RMF: A Risk Measurement Framework for Machine Learning Models

ملخص تقني: إطار قياس المخاطر (RMF): إطار لقياس مخاطر نماذج تعلم الآلة

بيان المشكلة
تُستخدم نماذج تعلم الآلة (ML)، وخاصة أنظمة التعلم العميق، بشكل متزايد في التطبيقات الحرجة من حيث السلامة والأمن مثل القيادة الذاتية والتشخيص الطبي. هذا الانتشار يستحدث مخاطر كبيرة ناتجة عن تعلم الآلة الخصومي (Adversarial Machine Learning)، حيث يتم التأثير على الشبكات العصبية (NNs) بشكل ضار. وتحديداً، تتناول الورقة البحثية تحدي قياس المخاطر المرتبطة بهجمات التسميم (Poisoning Attacks) (وهي فئة فرعية من هجمات الباب الخلفي/Backdoor Attacks) التي تسبب خطأ في تصنيف تسميات الصور أثناء الاستدلال. وبينما يعد وجود هذه التهديدات أمراً موثقاً جيداً، إلا أن هناك نقصاً في الطرق المعيارية لقياس مدى الضرر الناتج عن الهجوم والجهد المطلوب من المهاجم لتنفيذه. ويرى المؤلفون أنه بدون هذه القياسات، يصعب تقييم الأداء الأمني لأنظمة تعلم الآلة بشكل موضوعي أو استخلاص قيم مخاطر ذات معنى.

المنهجية
تقترح الورقة البحثية إطار قياس المخزاء (RMF) المستند إلى معيار ISO/IEC 27004:2016 الخاص بقياس مخاطر أمن المعلومات. تتبع المنهجية عملية منظمة:

1. تعريف السمات: يحدد الإطار سمات محددة لقياس المخاطر، مصنفة إلى مجموعتين رئيسيتين:

   • جهد المهاجم: يتضمن معرفة المهاجم (الصندوق الأبيض مقابل الصندوق الأسود)، هدف المهاجم (الخطوات لتحقيق الهدف)، خصوصية الهجوم (الخطوات لاستهداف تسميات محددة أو عشوائية)، وقت الهجوم (مدة التدريب والاستدلال)، والموارد الحسابية (استخدام وحدة المعالجة المركزية/الرسومية).
   • مدى الضرر: يُقاس باستخدام مقاييس تعلم الآلة القياسية بما في ذلك الدقة (Accuracy)، مقياس F1 (F1-Score)، متوسط الدقة (Average Precision)، ومتوسط الاستدعاء (Average Recall).

2. عملية القياس:

   • جمع البيانات: يستخدم الإطار أدوات المتانة الخصومية (Adversarial Robustness Toolbox - ART) لتنفيذ هجمات الباب الخلفي على شبكة عصبية مستهدفة.
   • القياسات الأساسية: يسجل النظام البيانات الخام أثناء الهجوم، مثل وقت التدريب، واستهلاك موارد الأجهزة، وعدد الخطوات الإجرائية التي اتخذها المهاجم.
   • القياسات المشتقة: تقوم دوال القياس بتجميع هذه القياسات الأساسية.
     • حساب الضرر: لتقدير الضرر، يقوم الإطار بعكس مقاييس تعلم الآلة (على سبيل المثال، إذا انخفضت الدقة إلى 0.06، يتم تحويلها إلى 0.94). يضمن هذا العكس أن تؤدي القيمة الأصلية المنخفضة (الضرر الأعلى) إلى درجة ضرر أعلى. ثم يتم دمج هذه القيم المعكوسة لتشكيل "مدى ضرر" مركب.
     • حساب الجهد: يقوم الإطار بتجميع وقت الهجوم، والموارد الحسابية، وإجمالي عدد الخطوات (المشتقة من المعرفة، والهدف، والخصوصية) لتشكيل "جهد المهاجم" المركب.

3. تفسير المخاطر: لا يدمج الإطار الضرر والجهد في قيمة خطر عددية واحدة. بدلاً من ذلك، يعاملها كأربع قيم متميزة (الضرر، الوقت، الموارد، الخطوات) التي يجب تفسيرها بشكل فردي. ويشير المؤلفون إلى أن توحيد الجهد أمر مستحيل حالياً بسبب تباين الوحدات (ثوانٍ، ميجابايت، أعداد طبيعية) والافتقار إلى بيانات أساسية قابلة للمقارنة لأنواع الهجمات المختلفة.

دراسة الحالة والنتائج
تم تقييم الإطار باستخدام دراسة حالة تتضمن شبكة عصبية تلافيفية (CNN) تم تدريبها على مجموعة بيانات تضم 133,000 من علامات الشوارع الألمانية (70 تسمية).

• الإعداد: تم تنفيذ هجوم باب خلفي بملصقات نظيفة (Clean-label backdoor attack) عن طريق تسميم 50% من بيانات التدريب لتصنيف الصور العشوائية إلى تسمية مستهدفة محددة (التسمية 10).
• الأجهزة: أُجريت التجربة على وحدة معالجة مركزية AMD Ryzen 7 5800X ووحدة معالجة رسومية NVIDIA GeForce RTX 3060 Ti.
• النتائج:
  • الضرر: تسبب الهجوم في انخفاض حاد في الأداء. انخفضت الدقة الأصلية من 0.94 إلى 0.06. بلغ "مدى الضرر" المركب المحسوب 4.62.
  • الجهد: تطلب الهجوم 21 خطوة إجمالية (بالجمع بين المعرفة، والهدف، والخصوصية)، واستغرق 1037.23 ثانية للتنفيذ، واستهلك 9% من وحدة المعالجة المركزية و 8137.81 ميجابايت من ذاكرة وحدة المعالجة الرسومية.
  • تصنيف المخاطر: بناءً على تصنيف المخاطر الخاص بالمعهد الأوروبي لمعايير الاتصالات (ETSI)، تم تصنيف النتائج كـ خطر حرج (Critical Risk). حيث سمح غياب التدابير المضادة بتحقيق أقصى ضرر بأقل جهد من المهاجم.

المساهمات الرئيسية
تقدم الورقة ثلاث مساهمات رئيسية:

1. اقتراح السمات: تقترح مجموعة من السمات الكمية والنوعية (بما في ذلك الموارد الحسابية وخطوات الهجوم المحددة) ليتم تجسيدها أثناء طرق القياس للأمن في تعلم الآلة.
2. دوال القياس: تطور دوالاً محددة لحساب القيم التي تمثل مدى الضرر وجهد المهاجم، مع الالتزام بإرشادات ISO/IEC 27004:2016.
3. التقييم والتفسير: تقيم هذه القيم المحسوبة من خلال دراسة حالة، مما يوضح كيفية تفسير الخطر النهائي للهجوم دون اقتراح تدابير مضادة محددة.

الأهمية والادعاءات
يضع المؤلفون هذا العمل كأداة لتحسين الأداء الأمني من خلال تمكين قياس المخاطر أثناء مرحلة تطوير الشبكات العصبية، قبل النشر. تنص الورقة صراحة على أنها لا تقترح تدابير مضادة؛ بل ينصب تركيزها الوحيد على قياس وتقييم المخاطر.

تكمن أهمية إطار (RMF) في قدرته على:

• تحديد كمية الضرر المحتمل للهجمات الخصومية بطريقة معيارية.
• قياس الموارد والخطوات التي يجب أن يستثمرها المهاجم بشكل موضوعي.
• تسليط الضوء على أنه بدون تدابير مضادة، يمكن لهجمات الباب الخلفي أن تؤدي إلى مخاطر حرجة (مثل تصنيف علامة "قف" على أنها علامة "سرعة قصوى" في السيارات ذاتية القيادة) بجهد منخفض من المهاجم.

يختتم المؤلفون بتواضع، مشيرين إلى أنه بينما نجح الإطار في قياس المخاطر في بيئة محكومة، فإن القدرة على مقارنة المخاطر عبر الهجمات المختلفة أو إنشاء مصفوفة مخاطر شاملة لا تزال محدودة بسبب نقص البيانات القابلة للمقارنة. يتطلب العمل المستقبلي قياس المزيد من الهجمات لبناء مجموعة بيانات تسمح بتطوير تدابير مضادة أكثر تحديداً وتحقيق توحيد أفضل للمخاطر.