Enabling Adversarial Robustness in AI Models through Kubeflow MLOps

Technische Zusammenfassung: Ermöglichung adversarischer Robustheit in KI-Modellen durch Kubeflow MLOps

Problemstellung
Während Kubernetes zum Standard für die Orchestrierung cloud-nativer KI-Anwendungen geworden ist, konzentrieren sich seine nativen Sicherheitsmechanismen (wie RBAC und Netzwerkrichtlinien) primär auf die Integrität der Infrastruktur, die Knotensicherheit und die Kontrolle des Netzwerkverkehrs. Die Plattform verfügt über keine spezifischen Mechanismen zum Schutz der KI-Modelle selbst vor adversarischen Bedrohungen. Bestehende Literatur und Tools befassen sich weitgehend mit Kompromittierungen auf Knotenebene, Netzwerkangriffen und Konfigurationsverwundbarkeiten, wodurch eine Lücke in der Verteidigung eingesetzter Machine-Learning-Modelle (ML) gegen adversarische Angriffe während der Inferenzphase entsteht. Insbesondere besteht ein Bedarf an automatisierten Systemen, die eine durch adversarische Eingaben verursachte Modellverschlechterung erkennen und innerhalb des MLOps-Lebenszyklus sofortige Verteidigungsmechanismen auslösen können.

Methodik
Die Autoren schlagen eine Architektur vor, die Fähigkeiten des Adversarial Machine Learning (AML) direkt in eine Kubeflow-basierte MLOps-Pipeline integriert. Das System arbeitet durch drei unterschiedliche Szenarien:

1. Normalbetrieb: Ein Benutzer lädt einen vertrauenswürdigen Datensatz in ein Kubeflow-Registrierungssystem hoch. Ein temporärer Pod wird gestartet, um einen Convolutional Neural Network (CNN)-Klassifikator zu trainieren. Das trainierte Modell und seine Basisgenauigkeit werden in einem Kubernetes-Persistent Volume gespeichert. Ein Inferenz-Pod ruft dieses Modell dann ab, um Vorhersagen zu liefern.
2. Adversarielles Szenario: Eine Insider-Bedrohung (ein böswilliger Benutzer mit Zugriff auf den Cluster) ruft das trainierte Modell ab und generiert einen adversarischen Datensatz unter Verwendung der Fast Gradient Sign Method (FGSM). Diese perturbierten Beispiele werden in das Datensatz-Registrierungssystem hochgeladen, was zu einer Verschlechterung der Genauigkeit des eingesetzten Modells während der Inferenz führt.
3. Verteidigungsszenario: Der Inferenz-Pod überwacht kontinuierlich die Genauigkeit des Modells gegenüber einer gespeicherten Basislinie. Wird eine Verschlechterung von mehr als 5 % erkannt, löst das System eine „Verteidiger"-Komponente aus. Diese Komponente weist Kubeflow an, eine automatisierte adversarische Trainingspipeline zu starten. Ein neuer temporärer Pod wird gestartet, um eine adversarische Training auf Basis des Projected Gradient Descent (PGD) durchzuführen, wobei das Modell feinabgestimmt wird, um gegen die spezifische ermittelte Perturbationsstärke robust zu sein.

Hauptbeiträge

• Automatisierte MLOps-Integration: Die Arbeit demonstriert, wie Kubeflow erweitert werden kann, um die Erkennung adversarischer Angriffe und die anschließende Bereitstellung von Verteidigungspipelines ohne manuelle Eingriffe zu automatisieren.
• Dynamische Auslösung der Verteidigung: Das System führt einen Mechanismus ein, bei dem die Inferenzphase Genauigkeitsabfälle aktiv überwacht, um eine Neukalibrierung auszulösen, wodurch die Schleife zwischen Angriffserkennung und Modellhärtung effektiv geschlossen wird.
• Bewertung der Verteidigungskalibrierung: Die Studie bewertet die Beziehung zwischen der Angriffsstärke (FGSM-Perturbation $\epsilon$) und dem Verteidigungsbudget (PGD-Perturbationsbudget $\epsilon$) und liefert empirische Daten darüber, wie Verteidigungsparameter relativ zur Bedrohung kalibriert werden müssen.

Experimentelle Ergebnisse
Die Autoren bewerteten die Architektur unter Verwendung des MNIST-Datensatzes mit einer CNN-Basislinie. Sie testeten White-Box-Angriffe (bei denen der Angreifer das gehärtete Modell kennt) und Transfer-Angriffe (bei denen der Angreifer ein anderes Modell zur Generierung von Angriffen verwendet).

• Genauigkeitswiederherstellung: Die Experimente zeigten, dass die eingesetzte Verteidigung die Genauigkeit im Verhältnis zur durch den Angriff verursachten Verschlechterung signifikant wiederherstellte. Beispielsweise sank bei einem Transfer-Angriff mit $\epsilon=0.15$ die Genauigkeit von einer sauberen Basislinie von ca. 99 % auf ca. 91 % ohne Verteidigung, doch das adversarische Training stellte die Leistung auf ca. 94–95 % wieder her.
• Bedeutung der Kalibrierung: Die Ergebnisse zeigten, dass die Verteidigung optimale Robustheit erreicht, wenn das PGD-Perturbationsbudget gleich oder leicht größer als die FGSM-Angriffsstärke ist. Ist das Verteidigungsbudget kleiner als die Angriffsstärke, bleibt das Modell verwundbar.
• Robustheit: Das gehärtete Modell behielt eine hohe saubere Genauigkeit (ca. 98–99 %) bei und verbesserte gleichzeitig die Widerstandsfähigkeit gegenüber sowohl White-Box- als auch Transfer-Angriffen im Vergleich zur ungehärteten Basislinie signifikant.

Bedeutung und Behauptungen
Die Arbeit behauptet, dass ihre primäre Bedeutung darin liegt, die Sicherheitslücke für KI-Modelle in Kubernetes-Umgebungen zu adressieren. Durch die Einbettung adversarischer Robustheit in den MLOps-Workflow ermöglicht die vorgeschlagene Architektur Systemen, adversarische Bedrohungen automatisch zu erkennen und darauf zu reagieren, insbesondere solche von Insider-Angreifern mit Modellzugriff. Die Autoren betonen, dass während die Infrastruktursicherheit gut abgedeckt ist, die Sicherheit auf Modellebene solche automatisierten, in den Lebenszyklus integrierten Ansätze erfordert. Die Arbeit dient als Proof-of-Concept für die Erweiterung von Kubeflow, um nicht nur das Training und die Bereitstellung von Modellen, sondern auch deren aktive Verteidigung und Wiederherstellung während der Inferenzphase zu handhaben. Als zukünftige Arbeiten wird bescheiden vorgeschlagen, eine breitere Palette von Angriffen einzubeziehen und diese Verteidigungen auf Modellebene mit Sicherheitsmechanismen auf Knoten- und Netzwerkebene zu integrieren, um eine ganzheitliche Strategie zu entwickeln.