On the (In-)Security of the Shuffling Defense in the Transformer Secure Inference

Resumen Técnico: Sobre la (In-)Seguridad de la Defensa de Mezcla en la Inferencia Segura de Transformadores

Enunciado del Problema
La inferencia segura para modelos Transformer utilizando Computación Multipartita (MPC) o Cifrado Homomórfico (HE) enfrenta un cuello de botella crítico en la eficiencia: el cálculo de capas no lineales (por ejemplo, Softmax, GELU, LayerNorm). El cifrado de modelo completo (FME) requiere numerosas rondas de comunicación y una transmisión de datos pesada para estas capas, lo que representa entre el 75% y el 90% de la latencia total. Para mitigar esto, se propuso la inferencia con Cifrado Solo Lineal (LOE), donde las activaciones intermedias se revelan al cliente en texto plano para calcular las capas no lineales localmente. Sin embargo, revelar las activaciones permite a los adversarios extraer los pesos del modelo resolviendo sistemas lineales.

Para contrarrestar esto, trabajos recientes introdujeron una defensa de mezcla, donde las activaciones intermedias se permutan aleatoriamente antes de ser reveladas al cliente. La afirmación de seguridad predominante es que recuperar la permutación específica es computacionalmente inviable (probabilidad $1/d!$ para la dimensión $d$) y que las activaciones mezcladas destruyen la correlación necesaria para los ataques de extracción de pesos. Este artículo desafía esa afirmación, demostrando que la defensa de mezcla no es robusta frente a la extracción de pesos.

Metodología
Los autores proponen un ataque que alinea vectores de activación mezclados de manera diferente a una permutación común sin conocer la permutación específica aplicada. La metodología procede en tres etapas:

1. Alineación de Vectores mediante Proximidad: El adversario consulta al Transformer con múltiples entradas que están $\epsilon$-cerca entre sí. Debido a la continuidad de Lipschitz de las redes neuronales, los vectores de activación intermedia resultantes también están cerca en valor ($\|x_a - x_b\| < L\epsilon$). Aunque cada vector es mezclado por una permutación diferente y desconocida, los valores dentro de los vectores permanecen idénticos. El adversario alinea estos vectores resolviendo un problema de asignación (utilizando el algoritmo húngaro) para minimizar la distancia entre los elementos de los vectores mezclados, recuperando efectivamente la correspondencia entre elementos a través de diferentes consultas.
2. Construcción de Entradas Cercanas en GPT: Surge un desafío porque las entradas de los Transformadores son índices de tokens discretos, lo que dificulta generar entradas $\epsilon$-cerca directamente. Los autores explotan una propiedad de los protocolos de inferencia segura: el uso de aritmética de punto fijo con truncamiento. El truncamiento seguro introduce errores estocásticos de 1 bit (por ejemplo, magnitud $2^{-18}$). Al alimentar repetidamente el mismo prompt, el adversario aprovecha estos errores probabilísticos inherentes para generar las necesarias perturbaciones menores en las activaciones intermedias, creando los vectores $\epsilon$-cerca requeridos.
3. Extracción de Pesos: Una vez que los vectores de activación están alineados a una permutación común (pero desconocida) $\pi$, el adversario construye las matrices $X^{(l)}\pi^{(l)}$ y $X^{(l+1)}\pi^{(l+1)}$. Resuelven los pesos utilizando la relación lineal $W^{(l)'} = \pi^{(l)-1} X^{(l)-1} X^{(l+1)} \pi^{(l+1)}$. Los pesos resultantes $W^{(l)'}$ difieren de los pesos originales $W^{(l)}$ solo por permutaciones de filas y columnas. Crucialmente, el artículo señala que la funcionalidad de la red neuronal es invariante a dicha mezcla; por lo tanto, los pesos extraídos realizan la misma propagación hacia adelante que el modelo original.

Contribuciones Clave

• Romper la Defensa de Mezcla: Los autores demuestran que un adversario puede alinear con éxito vectores de activación mezclados de manera diferente pero que contienen valores cercanos, eludiendo la suposición de que la permutación hace imposible la extracción.
• Explotar el Ruido del Protocolo: El trabajo identifica y aprovecha los errores estocásticos inherentes a los protocolos de truncamiento seguro para generar activaciones intermedias cercanas, superando la limitación de las entradas de tokens discretos en los Transformadores.
• Extracción Teórica y Práctica: El artículo demuestra que las activaciones alineadas permiten la extracción de pesos del modelo que son funcionalmente equivalentes a los originales, a pesar de las permutaciones desconocidas de filas/columnas.
• Validación Empírica: El ataque se evalúa en Pythia-70m y GPT-2, demostrando una alta precisión de alineación y una recuperación exitosa de pesos.

Resultados Experimentales
Los autores evaluaron el ataque en los modelos Pythia-70m y GPT-2 utilizando varias precisiones de punto fijo (14, 16 y 18 bits).

• Precisión de Alineación: El método propuesto alinea las activaciones mezcladas con Errores Cuadráticos Medios (MSE) que oscilan entre $10^{-9}$ y $10^{-6}$. Menos del 2% de los elementos están desajustados, siendo una mayor precisión la que produce una mejor alineación.
• Recuperación de Pesos: Los pesos extraídos exhiben diferencias de norma L1 con los pesos del oráculo que oscilan entre $10^{-4}$ y $10^{-2}$. Los modelos más pequeños (Pythia-70m) mostraron tasas de error más bajas que los más grandes (GPT-2).
• Eficiencia de Costos: El ataque requiere una cantidad de consultas proporcional a la dimensión del modelo (por ejemplo, ~32,768 para Pythia-70m). Utilizando precios de API comerciales, el costo total es de aproximadamente $1.
• Equivalencia Funcional: Los pesos robados, cuando se utilizan como un modelo sustituto, logran puntuaciones de perplejidad cercanas al modelo original (por ejemplo, 31.81 vs. 44.46 para Pythia-70m). Después de una breve etapa de ajuste fino (máximo 6 minutos), el modelo recuperado coincide con la perplejidad de la víctima (32.43 vs. 31.81), transformando efectivamente los ataques posteriores de escenarios de caja negra a de caja blanca.

Significado y Afirmaciones
El artículo afirma revelar una fuga de información significativa en la defensa de mezcla, que anteriormente se asumía segura frente a la extracción de pesos. Los autores argumentan que la defensa falla porque no tiene en cuenta la capacidad de alinear vectores basándose en la proximidad numérica en lugar del conocimiento posicional.

El significado de este trabajo radica en exponer una vulnerabilidad que permite a los adversarios recuperar los pesos del modelo con alta fidelidad a un bajo costo. Los pesos extraídos son suficientes para analizar modelos privados o servir como una inicialización efectiva para modelos sustitutos, fortaleciendo así los ataques de caja negra existentes. Los autores concluyen que la seguridad de la defensa de mezcla en la inferencia segura y entornos relacionados de preservación de la privacidad requiere una reevaluación.

Limitaciones
Los autores notan modestamente que, aunque el ataque está garantizado teóricamente y validado en modelos a pequeña escala, la fidelidad de los pesos extraídos puede degradarse a medida que aumenta la escala del modelo. Sin embargo, afirman que la validación exitosa en modelos a pequeña escala es suficiente para demostrar la vulnerabilidad fundamental del mecanismo de defensa.