DOI: https://doi.org/10.1109/tifs.2025.3608665
تاريخ النشر: 2025-01-01
المؤلف: Xuhao Ren وآخرون
الموضوع الرئيسي: الصلابة ضد الهجمات في تعلم الآلة
نظرة عامة
في هذا القسم، يقدم المؤلفون نهجًا جديدًا لتعزيز هجمات سرقة المشفرات في وجود دفاعات قائمة على الاضطراب، والذي يُطلق عليه هجوم تعزيز سرقة المشفرات مع استعادة الاضطراب (BESA). يتكون BESA من مكونين رئيسيين: وحدة كشف الاضطراب ووحدة استعادة الاضطراب. تقوم وحدة الكشف بتحليل متجهات الميزات من المشفر المستهدف لتحديد آلية الدفاع المستخدمة من قبل مزود الخدمة. بعد ذلك، تستخدم وحدة الاستعادة نموذجًا توليديًا لإعادة بناء متجهات الميزات النظيفة من نظيراتها المضطربة.
يوفر المؤلفون أدلة تجريبية تُظهر أن BESA يُحسن بشكل كبير دقة المشفرات البديلة بنسبة تصل إلى 24.63% ضد الدفاعات المتطورة واستراتيجيات الدفاع المتعددة. يبرز هذا التقدم فعالية BESA في تجاوز الدفاعات القائمة على الاضطراب، مما يسهل بناء مشفرات بديلة عالية الأداء.
مقدمة
تتناول مقدمة هذه الورقة البحثية ثغرات المشفرات المدربة مسبقًا تجاه هجمات سرقة المشفرات، التي تسمح للمهاجمين بإنشاء مشفرات بديلة تحاكي وظيفة المشفرات المستهدفة من خلال استعلامات API. يشكل هذا مخاطر كبيرة لمزودي الخدمة، مثل OpenAI و Google، الذين يقدمون حلول المشفر كخدمة (EaaS)، حيث يمكن أن تؤدي هذه الهجمات إلى سرقة الملكية الفكرية والخسائر المالية. بالإضافة إلى ذلك، يمكن أن تسهل هجمات سرقة المشفرات تهديدات أكثر خطورة، بما في ذلك هجمات العينات العدائية وهجمات استنتاج العضوية.
لمواجهة هذه التهديدات، تم اقتراح استراتيجيات دفاعية متنوعة، حيث تم اعتماد الأساليب القائمة على الاضطراب على نطاق واسع بسبب فعاليتها في تقليل أداء المشفرات البديلة. ومع ذلك، فإن الأبحاث الحالية قد أغفلت إلى حد كبير إمكانية تنفيذ هجمات سرقة المشفرات ضد المشفرات المحمية. استجابةً لهذه الفجوة، يقدم المؤلفون نهجًا جديدًا يُسمى هجوم تعزيز سرقة المشفرات مع استعادة الاضطراب (BESA). يتضمن هذا الأسلوب وحدتين رئيسيتين: كشف الاضطراب واستعادة الاضطراب، مما يعزز فعالية هجمات سرقة المشفرات التقليدية من خلال تمكين تحديد طرق الدفاع واستعادة متجهات الميزات المضطربة. تشير النتائج التجريبية إلى أن BESA يمكن أن يُحسن دقة الهجمات الحالية بنسبة تصل إلى 24.63%، مما يُظهر إمكانيته في تجاوز آليات الدفاع الحالية.
طرق
في قسم الطرق، يناقش المؤلفون تقنيات قائمة على الاضطراب مصممة لتعزيز أمان المشفرات المدربة مسبقًا ضد هجوم سرقة المشفرات، كما اقترحه ليو وآخرون. تم تحديد ثلاثة نهج رئيسية:
1. **نهج الميزات الأعلى-k**: يتضمن هذا الأسلوب إعادة تعيين قيم الميزات التي ليست من بين أعلى $k$ قيم مطلقة إلى صفر، مما يركز على الميزات الأكثر أهمية.
2. **نهج تقريب الميزات**: هنا، يتم تقريب متجهات الميزات قبل إعادتها إلى المستخدمين، مما يضيف طبقة من التعتيم.
3. **نهج تسميم الميزات**: تُدخل هذه التقنية اضطرابات مصممة بعناية إلى متجهات الميزات، بهدف التلاعب بعملية تحسين المشفر البديل.
يشير المؤلفون إلى أنه بينما تعزز هذه الدفاعات القائمة على الاضطراب الأمان، فإنها تثير أيضًا مخاوف بشأن قابلية الاستخدام للمستخدمين العاديين، مما يشير إلى الحاجة لمزيد من الاستكشاف للتوازنات المعنية. بالإضافة إلى ذلك، يقدم القسم نموذج تهديد يحدد الأهداف والقدرات والقيود للهجمات المدروسة.
نقاش
يستعرض قسم النقاش في الورقة البحثية مشهد هجمات سرقة النموذج، مع التركيز بشكل خاص على المشفرات المدربة مسبقًا واستراتيجيات الدفاع المستخدمة ضد مثل هذه الهجمات. يبرز أنه بينما كانت الدراسات السابقة تستهدف بشكل أساسي المصنفات، فقد قدمت التطورات الأخيرة طرقًا مثل “سرقة المشفرات” و”سرقة التتابع” تهدف إلى استخراج الوظائف من المشفرات المدربة مسبقًا. ومع ذلك، غالبًا ما تتجاهل هذه الطرق التحديات التي تطرحها الدفاعات القائمة على الاضطراب، والتي أصبحت ذات صلة متزايدة في التطبيقات العملية. يقترح المؤلفون نهجًا جديدًا، يُسمى BESA، والذي يدمج وحدات كشف واستعادة الاضطراب لتعزيز فعالية هجمات سرقة المشفرات حتى عند مواجهة آليات الدفاع المتطورة.
تصنف الورقة الاستراتيجيات الدفاعية الحالية إلى طرق الكشف، والتوقيع المائي، وطرق الاضطراب. تهدف الطرق المعتمدة على الكشف إلى تحديد الاستعلامات الخبيثة دون تغيير متجهات الميزات، بينما تدمج تقنيات التوقيع المائي أبواب خلفية للتحقق من حقوق الطبع والنشر. تعدل طرق الاضطراب متجهات الميزات لإخفاء خصائصها الأصلية. يؤكد المؤلفون على التحدي المزدوج الذي يواجه مزودي الخدمة: إحباط الاستعلامات الخبيثة مع ضمان أداء المستخدمين الشرعيين. يعالج BESA هذه التحديات من خلال استخدام مصنف ميتا لاكتشاف استراتيجيات الدفاع ونموذج توليدي لاستعادة متجهات الميزات المضطربة، مما يُحسن معدل نجاح الهجوم ضد المشفرات المحمية. تُظهر النتائج التجريبية أن BESA يعزز بشكل كبير دقة المشفرات البديلة عبر مجموعات بيانات وسيناريوهات دفاع متنوعة، مما يبرز قوته ضد تكتيكات الدفاع المتطورة.
القيود
في قسم القيود، يحدد المؤلفون عدة افتراضات حاسمة بشأن قدرات المهاجم في سياق إطار عمل BESA. أولاً، يُفترض أن المهاجم ليس لديه معرفة بهندسة المشفر المستهدف، أو معاييره، أو معايير الضبط، مما يقيد بشكل كبير قدرته على تنفيذ هجوم فعال. بالإضافة إلى ذلك، لا يمكن للمهاجم الوصول إلى العينات الأصلية المدربة مسبقًا من المشفر المستهدف، إما بسبب عدم توفرها، أو صعوبة الحصول عليها، أو التكاليف الباهظة. يحد هذا النقص في الوصول من استراتيجيات المهاجم.
علاوة على ذلك، يُفترض أيضًا أن المهاجم غير مدرك لآليات الدفاع المحددة التي ينفذها مزود الخدمة. يمتلك مزود الخدمة القدرة على تعديل مجموعة فرعية من متجهات الميزات بشكل انتقائي، ومع ذلك، يفتقر المهاجم إلى معلومات مفصلة حول هذه التعديلات. بشكل جماعي، تبرز هذه القيود التحديات التي يواجهها المهاجم وتُبرز قوة إطار عمل BESA في السيناريوهات التي تكون فيها معرفة المهاجم مقيدة بشكل كبير.
DOI: https://doi.org/10.1109/tifs.2025.3608665
Publication Date: 2025-01-01
Author(s): Xuhao Ren et al.
Primary Topic: Adversarial Robustness in Machine Learning
Overview
In this section, the authors introduce a novel approach to enhance encoder stealing attacks in the presence of perturbation-based defenses, termed the Boosting Encoder Stealing Attack with Perturbation Recovery (BESA). BESA comprises two main components: a perturbation detection module and a perturbation recovery module. The detection module analyzes feature vectors from the target encoder to identify the defense mechanism employed by the service provider. Subsequently, the recovery module utilizes a generative model to reconstruct clean feature vectors from their perturbed counterparts.
The authors provide empirical evidence demonstrating that BESA significantly improves the accuracy of surrogate encoders by up to 24.63% against state-of-the-art defenses and combinations of multiple defensive strategies. This advancement underscores BESA’s effectiveness in circumventing perturbation-based defenses, thereby facilitating the construction of high-performing surrogate encoders.
Introduction
The introduction of this research paper addresses the vulnerabilities of pre-trained encoders to encoder stealing attacks, which allow attackers to create surrogate encoders that mimic the functionality of targeted encoders through API queries. This poses significant risks for service providers, such as OpenAI and Google, who offer Encoder as a Service (EaaS) solutions, as these attacks can lead to intellectual property theft and financial losses. Additionally, encoder stealing attacks can facilitate more severe threats, including adversarial sample attacks and membership inference attacks.
To counter these threats, various defense strategies have been proposed, with perturbation-based approaches being widely adopted due to their effectiveness in degrading the performance of surrogate encoders. However, existing research has largely overlooked the potential for performing encoder stealing attacks against defended encoders. In response to this gap, the authors introduce a novel approach called Boosting Encoder Stealing Attack with Perturbation Recovery (BESA). This method incorporates two key modules: perturbation detection and perturbation recovery, which enhance the effectiveness of canonical encoder stealing attacks by enabling the identification of defense methods and the recovery of perturbed feature vectors. Experimental results indicate that BESA can improve the accuracy of existing attacks by up to 24.63%, demonstrating its potential to bypass current defense mechanisms.
Methods
In the section on methods, the authors discuss perturbation-based techniques designed to enhance the security of pre-trained encoders against the StolenEncoder attack, as proposed by Liu et al. Three primary approaches are identified:
1. **Top-k Features Approach**: This method involves resetting feature values that are not among the top $k$ largest absolute values to zero, thereby focusing on the most significant features.
2. **Feature Rounding Approach**: Here, the feature vectors are rounded before being returned to users, which adds a layer of obfuscation.
3. **Feature Poisoning Approach**: This technique introduces carefully crafted perturbations to the feature vectors, aiming to manipulate the optimization process of the surrogate encoder.
The authors note that while these perturbation-based defenses enhance security, they also raise concerns regarding usability for regular users, indicating a need for further exploration of the trade-offs involved. Additionally, the section introduces a threat model that outlines the objectives, capabilities, and limitations of the attacks considered.
Discussion
The discussion section of the research paper outlines the landscape of model stealing attacks, particularly focusing on pre-trained encoders and the defensive strategies employed against such attacks. It highlights that while previous studies primarily targeted classifiers, recent advancements have introduced methods like “StolenEncoder” and “Cont-Steal” aimed at extracting functionalities from pre-trained encoders. These methods, however, often overlook the challenges posed by perturbation-based defenses, which are increasingly relevant in practical applications. The authors propose a novel approach, termed BESA, which integrates perturbation detection and recovery modules to enhance the effectiveness of encoder stealing attacks even when faced with sophisticated defense mechanisms.
The paper categorizes existing defensive strategies into detection, watermarking, and perturbation methods. Detection-based methods aim to identify malicious queries without altering feature vectors, while watermarking techniques embed backdoors for copyright verification. Perturbation methods modify feature vectors to obscure their original characteristics. The authors emphasize the dual challenge faced by service providers: thwarting malicious queries while ensuring legitimate user performance. BESA addresses these challenges by employing a meta-classifier to detect defense strategies and a generative model to recover perturbed feature vectors, thereby improving the attack’s success rate against defended encoders. Experimental results demonstrate that BESA significantly enhances the accuracy of surrogate encoders across various datasets and defense scenarios, underscoring its robustness against evolving defense tactics.
Limitations
In the section on limitations, the authors outline several critical assumptions regarding the attacker’s capabilities in the context of the BESA framework. Firstly, the attacker is presumed to have no knowledge of the target encoder’s architecture, parameters, or hyperparameters, which significantly constrains their ability to mount an effective attack. Additionally, the attacker cannot access the original pre-trained samples of the target encoder, either due to their unavailability, the difficulty of acquisition, or prohibitive costs. This lack of access further limits the attacker’s strategies.
Moreover, the attacker is also assumed to be unaware of the specific defense mechanisms implemented by the service provider. The service provider possesses the ability to selectively modify a subset of feature vectors, yet the attacker lacks detailed information about these alterations. Collectively, these limitations highlight the challenges faced by the attacker and underscore the robustness of the BESA framework in scenarios where the attacker’s knowledge is significantly restricted.