ShadowPickle: Evading Machine Learning Model Scanners via Stealthy Pickle Deserialization Attacks
Questo articolo introduce SHADOWPICKLE, un nuovo framework di attacco che sfrutta il meccanismo di importazione di moduli esterni della Pickle Virtual Machine per eseguire payload di esecuzione di codice remoto furtivi in modelli pre-addestrati, eludendo efficacemente gli scanner e gli hub di modelli all'avanguardia, insieme alla presentazione di PICKLEBENCH, un benchmark che dimostra i significativi limiti degli attuali metodi di rilevamento.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immaginate internet come una gigantesca e frenetica biblioteca dove milioni di persone condividono le loro ricette, i loro progetti e le loro istruzioni preferite. Nel mondo dell'intelligenza artificiale, queste "ricette" sono chiamate Modelli di Machine Learning Pre-addestrati. Sono i progetti cerebrali che i computer usano per riconoscere i volti, scrivere storie o tradurre lingue. Per condividere questi progetti, le persone usano speciali "hub digitali" (come una super-biblioteca chiamata Hugging Face) dove chiunque può scaricarli.
Tuttavia, c'è un problema. Questi progetti sono spesso salvati in un formato speciale chiamato Pickle. Pensate a Pickle come a un contenitore per il pranzo magico e sigillato. Quando lo aprite, il computer non si limita a guardare il cibo all'interno; segue un insieme di istruzioni scritte sul coperchio per rimontare il pasto. Il problema è che se un malintenzionato scrive un'istruzione ingannevole sul coperchio, il computer potrebbe accidentalmente seguirla e fare qualcosa di pericoloso, come rubare segreti o lasciare entrare un hacker. Questo è chiamato attacco di deserializzazione. Per molto tempo, le guardie di sicurezza (chiamate scanner) hanno controllato questi contenitori per assicurarsi che le istruzioni sul coperchio fossero sicure. Ma cosa succederebbe se i malintenzionati trovassero un modo per scrivere istruzioni che sembrano perfettamente normali per le guardie, ma che riescono comunque a ingannare il computer?
Questo è esattamente ciò che un team di ricercatori della Singapore University of Technology and Design ha scoperto. Hanno inventato un nuovo modo per introdurre codice malevolo in questi modelli di IA, chiamando il loro metodo ShadowPickle. Invece di cercare di nascondere le cattive istruzioni in un angolo buio, si sono resi conto che potevano ingannare il computer sovrascrivendo gli stessi strumenti di cui le guardie di sicurezza si fidano. Immaginate una guardia di sicurezza che controlla una lista di strumenti "approvati", come un martello o un cacciavite. I ricercatori hanno dimostrato che, se poteste sostituire il vero martello con uno falso che sembra identico ma che nasconde un coltello all'interno, la guardia vi lascerebbe passare tranquillamente dalla porta.
Il team ha creato tre diverse versioni di questo trucco. La più subdola, chiamata Overwritten Module, funziona sostituendo uno strumento standard e affidabile (come una comune libreria Python) con una versione malevola che il computer carica automaticamente. Poiché lo strumento è in una lista "approvata", gli scanner di sicurezza non danno l'allarme. Hanno anche costruito un kit di test speciale chiamato PICKLEBENCH, che è come una grande macchina capace di iniettare automaticamente questi trucchi in migliaia di modelli dall'aspetto innocente per vedere se gli scanner li scoprono.
Quando hanno testato i loro nuovi trucchi contro i migliori scanner di sicurezza attualmente in uso, i risultati sono stati scioccanti. Gli attacchi ShadowPickle erano incredibilmente bravi a nascondersi. Infatti, la versione "Overwritten" è riuscita a passare oltre gli scanner il 63% delle volte. Per dare un termine di paragone, questo nuovo metodo era circa il 50% più difficile da rilevare rispetto ai precedenti migliori trucchi conosciuti dagli hacker. Ancora più impressionante, il loro kit di test era il 25,6% più impegnativo per gli scanner rispetto ai test esistenti utilizzati dagli esperti.
I ricercatori hanno anche scoperto che anche i sistemi di sicurezza più avanzati, che cercano di permettere solo l'esecuzione di strumenti "sicuri", potrebbero essere ingannati se i malintenzionati riuscissero a sostituire uno di quegli strumenti sicuri con uno falso. Sebbene alcuni scanner fossero migliori di altri, nessuno era perfetto. Il team suggerisce che, per risolvere questo problema, le guardie di sicurezza devono controllare non solo la lista degli strumenti, ma anche assicurarsi che gli strumenti stessi non siano stati manomessi. Hanno persino offerto alcune idee su come riparare queste falle, il che potrebbe rendere gli scanner circa il 19% più efficaci nel catturare questi attacchi subdoli.
In breve, questo articolo non dice solo che "hackerare è possibile"; mostra esattamente come le attuali reti di sicurezza hanno un punto cieco. Dimostra che affidarsi solo a una lista di strumenti "buoni" e "cattivi" non è più sufficiente, perché i malintenzionati possono ora travestire i loro trucchi come gli stessi strumenti di cui ci fidiamo. Gli autori suggeriscono che l'intero sistema necessita di un serio aggiornamento per rimanere al sicuro in futuro.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.