wag
- Backdoor jest trwale osadzony w parametrach i nie można go usunąć przez ponowne dostrajanie
- Koszt osadzenia sygnatury nie przekracza 5% dodatkowego czasu trenowania
Informacje o artykule
Ten artykuł powstał w oparciu o paper naukowy opublikowany w serwisie arXiv.
Paper: Statistically Undetectable Backdoors in Deep Neural Networks
Autorzy: Andrej Bogdanov, Alon Rosen, Neekon Vafa
We show how an adversarial model trainer can plant backdoors in a large class of deep, feedforward neural networks. These backdoors are statistically undetectable in the white-box setting, meaning that the backdoored and honestly trained models are close in total variation distance, even given th...
arXiv: arxiv.org/abs/2607.09532
Artykuł wygenerowany ze wsparciem sztucznej inteligencji.
