Hiding Directions, Leaking Structure: Breaking ArrowCloak through Low-Rank Structure
यह शोध पत्र यह प्रदर्शित करता है कि ArrowCloak, जो न्यूरल नेटवर्क वेट्स (weights) की सुरक्षा के लिए एक TEE-आधारित रक्षा है, एक क्वेरी-मुक्त हमले द्वारा मौलिक रूप से विफल हो जाता है जो इसके साझा मास्क दिशा (shared mask direction) का लाभ उठाकर छिपे हुए वेट कोरेस्पोंडेंस (weight correspondences) को रिकवर करता है और लगभग पूर्ण सटीकता के साथ मॉडल्स का पुनर्निर्माण करता है, जिससे यह प्रकट होता है कि इसके LWE-आधारित हार्डनेस दावे अमान्य हैं और हल्के सुरक्षा उपायों को प्रति-वेक्टर ज्यामिति (per-vector geometry) और संयुक्त संरचनात्मक रिसाव (joint structural leakage) दोनों को संबोधित करना चाहिए।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
आधुनिक डिजिटल परिदृश्य में, शक्तिशाली आर्टिफिशियल इंटेलिजेंस मॉडलों को अक्सर एक मूल्यवान रहस्य की तरह माना जाता है, जैसे कि कोई मालिकाना रेसिपी या मशीनरी का कोई अनूठा हिस्सा। अपने व्यक्तिगत उपकरणों पर डेटा को किसी दूर स्थित क्लाउड सर्वर पर भेजे बिना इन मॉडलों का उपयोग करने के लिए, डेवलपर्स ने काम को विभाजित करना शुरू कर दिया है। वे मॉडल के सबसे संवेदनशील हिस्सों, यानी मुख्य निर्देशों और वेट्स (weights) को कंप्यूटर प्रोसेसर के एक सुरक्षित, नियंत्रित क्षेत्र के भीतर रखते हैं जिसे 'ट्रस्टेड एक्जीक्यूशन एनवायरनमेंट' (trusted execution environment) कहा जाता है। यह सुरक्षित क्षेत्र एक निजी तिजोरी की तरह कार्य करता है, जो बाकी सिस्टम से रहस्यों को सुरक्षित रखता है। हालाँकि, भारी गणनाओं का काम—जो मॉडल को सोचने के लिए आवश्यक विशाल गणितीय संचालन है—इस छोटे से वॉल्ट के लिए बहुत अधिक मांग वाला है। इसलिए, इस काम को वॉल्ट के बाहर एक शक्तिशाली, लेकिन अविश्वसनीय ग्राफिक्स प्रोसेसर को सौंप दिया जाता है। चुनौती यह है कि एक बार जब डेटा प्रोसेसिंग के लिए वॉल्ट से बाहर निकलता है, तो वह हार्डवेयर पर नज़र रखने वाले किसी भी व्यक्ति के लिए दृश्यमान हो जाता है। यदि डेटा को छिपाया नहीं गया, तो एक चतुर पर्यवेक्षक उजागर गणनाओं से मूल गुप्त मॉडल को रिवर्स-इंजीनियर कर सकता है।
इस समस्या को हल करने के लिए, शोधकर्ताओं ने हाल ही में 'एरोक्लोक' (ArrowCloak) नामक एक विधि प्रस्तावित की। विचार यह था कि वेट्स को विशिष्ट तरीकों से घुमाकर (rotate करके) और प्रत्येक डेटा में एक साझा, छिपे हुए पैटर्न को जोड़कर मॉडल के वेट्स को छिपाया जाए। डिजाइनरों ने तर्क दिया कि यह स्कैम्बलिंग (scrambling) गणितीय रूप से अटूट थी, जो एक जटिल क्रिप्टोग्राफिक सिद्धांत पर आधारित थी, जिसने सुझाव दिया कि मूल रहस्यों को पुनः प्राप्त करना एक विशिष्ट प्रकार की कठिन पहेली को हल करने जितना कठिन होगा। उन्होंने दावा किया कि इस पद्धति ने डेटा वेक्टर्स की दिशा को सफलतापूर्वक छिपा दिया, जिससे हमलावरों के लिए स्कैम्बल किए गए टुकड़ों को मूल मॉडल के साथ वापस मिलाना असंभव हो गया।
शोधकर्ताओं की एक टीम ने अब इस सुरक्षा योजना की पुनरावृत्ति की है और पाया कि इसका गणितीय आधार दावे के अनुसार इतना ठोस नहीं था। उन्होंने पाया कि कठिन क्रिप्टोग्राफिक पहेली के साथ प्रस्तावित संबंध त्रुटिपूर्ण था; जिस तरह से डेटा को रूपांतरित किया गया था, उसने वास्तव में उन स्थितियों का निर्माण नहीं किया जो समस्या को कठिन बनाने के लिए आवश्यक थीं। अधिक महत्वपूर्ण बात यह है कि उन्होंने स्वयं के disguise (छलावे) में एक संरचनात्मक कमजोरी पाई। जबकि इस पद्धति ने डेटा के व्यक्तिगत टुकड़ों की दिशा को सफलतापूर्वक बदल दिया, ऐसा करने के लिए इसने एक ऐसा पैटर्न जोड़ा जो सभी में साझा था। यह साझा पैटर्न पूरे उजागर वेट्स के माध्यम से बहने वाले एक सूक्ष्म, निम्न-आयामी (low-dimensional) सिग्नल का निर्माण करता था, जैसे कि एक टेपेस्ट्री (tapestry) के माध्यम से गुजरने वाला एक एकल धागा। क्योंकि यह धागा प्रत्येक डेटा पीस के लिए सामान्य था, इसने एक ऐसा निशान छोड़ दिया जिसे पहचाना और हटाया जा सकता था।
इस अंतर्दृष्टि का उपयोग करते हुए, शोधकर्ताओं ने 'एरोरेवेलियो' (ArrowRevelio) नामक एक नया हमला विकसित किया। इस पद्धति के लिए सुरक्षित वॉल्ट तक किसी विशेष पहुंच की आवश्यकता नहीं है, और न ही इसे मॉडल से प्रश्न पूछने या इसके आंतरिक रहस्यों को देखने की आवश्यकता है। इसके बजाय, यह केवल सार्वजनिक, स्कैम्बल किए गए वेट्स और मॉडल के मूल, बिना स्कैम्बल किए गए सार्वजनिक संस्करण को देखता है। डेटा की सामूहिक संरचना का विश्लेषण करके, हमला पहचान सकता है और साझा छिपे हुए पैटर्न को घटा (subtract) सकता है। एक बार जब यह पैटर्न हटा दिया जाता है, तो डेटा के टुकड़ों का छिपा हुआ क्रम फिर से दिखाई देने लगता है। शोधकर्ताओं ने डेटा के टुकड़ों को उनके मूल स्थानों के साथ संरेखित करने के लिए एक मानक मिलान तकनीक का उपयोग किया, जिससे प्रभावी रूप से गुप्त मॉडल का पुनर्निर्माण हुआ।
इस पुनर्निर्माण के परिणाम आश्चर्यजनक रूप से सटीक थे। टेक्स्ट क्लासिफिकेशन, इमेज सेगमेंटेशन और नई सामग्री उत्पन्न करने के कार्यों सहित छह अलग-अलग मॉडलों और कार्यों के संयोजन में, इस हमले ने लगभग हर मामले में अत्यधिक सटीकता के साथ, 99.92% और 100% की दर से, डेटा के छिपे हुए क्रम को सफलतापूर्वक पुनर्प्राप्त किया। पुनर्निर्मित मॉडल मूल गुप्त मॉडलों के लगभग समान प्रदर्शन करते थे। क्लासिफिकेशन कार्यों के लिए, नए मॉडल टेस्ट इनपुट्स पर 94.39% और 99.54% के बीच मूल मॉडल के साथ सहमत थे, और उनकी समग्र सटीकता में 1.59 प्रतिशत अंक से अधिक का अंतर नहीं था। एक सेगमेंटेशन कार्य में, सहमति 98.35% के उच्च स्तर पर थी।
शोधकर्ताओं ने यह भी परीक्षण किया कि क्या साझा पैटर्न को अधिक जटिल बनाकर समस्या को ठीक किया जा सकता है। उन्होंने साझा पैटर्न की संख्या को एक दिशा से बढ़ाकर सैकड़ों दिशाओं तक बढ़ा दिया। हालांकि इससे मॉडल के सटीक आउटपुट को पूरी तरह से पुनर्प्राप्त करना थोड़ा कठिन हो गया, लेकिन इसने डेटा के छिपे हुए क्रम को खोजने से हमले को नहीं रोका। सैकड़ों साझा पैटर्न होने के बावजूद, हमले ने डेटा के टुकड़ों के व्यवस्था को लगभग पूर्ण सटीकता के साथ पुनर्प्राप्त किया, हालांकि अंतिम मॉडल का प्रदर्शन काफी गिर गया। यह सुझाव देता है कि केवल अधिक साझा पैटर्न जोड़ना एक पूर्ण समाधान नहीं है, क्योंकि यह सुरक्षित वॉल्ट के लिए कम्प्यूटेशनल लागत को बढ़ाता है लेकिन संरचनात्मक रिसाव (structural leakage) को पूरी तरह से समाप्त नहीं करता है।
अध्ययन यह निष्कर्ष निकालता है कि मॉडल वेट्स को सुरक्षित करने के लिए डेटा को न केवल व्यक्तिगत टुकड़ों के रूप में, बल्कि एक सामूहिक संपूर्णता के रूप में देखना आवश्यक है। पिछला बचाव प्रत्येक वेक्टर की दिशा को अलग से छिपाने पर केंद्रित था, लेकिन यह विफल रहा क्योंकि इसने उन संबंधों को ध्यान में नहीं रखा जो पूरे सेट में साझा थे। निष्कर्ष बताते हैं कि हल्के सुरक्षात्मक तंत्रों (lightweight protection schemes) को वास्तव में ऑन-डिवाइस आर्टिफिशियल इंटेलिजेंस को सुरक्षित करने के लिए व्यक्तिगत वेक्टर्स की ज्यामिति और सभी जारी किए गए वेट्स के संयुक्त ढांचे, दोनों को संबोधित करना चाहिए।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।