Quantamination: Dynamic Quantization Leaks Your Data Across the Batch

1. Declaração do Problema

O artigo identifica uma vulnerabilidade crítica de privacidade nas estratégias de quantização dinâmica utilizadas em frameworks modernos de inferência de aprendizado de máquina.

• Contexto: Para otimizar a utilização da GPU e reduzir custos de memória, frameworks de serviço de LLM multi-tenant (como vLLM, SGLang) agrupam solicitações de usuários concorrentes em lotes. Para acelerar ainda mais a inferência, esses sistemas frequentemente empregam quantização dinâmica, que converte ativações de alta precisão (FP16/FP32) para precisão inferior (INT8/FP8) em tempo de execução.
• A Vulnerabilidade: Diferentemente da quantização estática (onde os parâmetros são fixados offline), a quantização dinâmica por tensor calcula parâmetros de escala (valores mínimos/máximos) com base em todo o lote de entradas simultaneamente.
• A Consequência: Isso cria um canal lateral entre usuários. Os dados de entrada da vítima influenciam os parâmetros de quantização aplicados à entrada do adversário. Ao observar perturbações em seus próprios logits de saída, um adversário pode inferir informações sensíveis sobre os dados da vítima co-localizados no mesmo lote. Os autores denominam esse fenômeno "Quantaminação".

2. Metodologia

Os autores propõem um ataque de canal lateral que explora a natureza dependente de dados da quantização dinâmica por tensor.

Modelo de Ameaça

• Capacidades do Adversário: O atacante pode injetar uma entrada manipulada em um lote contendo uma entrada secreta da vítima (co-localização no lote). Ele pode observar a saída do modelo (logits ou probabilidades logarítmicas do top-1) para sua própria entrada.
• Suposições: O ataque assume que o sistema utiliza quantização dinâmica por tensor (calculando um único fator de escala para todo o lote) em vez de por token (calculando um fator de escala para cada token individualmente).
• Configurações: O ataque é avaliado em cenários de Caixa Branca (acesso ao modelo local) e Caixa Preta (acesso via API).

Mecânicas do Ataque

1. Vazamento de Parâmetros de Quantização: Na quantização dinâmica por tensor, o fator de escala $\alpha$ é calculado como:
   $$\alpha = \frac{\max(X) - \min(X)}{255}$$
   onde $X$ é o tensor de ativação combinado do lote. Se a entrada da vítima tiver uma magnitude maior que a do adversário, ela domina o $\max$ ou o $\min$, alterando $\alpha$.
2. Observação: O adversário observa a mudança resultante em seus próprios logits de saída ($\Delta$) causada pela quantização alterada.
3. Estratégia de Recuperação:
   • Recuperação de Token de LLM: O adversário adivinha iterativamente os tokens da vítima. Para cada posição, ele testa tokens candidatos do vocabulário. O candidato que produz uma diferença de logit ($\Delta$) correspondente à diferença observada quando emparelhado com a vítima é selecionado como o token recuperado.
   • Classificação: O adversário compara as diferenças de logits de uma imagem da vítima com um conjunto candidato de imagens para encontrar a correspondência mais próxima ou inferir a classe.

3. Contribuições Principais

• Descoberta da "Quantaminação": A primeira demonstração de que a quantização dinâmica por tensor cria um canal lateral permitindo o vazamento de dados através das fronteiras do lote em ambientes de inferência compartilhados.
• Análise de Frameworks: Os autores pesquisaram principais frameworks de inferência e descobriram que pelo menos 4 frameworks populares (vLLM, SGLang, ONNX Runtime, PyTorch) ou padrão ou suportam configurações que utilizam quantização dinâmica por tensor vulnerável, particularmente em modos online FP8.
• Implementação Prática de Ataque: Eles desenvolveram e validaram ataques tanto para Modelos de Linguagem Grandes (recuperação de token) quanto para Classificação de Imagens (identificação de classe/imagem).
• Diferenciação de Trabalhos Anteriores: Diferentemente de ataques anteriores baseados em lote que dependem de roteamento MoE, compartilhamento de cache KV ou gradientes de aprendizado federado, este ataque requer nenhuma modificação arquitetural e explora uma propriedade fundamental da quantização de inferência padrão.

4. Resultados Experimentais

A. Recuperação de Token de LLM

O ataque foi testado em três modelos (TinyStories-1M, Pythia-70M, SmolLM2-135M) usando tamanho de lote 2.

• Precisão: Alcançou precisão de recuperação de token de 99,6% a 100% em todos os modelos.
• Eficiência:
  • Para dados dentro da distribuição (por exemplo, TinyStories em dados TinyStories), o ataque exigiu uma média de 424 consultas por token, o que é 59× mais rápido que uma busca aleatória.
  • Para modelos de propósito geral (Pythia, SmolLM2) em WikiText, a eficiência foi de 985–1.343 consultas por token (18–25× mais rápido que o aleatório).
  • Aceleração de Contexto: O primeiro token é o mais caro para recuperar, mas os tokens subsequentes se beneficiam do contexto autoregressivo, reduzindo drasticamente o espaço de busca.
• Viabilidade em Caixa Preta: O ataque permanece eficaz mesmo com acesso limitado à API (observando apenas as probabilidades logarítmicas do top-1), assumindo decodificação gulosa.

B. Recuperação de Imagem de Classificação

Testes foram conduzidos no MNIST usando Simple CNN, ResNet18 e ResNet50.

• Recuperação Exata: Quando a imagem secreta existia no conjunto candidato, as taxas de recuperação foram de 80–100%, com redes mais profundas (ResNet18/50) alcançando 100% de sucesso mesmo com sondas aleatórias.
• Inferência de Classe: Quando o segredo não estava no conjunto candidato, o ataque lutou para identificar a classe exata (10–16% de precisão vs. 10% de linha de base aleatória). No entanto, a análise t-SNE revelou que as escalas de quantização agrupam-se por classe, sugerindo que, embora a recuperação exata seja difícil sem um conjunto candidato, o vazamento em nível de classe é detectável em redes profundas.

5. Significado e Implicações

• Risco de Privacidade: A vulnerabilidade representa um risco severo para o serviço de ML multi-tenant. Um adversário pode potencialmente reconstruir prompts privados, documentos sensíveis ou dados proprietários de outros usuários que compartilham o mesmo lote de GPU.
• Compromisso entre Desempenho e Segurança: O artigo destaca que a quantização dinâmica por tensor não é apenas subótima para precisão (devido ao mau tratamento de distribuições de ativação heterogêneas), mas também introduz uma vulnerabilidade de segurança concreta.
• Mitigação: Os autores recomendam a mudança para quantização dinâmica por token, que calcula parâmetros de escala independentemente para cada token. Isso elimina o fluxo de informação entre lotes e já é o padrão para INT8 em muitos frameworks de LLM.
• Desafios do Mundo Real: A discussão observa que ambientes de produção podem introduzir não determinismo (heterogeneidade de hardware, pipelines de amostragem do lado do provedor) que poderiam obscurecer o sinal, potencialmente tornando o ataque mais difícil, mas não impossível de executar.

Conclusão

O artigo demonstra que a quantização dinâmica por tensor é uma falha de segurança crítica no serviço de ML moderno. Ao vazar informações sobre entradas agrupadas através de parâmetros de quantização, ela permite que adversários roubem dados sensíveis de usuários. Os autores instam os desenvolvedores de frameworks a adotarem a quantização por token como padrão para garantir tanto alta precisão quanto privacidade do usuário.