RobPI: Robust Private Inference against Malicious Client

1. Problématique et Contexte

L'inférence privée (Private Inference - PI) permet aux clients d'obtenir des prédictions de modèles d'apprentissage automatique hébergés sur un serveur (MLaaS) sans révéler leurs données d'entrée, ni au serveur, ni à l'intermédiaire. La plupart des protocoles actuels, basés sur le chiffrement homomorphe (FHE), opèrent sous le modèle de menace "honnête mais curieux" (semi-honest). Dans ce modèle, on suppose que toutes les parties suivent strictement le protocole, même si elles tentent d'extraire des informations.

Cependant, l'article identifie une faille critique : dans la réalité, les clients peuvent être malveillants. Ils peuvent tenter de manipuler les résultats de l'inférence pour obtenir un accès non autorisé (ex: contourner un système de reconnaissance faciale) ou fausser les décisions (ex: fraude). Les protocoles semi-honnêtes actuels sont vulnérables à ces attaques car ils ne vérifient pas la conformité des entrées du client.

2. Méthodologie

L'article propose une approche en deux temps : d'abord, démontrer la vulnérabilité des protocoles existants par une nouvelle attaque, puis proposer une défense robuste.

A. L'Attaque : PI-Attack

Les auteurs conçoivent une attaque par manipulation d'inférence (PI-Attack) visant les protocoles PI semi-honnêtes.

• Principe : Contrairement aux attaques par boîte noire classiques qui ajoutent du bruit dans l'espace spatial, PI-Attack opère dans le domaine fréquentiel en utilisant la Transformée en Cosinus Discrète (DCT).
• Stratégie de recherche : L'attaque utilise un ordre de recherche en forme d'arc, commençant par les basses fréquences (qui contiennent plus d'informations structurelles) vers les hautes fréquences.
• Planification de la perturbation : Une taille de perturbation dynamique ($\lambda_t$) est appliquée, accordant des perturbations plus importantes aux basses fréquences pour maximiser l'efficacité.
• Efficacité : Cette méthode permet de trouver des exemples adverses avec 3 à 8 fois moins de requêtes que les attaques actuelles (comme Square Attack ou SimBA-DCT) tout en obtenant un taux de succès supérieur.

B. La Défense : RobPI

Pour contrer cette menace, les auteurs proposent RobPI, un protocole d'inférence privée robuste conçu pour résister aux clients malveillants.

• Principe de conception : Au lieu d'ajouter du bruit à l'entrée (ce qui est atténué par les fonctions d'activation polynomiales approximées dans les réseaux de neurones FHE), RobPI injecte du bruit cryptographiquement compatible directement dans les logits (sortie) et les couches de caractéristiques.
• Mécanisme de perturbation : Pour chaque requête, un bruit gaussien ($\sigma \Delta_t$) est ajouté aux scores de prédiction. Cela perturbe la différence de probabilité entre deux requêtes consécutives, rendant impossible pour l'attaquant de déterminer la direction correcte de la perturbation (le gradient estimé devient erroné).
• Entraînement Dynamique au Bruit (DNT) : Pour éviter que l'ajout de bruit ne dégrade la précision sur les données normales (clean accuracy), RobPI intègre une technique d'entraînement où le modèle apprend à être robuste face à ce bruit injecté dynamiquement pendant l'entraînement.
• Contre l'attaque par moyenne : Les auteurs identifient une attaque secondaire où un client envoie la même entrée plusieurs fois pour moyenner le bruit (annulant son effet). Ils proposent deux contre-mesures : utiliser un bruit gaussien à moyenne non nulle ou ajouter le bruit à la pénultième couche du réseau plutôt qu'à la dernière.

3. Contributions Clés

1. PI-Attack : Une nouvelle attaque d'inférence manipulation optimisée pour les protocoles PI, démontrant que le modèle semi-honnête est insuffisant face à un client malveillant. Elle réduit le nombre de requêtes nécessaires de 3x à 8x par rapport aux méthodes de l'état de l'art.
2. RobPI : Un protocole d'inférence privée robuste qui intègre du bruit dans les logits et les features. Il est conçu spécifiquement pour les contraintes du FHE (activation polynomiale, quantification).
3. Technique DNT : Une méthode d'entraînement dynamique qui permet de maintenir une haute précision sur les données propres tout en maximisant la robustesse contre les attaques.
4. Analyse Théorique et Empirique : Une preuve mathématique de la probabilité de succès de la perturbation (DSP) et une validation extensive sur plusieurs jeux de données.

4. Résultats Expérimentaux

Les expériences ont été menées sur les datasets MNIST, CIFAR-10 et Diabetic Retinopathy (médical) avec divers réseaux de neurones.

• Performance de l'attaque (PI-Attack) :

  • Sur CIFAR-10, PI-Attack avec planification atteint un taux de succès (ASR) de 94,38% (attaques ciblées) avec seulement 201,5 requêtes en moyenne, surpassant largement Square Attack et SimBA-DCT.
  • L'attaque nécessite environ 10 fois moins de requêtes que les méthodes de défense précédentes pour réussir.

• Performance de la défense (RobPI) :

  • Réduction du taux de succès : RobPI-DNT réduit le taux de succès de l'attaque (ASR) d'environ 91,88% sur CIFAR-10 pour les attaques ciblées.
  • Complexité de l'attaque : La défense force l'attaquant à effectuer plus de 10 fois plus de requêtes par rapport aux méthodes de défense existantes (comme RND).
  • Précision (Clean Accuracy) : Contrairement aux méthodes précédentes qui sacrifient la précision, RobPI-DNT maintient une précision élevée (74,55% sur CIFAR-10), surpassant même les modèles non défendus dans certains cas grâce à l'entraînement robuste.
  • Résistance à l'attaque par moyenne : L'utilisation d'un bruit à moyenne non nulle ($\mu=3$) ou l'ajout de bruit à la pénultième couche restaure un taux de succès de défense (DSR) élevé (>90% pour les attaques ciblées) même face à cette technique d'évasion.

5. Signification et Impact

Ce travail est significatif car il remet en question l'hypothèse de sécurité "semi-honnête" dominante dans la littérature sur l'inférence privée.

• Changement de paradigme : Il démontre que les protocoles PI actuels sont vulnérables à des attaques très efficaces de la part de clients malveillants.
• Solution pratique : RobPI offre une solution réalisable qui ne nécessite pas de modifier l'architecture du réseau de manière complexe, mais plutôt d'ajouter du bruit de manière stratégique aux sorties.
• Équilibre Sécurité/Performance : C'est l'une des premières méthodes à réussir à concilier une robustesse extrême contre les attaques par boîte noire et le maintien d'une haute précision sur les données légitimes, rendant le déploiement de MLaaS privé beaucoup plus sûr dans des environnements réels où la confiance totale ne peut être garantie.

En résumé, RobPI transforme le paysage de l'inférence privée en passant d'un modèle de confiance implicite à un modèle de défense active, rendant les tentatives de manipulation de décision économiquement et techniquement prohibitives pour les attaquants.