RobPI: Robust Private Inference against Malicious Client

1. El Problema

El despliegue de la inferencia de aprendizaje automático como servicio (MLaaS) ha generado preocupaciones de privacidad, dando lugar a protocolos de Inferencia Privada (PI) que permiten realizar predicciones sin revelar datos sensibles ni los pesos del modelo. Sin embargo, la mayoría de estos protocolos asumen un modelo de amenaza semi-honesto, donde se da por hecho que el cliente (dueño de los datos) sigue el protocolo estrictamente.

El artículo identifica una vulnerabilidad crítica: en la realidad, los clientes pueden ser maliciosos y desviarse del protocolo para manipular las decisiones del sistema (por ejemplo, para obtener acceso no autorizado en sistemas de detección de intrusos o fraude).

• Brecha de seguridad: Los protocolos existentes son vulnerables a ataques de manipulación de inferencia donde un cliente malicioso puede alterar la salida del modelo con muy pocas consultas.
• Limitación de defensas actuales: Las técnicas de defensa existentes (como la adición de ruido en la entrada) no son efectivas en entornos de inferencia privada basados en cifrado homomórfico (FHE) debido a la atenuación del ruido por las funciones de activación polinómicas y la cuantización de parámetros.

2. Metodología

El trabajo propone un enfoque de dos vías: primero, demostrar la vulnerabilidad mediante un nuevo ataque, y segundo, diseñar un protocolo robusto para contrarrestarlo.

A. El Ataque: PI-Attack

Los autores diseñan un ataque de manipulación de inferencia (PI-Attack) optimizado para protocolos semi-honestos.

• Estrategia: Utiliza la Transformada Discreta del Coseno (DCT) para operar en el dominio de la frecuencia en lugar del espacial.
• Mecanismo:
  1. Convierte la imagen de entrada al dominio de la frecuencia.
  2. Realiza una búsqueda de perturbaciones adversarias siguiendo un orden en forma de arco, priorizando las frecuencias bajas (que contienen más información densa) antes que las altas.
  3. Utiliza un programador de tamaño de perturbación ($\lambda_t$) basado en un enfriamiento cosenoidal, asignando perturbaciones más grandes a las frecuencias bajas y reduciéndolas progresivamente.
• Eficiencia: Este método logra manipular la salida del modelo con 3 a 8 veces menos consultas que los ataques de caja negra actuales (como Square Attack o SimBA-DCT).

B. La Defensa: RobPI

Para mitigar estos ataques, proponen RobPI, un protocolo de inferencia privada robusto diseñado bajo el modelo de amenaza de cliente malicioso.

• Principio de Diseño: En lugar de añadir ruido en la entrada (que se pierde en las capas ocultas de FHE), RobPI inyecta ruido compatible con la criptografía directamente en las salidas (logits) y características de las capas finales.
• Mecanismo de Defensa:
  • Se añade ruido gaussiano ($\sigma \Delta_t$) a la probabilidad de predicción en cada consulta.
  • Esto perturba la diferencia entre consultas consecutivas ($A_p(x, t)$), engañando al atacante sobre la dirección correcta de búsqueda de la perturbación.
  • Se utiliza un ruido con media no cero para evitar ataques de promediado (donde el atacante repite la consulta para cancelar el ruido).
• Entrenamiento con Ruido Dinámico (DNT): Se introduce una técnica de entrenamiento donde el modelo se entrena con ruido gaussiano dinámico en cada época. Esto aumenta la resiliencia del modelo sin sacrificar la precisión en datos limpios, equilibrando la precisión y la robustez.

3. Contribuciones Clave

1. PI-Attack: Demostración de que los protocolos de inferencia privada semi-honestos son vulnerables a la manipulación de salidas, logrando una eficiencia de ataque superior (3x-8x menos consultas) mediante una búsqueda en el dominio de la frecuencia.
2. Protocolo RobPI: Diseño e implementación de un protocolo que resiste clientes maliciosos mediante la inyección de ruido en las capas de salida (logits), evitando la atenuación del ruido que sufren las defensas basadas en la entrada.
3. Técnica DNT: Propuesta de una técnica de entrenamiento dinámico que mejora la precisión en datos limpios mientras mantiene una alta tasa de éxito en la defensa.
4. Análisis Teórico y Empírico: Proporcionan un análisis matemático de la probabilidad de éxito de la perturbación (DSP) y demuestran que RobPI aumenta la dificultad del ataque en más de 10 veces en términos de número de consultas necesarias.

4. Resultados Experimentales

Los experimentos se realizaron en conjuntos de datos como MNIST, CIFAR-10 y un conjunto de datos médico (Retinopatía Diabética).

• Eficacia del Ataque (PI-Attack):

  • En CIFAR-10, PI-Attack con programación logró una tasa de éxito de ataque (ASR) del 94.38% (ataque no dirigido) y 94.22% (dirigido), superando significativamente a Square Attack y SimBA-DCT.
  • Redujo el número promedio de consultas en aproximadamente 100 consultas comparado con el estado del arte.

• Eficacia de la Defensa (RobPI):

  • Reducción de ASR: RobPI con DNT redujo la tasa de éxito del ataque en aproximadamente un 91.88% en ataques dirigidos en CIFAR-10.
  • Consultas Requeridas: Aumentó el número de consultas necesarias para un ataque exitoso en más de 10 veces en comparación con métodos de defensa anteriores.
  • Precisión (Clean Accuracy): RobPI mantuvo una alta precisión en datos limpios (74.55% en CIFAR-10), superando a métodos como RND-GF y Adversarial Training, que sufrieron caídas significativas en precisión.
  • Robustez: La defensa mantuvo una alta tasa de éxito incluso cuando el atacante intentó promediar múltiples consultas (ataque de inferencia promedio), especialmente al usar ruido con media no cero.

5. Significado e Impacto

Este trabajo es fundamental porque cambia el paradigma de seguridad en la inferencia privada:

• Cambio de Modelo de Amenaza: Pasa de asumir que los clientes son "honestos pero curiosos" a asumir que pueden ser maliciosos y activos, lo cual es más realista en aplicaciones de alto riesgo como la detección de fraudes o seguridad doméstica.
• Solución Práctica: Ofrece una solución implementable (RobPI) que no requiere modificar la arquitectura de la red neuronal subyacente de manera drástica, sino que integra la defensa en el protocolo de inferencia y el entrenamiento.
• Seguridad Real: Al demostrar que los ataques actuales son mucho más eficientes de lo que se pensaba y proporcionar una defensa robusta, el artículo establece un nuevo estándar para la seguridad en sistemas MLaaS privados, asegurando que la privacidad no comprometa la integridad de las decisiones del modelo.