Model Inversion

Bei der Modellinversion werden Informationen über die Eingaben oder Trainingsdaten eines Modells anhand seiner Vorhersagen, erlernten Parameter oder internen Repräsentationen rekonstruiert. Anschaulich gesprochen wird dabei die Vorhersage rückwärts ausgeführt: Informationen, die ein maschinelles Lernmodell preisgibt, dienen als Hinweise, um ein Gesicht zu rekonstruieren, ein sensibles Merkmal zu schätzen oder Text wiederherzustellen. Eine unbefugte Nutzung stellt einen Angriff auf den Datenschutz dar.

Matthew Fredrikson, Eric Lantz, Somesh Jha, Simon Lin, David Page und Thomas Ristenpart führten den Sicherheitsbegriff 2014 mit ihrer Arbeit zur Modellinversion personalisierter Warfarin-Dosierungsmodelle ein. Anhand eines Modells, demografischer Informationen und der stabilen Dosierung eines Patienten leiteten sie genetische Marker ab, die mit der Arzneimittelwirkung zusammenhängen. Für die Auswertung wurden Daten des International Warfarin Pharmacogenetics Consortium verwendet.

Funktionsweise der Modellinversion#

Ein Angreifer benötigt ein beobachtbares Signal und ein Ziel für die Rekonstruktion. Die Konfidenzwerte eines Klassifikators zeigen, wie stark mögliche Eingaben einer Zielklasse entsprechen. Bei White-Box-Zugriff kann der Angreifer auch die Modellgewichte einsehen und Gradienten berechnen. Bei Black-Box-Zugriff erhält er Vorhersagen über eine Abfrageschnittstelle. Zwischengeschaltete Einbettungen, also numerische Repräsentationen von Eingaben, bieten ein weiteres Ziel für die Rekonstruktion.

Bei der optimierungsbasierten Inversion beginnt man mit einer möglichen Eingabe und verändert sie wiederholt, um eine Verlustfunktion zu minimieren, zum Beispiel eins minus der Wahrscheinlichkeit für die Zielklasse. Der Eingabewert wird durch Gradientenabstieg aktualisiert, während das trainierte Modell unverändert bleibt. Das Ergebnis kann eine erkennbare Repräsentation einer Klasse sein. Ob sich die Eingabe exakt rekonstruieren lässt, hängt davon ab, welche Informationen im zugänglichen Signal erhalten bleiben.

Ultralytics YOLO gibt Bildrepräsentationen über model.embed() aus und unterstützt so Arbeitsabläufe zur Merkmalsextraktion. Wenn solche Vektoren weitergegeben werden, entsteht eine zusätzliche Schnittstelle, die bei datenschutzbezogenen Inversionstests berücksichtigt werden sollte.

Gesichtsrekonstruktion und ein ausführbares Beispiel#

Fredrikson, Jha und Ristenpart führten 2015 konfidenzbasierte Inversionsangriffe und grundlegende Gegenmaßnahmen ein, darunter MI-Face. Bei ihren Experimenten zur Gesichtserkennung verwendeten sie die AT&T/ORL-Gesichtsdatenbank mit 400 Bildern von 40 Personen. Durch die Optimierung von Pixeln für die Identitätsklasse einer Person entstanden erkennbare Gesichtsrekonstruktionen, die Informationen über das Aussehen der jeweiligen Person offenlegten.

Die MIFace-Implementierung in der Adversarial Robustness Toolbox unterstützt auch Klassifikatoren mit kontinuierlichen Merkmalen. In diesem Beispiel wird sie auf logistische Regression angewendet, die mit den mitgelieferten handgeschriebenen Ziffern von scikit-learn trainiert wurde. Installiere die Abhängigkeiten mit pip install adversarial-robustness-toolbox scikit-learn matplotlib.

import matplotlib.pyplot as plt
import numpy as np
from art.attacks.inference.model_inversion import MIFace
from art.estimators.classification import SklearnClassifier
from sklearn.datasets import load_digits
from sklearn.linear_model import LogisticRegression

images, labels = load_digits(return_X_y=True)
images = images.astype(np.float32) / 16
model = LogisticRegression(max_iter=1000)
model.fit(images, labels)
classifier = SklearnClassifier(model=model, clip_values=(0, 1))

# Rekonstruiere Pixel für die Zielziffernklasse.
attack = MIFace(classifier, max_iter=1000, verbose=False)
reconstructions = attack.infer(x=None, y=np.array([3]))
reconstruction = reconstructions[0]
plt.imshow(reconstruction.reshape(8, 8), cmap="gray")
plt.axis("off")
plt.show()

Die angezeigte Rekonstruktion zeigt Pixel, die anhand der Gradienten des trainierten Klassifikators für die Ziffernklasse Drei optimiert wurden.

Bei Sprachsystemen werden durch Inversion auch Vorgaben rekonstruiert. John X. Morris und Kollegen entwickelten 2024 die Methode zur Inversion von Sprachmodellen, mit der sich vorhergehender Text anhand von Wahrscheinlichkeitsverteilungen für das nächste Token rekonstruieren ließ. Bei kollaborativer Inferenz rekonstruieren Angriffe zur Inversion von Vorgaben Eingabetext aus Zwischenausgaben, die zwischen Beteiligten übertragen werden. Dadurch können Vorgaben über die Grenzen einer verteilten Berechnung hinweg offengelegt werden.

Verwandte Konzepte und Unterschiede#

Diese Begriffe beschreiben unterschiedliche Ziele von Angreifern:

• Mitgliedschaftsinferenz stellt fest, ob ein bekannter Datensatz in den Trainingsdaten vorkam. Bei der Inversion werden unbekannte Inhalte oder Merkmale geschätzt.
• Merkmalsinferenz ergänzt ein sensibles Feld anhand anderer Informationen zu einem Datensatz. Beim ursprünglichen Warfarin-Angriff handelt es sich sowohl um Merkmalsinferenz als auch um Modellinversion.
• Adversarielle Angriffe umfassen Ausweichangriffe, bei denen eine Eingabe verändert wird, um eine falsche Vorhersage auszulösen. Bei der Inversion geht es um die Offenlegung von Informationen.
• Inverse Modellierung schätzt allgemein Ursachen oder Parameter anhand von Beobachtungen. Beim inversen Rendern werden beispielsweise Szeneneigenschaften aus Bildern abgeleitet.

Angriffsfläche verringern#

Zugriffskontrollen beschränken, wer Modelle abfragen oder interne Repräsentationen abrufen kann. Modellüberwachung kann ungewöhnliche Abfragemuster erkennen. Eine geringere Genauigkeit der Konfidenzwerte entfernt Informationen, die bei Angriffen auf Basis der Konfidenz ausgenutzt werden. Datenschutzbewertungen messen die Qualität der Rekonstruktion unter den tatsächlich gewährten Zugriffsrechten.

Differenzielle Privatsphäre begrenzt den Einfluss der Trainingsdaten einer Person durch gezielt kalte Zufälligkeit. Ihre Datenschutzgarantie bezieht sich auf Informationen, die durch die Teilnahme am Datensatz hinzukommen. Inversion kann auch Zusammenhänge auf Bevölkerungsebene ausnutzen, etwa die Beziehung zwischen genetischen Markern und der Medikamentendosis.