Enabling Adversarial Robustness in AI Models through Kubeflow MLOps

Résumé technique : Activation de la robustesse adversaire dans les modèles d'IA via Kubeflow MLOps

Énoncé du problème
Bien que Kubernetes soit devenu la norme pour l'orchestration d'applications d'IA natives du cloud, ses mécanismes de sécurité natifs (tels que RBAC et les politiques réseau) se concentrent principalement sur l'intégrité de l'infrastructure, la sécurité des nœuds et le contrôle du trafic réseau. La plateforme manque de mécanismes spécifiques pour protéger les modèles d'IA eux-mêmes contre les menaces adversaires. La littérature et les outils existants traitent largement des compromissions au niveau des nœuds, des attaques réseau et des vulnérabilités de configuration, laissant un vide dans la défense des modèles d'apprentissage automatique (ML) déployés contre les attaques adverses lors de la phase d'inférence. Plus précisément, il existe un besoin de systèmes automatisés capables de détecter la dégradation des modèles causée par des entrées adverses et de déclencher des mécanismes de défense immédiats au sein du cycle de vie MLOps.

Méthodologie
Les auteurs proposent une architecture qui intègre directement les capacités d'apprentissage automatique adversaire (AML) dans un pipeline MLOps basé sur Kubeflow. Le système fonctionne à travers trois scénarios distincts :

1. Fonctionnement normal : Un utilisateur télécharge un jeu de données de confiance dans un registre Kubeflow. Un pod temporaire est créé pour entraîner un classificateur de réseau de neurones convolutifs (CNN). Le modèle entraîné et sa précision de référence sont stockés dans un volume persistant Kubernetes. Un pod d'inférence récupère ensuite ce modèle pour fournir des prédictions.
2. Scénario adversaire : Une menace interne (un utilisateur malveillant ayant accès au cluster) récupère le modèle entraîné et génère un jeu de données adversaire en utilisant la méthode du gradient rapide (FGSM). Ces exemples perturbés sont téléchargés dans le registre de jeux de données, provoquant une dégradation de la précision du modèle déployé lors de l'inférence.
3. Scénario de défense : Le pod d'inférence surveille en continu la précision du modèle par rapport à une référence stockée. Si une dégradation dépassant 5 % est détectée, le système déclenche un composant « défenseur ». Ce composant instruit Kubeflow d'initier un pipeline d'entraînement adversaire automatisé. Un nouveau pod temporaire est créé pour effectuer un entraînement adversaire basé sur la descente de gradient projetée (PGD), affinant le modèle pour le rendre robuste contre l'amplitude de perturbation spécifique rencontrée.

Contributions clés

• Intégration automatisée MLOps : L'article démontre comment Kubeflow peut être étendu pour automatiser la détection des attaques adverses et le déploiement subséquent de pipelines de défense sans intervention manuelle.
• Déclenchement dynamique de la défense : Le système introduit un mécanisme où la phase d'inférence surveille activement les baisses de précision pour déclencher un réentraînement, fermant ainsi efficacement la boucle entre la détection de l'attaque et le renforcement du modèle.
• Évaluation du calibrage de la défense : L'étude évalue la relation entre l'amplitude de l'attaque (perturbation FGSM $\epsilon$) et le budget de défense (budget de perturbation PGD $\epsilon$), fournissant des données empiriques sur la manière dont les paramètres de défense doivent être calibrés par rapport à la menace.

Résultats expérimentaux
Les auteurs ont évalué l'architecture en utilisant le jeu de données MNIST avec une base de référence CNN. Ils ont testé des attaques en boîte blanche (où l'attaquant connaît le modèle renforcé) et des attaques par transfert (où l'attaquant utilise un modèle différent pour générer des attaques).

• Récupération de la précision : Les expériences ont montré que la défense déployée a considérablement récupéré la précision par rapport à la dégradation causée par l'attaque. Par exemple, sous une attaque par transfert avec $\epsilon=0,15$, la précision est tombée d'une base de référence propre d'environ 99 % à environ 91 % sans défense, mais l'entraînement adversaire a restauré les performances à environ 94-95 %.
• Importance du calibrage : Les résultats ont indiqué que la défense atteint une robustesse optimale lorsque le budget de perturbation PGD est égal ou légèrement supérieur à l'amplitude de l'attaque FGSM. Si le budget de défense est inférieur à l'amplitude de l'attaque, le modèle reste vulnérable.
• Robustesse : Le modèle renforcé a maintenu une haute précision sur les données propres (environ 98-99 %) tout en améliorant considérablement la résilience face aux attaques en boîte blanche et par transfert par rapport à la base de référence non renforcée.

Signification et affirmations
L'article affirme que sa signification principale réside dans la résolution de la lacune de sécurité pour les modèles d'IA au sein des environnements Kubernetes. En intégrant la robustesse adversaire dans le flux de travail MLOps, l'architecture proposée permet aux systèmes de détecter et de réagir automatiquement aux menaces adverses, en particulier celles provenant d'attaquants internes ayant accès au modèle. Les auteurs soulignent que, si la sécurité de l'infrastructure est bien couverte, la sécurité au niveau du modèle nécessite de telles approches automatisées et intégrées au cycle de vie. Ce travail sert de preuve de concept pour étendre Kubeflow afin de gérer non seulement l'entraînement et le déploiement des modèles, mais aussi leur défense active et leur récupération lors de la phase d'inférence. Un travail futur est modestement proposé pour inclure une gamme plus large d'attaques et pour intégrer ces défenses au niveau du modèle avec les mécanismes de sécurité au niveau des nœuds et du réseau afin d'élaborer une stratégie holistique.