On the (In-)Security of the Shuffling Defense in the Transformer Secure Inference

Résumé technique : Sur la (in)sécurité de la défense par mélange dans l'inférence sécurisée des Transformers

Énoncé du problème
L'inférence sécurisée pour les modèles Transformer utilisant le calcul multipartite (MPC) ou le chiffrement homomorphe (HE) se heurte à un goulot d'étranglement critique en matière d'efficacité : le calcul des couches non linéaires (par exemple, Softmax, GELU, LayerNorm). Le chiffrement complet du modèle (FME) nécessite de nombreux tours de communication et une transmission lourde de données pour ces couches, représentant 75 % à 90 % de la latence totale. Pour atténuer ce problème, une inférence par chiffrement uniquement linéaire (LOE) a été proposée, où les activations intermédiaires sont révélées au client en clair pour calculer localement les couches non linéaires. Cependant, la révélation des activations permet aux adversaires d'extraire les poids du modèle en résolvant des systèmes linéaires.

Pour contrer cela, des travaux récents ont introduit une défense par mélange, où les activations intermédiaires sont permutées aléatoirement avant d'être révélées au client. L'affirmation de sécurité prédominante est que la récupération de la permutation spécifique est computationnellement impossible (probabilité $1/d!$ pour une dimension $d$) et que les activations mélangées détruisent la corrélation nécessaire aux attaques d'extraction de poids. Cet article remet en cause cette affirmation, démontrant que la défense par mélange n'est pas robuste face à l'extraction de poids.

Méthodologie
Les auteurs proposent une attaque qui aligne des vecteurs d'activation mélangés différemment sur une permutation commune sans connaître la permutation spécifique appliquée. La méthodologie se déroule en trois étapes :

1. Alignement vectoriel par proximité : L'adversaire interroge le Transformer avec plusieurs entrées qui sont $\epsilon$-proches les unes des autres. En raison de la continuité de Lipschitz des réseaux de neurones, les vecteurs d'activation intermédiaires résultants sont également proches en valeur ($\|x_a - x_b\| < L\epsilon$). Bien que chaque vecteur soit mélangé par une permutation différente et inconnue, les valeurs au sein des vecteurs restent identiques. L'adversaire aligne ces vecteurs en résolvant un problème d'affectation (en utilisant l'algorithme hongrois) pour minimiser la distance entre les éléments des vecteurs mélangés, récupérant ainsi efficacement la correspondance entre les éléments de différentes requêtes.
2. Construction d'entrées proches dans GPT : Un défi surgit car les entrées des Transformers sont des indices de tokens discrets, rendant difficile la génération directe d'entrées $\epsilon$-proches. Les auteurs exploitent une propriété des protocoles d'inférence sécurisée : l'utilisation de l'arithmétique à point fixe avec troncature. La troncature sécurisée introduit des erreurs stochastiques de 1 bit (par exemple, une magnitude de $2^{-18}$). En alimentant répétitivement le même prompt, l'adversaire exploite ces erreurs probabilistes inhérentes pour générer les perturbations mineures nécessaires dans les activations intermédiaires, créant ainsi les vecteurs $\epsilon$-proches requis.
3. Extraction des poids : Une fois les vecteurs d'activation alignés sur une permutation commune (mais inconnue) $\pi$, l'adversaire construit les matrices $X^{(l)}\pi^{(l)}$ et $X^{(l+1)}\pi^{(l+1)}$. Ils résolvent les poids en utilisant la relation linéaire $W^{(l)'} = \pi^{(l)-1} X^{(l)-1} X^{(l+1)} \pi^{(l+1)}$. Les poids résultants $W^{(l)'}$ diffèrent des poids originaux $W^{(l)}$ uniquement par des permutations de lignes et de colonnes. Crucialement, l'article note que la fonctionnalité du réseau de neurones est invariante à un tel mélange ; ainsi, les poids extraits effectuent la même propagation avant que le modèle original.

Contributions clés

• Cassure de la défense par mélange : Les auteurs démontrent qu'un adversaire peut aligner avec succès des vecteurs d'activation mélangés différemment mais contenant des valeurs proches, contournant l'hypothèse selon laquelle la permutation rend l'extraction impossible.
• Exploitation du bruit du protocole : Le travail identifie et exploite les erreurs stochastiques inhérentes aux protocoles de troncature sécurisée pour générer des activations intermédiaires proches, surmontant la limitation des entrées de tokens discrets dans les Transformers.
• Extraction théorique et pratique : L'article prouve que les activations alignées permettent l'extraction de poids du modèle fonctionnellement équivalents à l'original, malgré des permutations de lignes/colonnes inconnues.
• Validation empirique : L'attaque est évaluée sur Pythia-70m et GPT-2, démontrant une haute précision d'alignement et une récupération réussie des poids.

Résultats expérimentaux
Les auteurs ont évalué l'attaque sur les modèles Pythia-70m et GPT-2 en utilisant diverses précisions à point fixe (14, 16 et 18 bits).

• Précision d'alignement : La méthode proposée aligne les activations mélangées avec des erreurs quadratiques moyennes (MSE) allant de $10^{-9}$ à $10^{-6}$. Moins de 2 % des éléments sont mal appariés, une précision plus élevée offrant un meilleur alignement.
• Récupération des poids : Les poids extraits présentent des différences de norme L1 par rapport aux poids de l'oracle allant de $10^{-4}$ à $10^{-2}$. Les modèles plus petits (Pythia-70m) ont montré des taux d'erreur inférieurs à ceux des modèles plus grands (GPT-2).
• Efficacité des coûts : L'attaque nécessite un nombre de requêtes proportionnel à la dimension du modèle (par exemple, ~32 768 pour Pythia-70m). En utilisant la tarification des API commerciales, le coût total est d'environ 1 $.
• Équivalence fonctionnelle : Les poids volés, utilisés comme modèle de substitution, atteignent des scores de perplexité proches du modèle original (par exemple, 31,81 contre 44,46 pour Pythia-70m). Après une brève étape de fine-tuning (au maximum 6 minutes), le modèle récupéré correspond à la perplexité de la victime (32,43 contre 31,81), transformant efficacement les attaques ultérieures de scénarios boîte noire en scénarios boîte blanche.

Signification et affirmations
L'article prétend révéler une fuite d'information significative dans la défense par mélange, qui était auparavant supposée être sécurisée contre l'extraction de poids. Les auteurs soutiennent que la défense échoue car elle ne prend pas en compte la capacité d'aligner des vecteurs basés sur la proximité numérique plutôt que sur la connaissance positionnelle.

La signification de ce travail réside dans la mise en évidence d'une vulnérabilité permettant aux adversaires de récupérer les poids du modèle avec une haute fidélité à faible coût. Les poids extraits suffisent pour analyser des modèles privés ou servir d'initialisation efficace pour des modèles de substitution, renforçant ainsi les attaques boîte noire existantes. Les auteurs concluent que la sécurité de la défense par mélange dans l'inférence sécurisée et les contextes connexes de préservation de la vie privée nécessite une réévaluation.

Limites
Les auteurs notent modestement que, bien que l'attaque soit théoriquement garantie et validée sur des modèles à petite échelle, la fidélité des poids extraits peut se dégrader à mesure que l'échelle du modèle augmente. Cependant, ils affirment que la validation réussie sur des modèles à petite échelle suffit à démontrer la vulnérabilité fondamentale du mécanisme de défense.