RMF: A Risk Measurement Framework for Machine Learning Models

Sintesi Tecnica: RMF: Un Framework di Misurazione del Rischio per Modelli di Machine Learning

Problema
I modelli di machine learning (ML), in particolare i sistemi di deep learning, vengono sempre più impiegati in applicazioni critiche per la sicurezza e la protezione, come la guida autonoma e la diagnosi medica. Questa proliferazione introduce rischi significativi derivanti dal machine learning avversario, dove le reti neurali (NN) possono essere manipolate malevolmente. Nello specifico, il documento affronta la sfida di quantificare il rischio associato agli attacchi di avvelenamento (poisoning attacks, un sottoinsieme degli attacchi backdoor) che causano la classificazione errata delle etichette delle immagini durante l'inferenza. Sebbene l'esistenza di queste minacce sia ben documentata, esiste una mancanza di metodi standardizzati per misurare l'entità del danno causato da un attacco e lo sforzo richiesto all'attaccante per eseguirlo. Gli autori sostengono che, senza tali misurazioni, è difficile valutare oggettivamente le prestazioni di sicurezza dei sistemi di ML o derivare valori di rischio significativi.

Metodologia
Il documento propone un Framework di Misurazione del Rischio (RMF) basato sullo standard ISO/IEC 27004:2016 per la misurazione del rischio della sicurezza delle informazioni. La metodologia segue un processo strutturato:

1. Definizione degli Attributi: Il framework definisce attributi specifici per misurare il rischio, categorizzati in due gruppi principali:

   • Sforzo dell'Attaccante: Include la Conoscenza dell'Attaccante (white-box vs. black-box), l'Obiettivo dell'Attaccante (passaggi per raggiungere l'obiettivo), la Specificità dell'Attacco (passaggi per colpire etichette specifiche o casuali), il Tempo dell'Attacco (durata di addestramento e inferenza) e le Risorse Computazionali (utilizzo di CPU/GPU).
   • Entità del Danno: Misurata utilizzando metriche ML standard, tra cui Accuratezza, F1-Score, Average Precision e Average Recall.

2. Processo di Misurazione:

   • Raccolta Dati: Il framework utilizza l'Adversarial Robustness Toolbox (ART) per eseguire attacchi backdoor su una NN target.
   • Misure di Base: Il sistema registra i dati grezzi durante l'attacco, come il tempo di addestramento, il consumo delle risorse hardware e il numero di passaggi procedurali compiuti dall'attaccante.
   • Misure Derivate: Le funzioni di misurazione aggregano queste misure di base.
     • Calcolo del Danno: Per quantificare il danno, il framework inverte le metriche ML (ad esempio, se l'accuratezza scende a 0,06, viene convertita in 0,94). Questa inversione assicura che una metrica originale più bassa (danno maggiore) risulti in un punteggio di danno più elevato. Questi valori invertiti vengono poi integrati per formare un "Entità del Danno" composito.
     • Calcolo dello Sforzo: Il framework aggrega il tempo dell'attacco, le risorse computazionali e il numero totale di passaggi (derivato da conoscenza, obiettivo e specificità) per formare un "Sforzo dell'Attaccante" composito.

3. Interpretazione del Rischio: Il framework non combina il danno e lo sforzo in un singolo valore di rischio scalare. Al contrario, li tratta come quattro valori distinti (Danno, Tempo, Risorse, Passaggi) che devono essere interpretati individualmente. Gli autori osservano che la standardizzazione dello sforzo è attualmente impossibile a causa della variabilità nelle unità (secondi, MB, numeri naturali) e della mancanza di dati di base comparabili per diversi tipi di attacco.

Caso di Studio e Risultati
Il framework è stato valutato attraverso un caso di studio che coinvolge una Rete Neurale Convoluzionale (CNN) addestrata su un dataset di 133.000 segnali stradali tedeschi (70 etichette).

• Configurazione: Un attacco backdoor a etichetta pulita (clean-label) è stato eseguito avvelenando il 50% dei dati di addestramento per classificare erroneamente immagini casuali verso un'etichetta target specifica (Etichetta 10).
• Hardware: L'esperimento è stato eseguito su una CPU AMD Ryzen 7 5800X e una GPU NVIDIA GeForce RTX 3060 Ti.
• Risultati:
  • Danno: L'attacco ha causato una drastica riduzione delle prestazioni. L'accuratezza originale è scesa da 0,94 a 0,06. Il calcolato "Entità del Danno" composito era 4,62.
  • Sforzo: L'attacco ha richiesto 21 passaggi totali (combinando conoscenza, obiettivo e specificità), ha impiegato 1037,23 secondi per l'esecuzione e ha consumato il 9% di CPU e 8137,81 MB di memoria GPU.
  • Classificazione del Rischio: In base alla classificazione del rischio dell'European Telecommunication Standards Institute (ETSI), i risultati sono stati categorizzati come un Rischio Critico. La mancanza di contromisure ha permesso il massimo danno con uno sforzo dell'attaccante relativamente basso.

Contributi Chiave
Il documento apporta tre contributi primari:

1. Proposta di Attributi: Propone un insieme di attributi quantitativi e qualitativi (inclusi le risorse computazionali e gli specifici passaggi dell'attacco) da istanziare durante i metodi di misurazione per la sicurezza del ML.
2. Funzioni di Misurazione: Sviluppa funzioni specifiche per calcolare i valori che rappresentano l'entità del danno e lo sforzo dell'attaccante, aderendo alle linee guida ISO/IEC 27004:2016.
3. Valutazione e Interpretazione: Valuta questi valori calcolati attraverso un caso di studio, dimostrando come interpretare il rischio finale di un attacco senza proporre specifiche contromisure.

Significatività e Rivendicazioni
Gli autori posizionano questo lavoro come uno strumento per migliorare le prestazioni di sicurezza consentendo la misurazione dei rischi durante la fase di sviluppo delle NN, prima del deployment. Il documento dichiara esplicitamente che non propone contromisure; il suo unico focus è sulla misurazione e la valutazione del rischio.

La significatività dell'RMF risiede nella sua capacità di:

• Quantificare il potenziale danno degli attacchi avversari in modo standardizzato.
• Misurare oggettivamente le risorse e i passaggi che un attaccante deve investire.
• Evidenziare che, senza contromisure, gli attacchi backdoor possono causare rischi critici (ad esempio, classificare erroneamente un segnale di stop come un limite di velocità nelle auto autonome) con un basso sforzo dell'attaccante.

Gli autori concludono con modestia, osservando che, sebbene il framework misuri con successo il rischio in un ambiente controllato, la capacità di confrontare i rischi tra diversi attacchi o di creare una matrice di rischio completa è attualmente limitata dalla mancanza di dati comparabili. Il lavoro futuro richiede la misurazione di più attacchi per costruire un dataset che permetta lo sviluppo di contromisure più specifiche e una migliore standardizzazione del rischio.