ShadowPickle: Evading Machine Learning Model Scanners via Stealthy Pickle Deserialization Attacks
Dieses Paper führt SHADOWPICKLE ein, ein neuartiges Angriffsframework, das den externen Modulimport-Mechanismus der Pickle Virtual Machine ausnutzt, um unauffällige Remote-Code-Execution-Payloads in vortrainierten Modellen auszuführen und dabei modernste Scanner sowie Model Hubs effektiv zu umgehen, zusammen mit der Präsentation von PICKLEBENCH, einem Benchmark, der die signifikanten Einschränkungen aktueller Detektionsmethoden aufzeigt.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, belebte Bibliothek vor, in der Millionen von Menschen ihre Lieblingsrezepte, Baupläne und Anleitungen teilen. In der Welt der künstlichen Intelligenz werden diese „Rezepte“ als vortrainierte maschinelle Lernmodelle bezeichnet. Dies sind die klugen Baupläne, die Computer verwenden, um Gesichter zu erkennen, Geschichten zu schreiben oder Sprachen zu übersetzen. Um diese Baupläne zu teilen, nutzen Menschen spezielle digitale „Hubs“ (wie eine Superbibliothek namens Hugge Face), wo jeder sie herunterladen kann.
Es gibt jedoch einen Haken. Diese Baupläne werden oft in einem speziellen Format namens Pickle gespeichert. Stellen Sie sich Pickle wie eine versiegelte, magische Brotdose vor. Wenn man sie öffnet, schaut der Computer nicht nur auf das Essen darin; er folgt einer auf dem Deckel geschriebenen Anleitung, um die Mahlzeit wieder zusammenzusetzen. Das Problem ist: Wenn ein böswilliger Akteur eine tückische Anleitung auf den Deckel schreibt, könnte der Computer versehentlich dieser folgen und etwas Gefährliches tun, wie zum Beispiel Geheimnisse stehlen oder einem Hacker Einlass gewähren. Dies wird als Deserialisierungsangriff bezeichnet. Lange Zeit haben Sicherheitswächter (genannt Scanner) diese Brotdosen überprüft, um sicherzustellen, dass die Anleitungen auf dem Deckel sicher sind. Aber was, wenn die Bösewichte einen Weg gefunden haben, Anleitungen zu schreiben, die für die Wächter völlig normal aussehen, aber dennoch den Computer austricksen?
Genau das hat ein Forscherteam der Singapore University of Technology and Design entdeckt. Sie erfanden eine neue Art, bösartigen Code in diese KI-Modelle zu schmuggeln, und nannten ihre Methode ShadowPickle. Anstatt zu versuchen, die bösen Anweisungen in einer dunklen Ecke zu verstecken, erkannten sie, dass sie den Computer austricksen könnten, indem sie genau die Werkzeuge überschreiben, denen die Sicherheitswächter vertrauen. Stellen Sie sich einen Sicherheitswächter vor, der eine Liste „zugelassener“ Werkzeuge prüft, wie etwa einen Hammer oder einen Schraubendreher. Die Forscher zeigten, dass man, wenn man den echten Hammer durch einen gefälschten austauscht, der identisch aussieht, aber ein verstecktes Messer im Inneren hat, den Wächter problemlos am Tor vorbeischleusen kann.
Das Team entwickelte drei verschiedene Versionen dieses Tricks. Der hinterhältigste davon, genannt Overwritten Module, funktioniert dadurch, dass ein standardmäßiges, vertrauenswürdiges Werkzeug (wie eine gängige Python-Bibliothek) durch eine bösartige Version ersetzt wird, die der Computer automatisch lädt. Da das Werkzeug auf der „zugelassenen Liste“ steht, schlagen die Sicherheitsscanner keinen Alarm. Sie bauten auch ein spezielles Test-Kit namens PICKLEBENCH, das wie eine riesige Maschine funktioniert, die diese Tricks automatisch in tausende harmlos aussehende Modelle einschleusen kann, um zu sehen, ob die Scanner sie entdecken.
Als sie ihre neuen Tricks gegen die besten derzeit im Einsatz befindlichen Sicherheitsscanner testeten, waren die Ergebnisse erschütternd. Die ShadowPickle-Angriffe waren unglaublich gut darin, sich zu verstecken. Tatsächlich gelang es der „Overwritten“-Version, die Scanner in 63 % der Fälle zu umgehen. Um dies einzuordnen: Diese neue Methode war etwa 50 % schwerer zu entdecken als die bisher besten Tricks, die Hackern bekannt waren. Noch beeindruckender war, dass ihr Test-Kit die Scanner um 25,6 % stärker herausforderte als die bestehenden Tests, die Experten verwenden.
Die Forscher fanden auch heraus, dass selbst die fortschrittlichsten Sicherheitssysteme, die versuchen, nur „sichere“ Werkzeuge zuzulassen, getäuscht werden können, wenn die Bösewichte es schaffen, eines dieser sicheren Werkzeuge gegen ein gefälschtes auszutauschen. Obwohl einige Scanner besser als andere waren, war keiner perfekt. Das Team schlägt vor, dass die Sicherheitswächter nicht nur die Liste der Werkzeuge prüfen müssen, sondern auch sicherstellen müssen, dass die Werkzeuge selbst nicht manipuliert wurden. Sie boten sogar Ideen an, wie man diese Lücken schließen könnte, was die Scanner etwa um 19 % besser beim Auffangen dieser hinterlistigen Angriffe machen könnte.
Kurz gesagt: Diese Arbeit sagt nicht nur „Hacking ist möglich“; sie zeigt genau auf, wie die aktuellen Sicherheitsnetze eine blinde Stelle haben. Sie beweist, dass es nicht mehr ausreicht, sich nur auf eine Liste von „guten“ und „schlechten“ Werkzeugen zu verlassen, da böse Akteure nun in der Lage sind, ihre Tricks als genau die Werkzeuge zu tarnen, denen wir vertrauen. Die Autoren legen nahe, dass das gesamte System ein ernsthaftes Upgrade benötigt, um in Zukunft sicher zu bleiben.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.