Model Inversion

La inversión de modelos consiste en recuperar información sobre las entradas o los datos de entrenamiento de un modelo a partir de sus predicciones, parámetros aprendidos o representaciones internas. En términos intuitivos, invierte el proceso de predicción: la información que expone un modelo de aprendizaje automático se convierte en indicios para reconstruir un rostro, estimar un atributo sensible o recuperar texto. Su uso no autorizado constituye un ataque a la privacidad de los datos.

Matthew Fredrikson, Eric Lantz, Somesh Jha, Simon Lin, David Page y Thomas Ristenpart introdujeron el término de seguridad en 2014 mediante la inversión de modelos personalizados para dosificar warfarina. A partir de un modelo, información demográfica y la dosis estable de un paciente, dedujeron marcadores genéticos asociados a la respuesta al fármaco. La evaluación utilizó datos del Consorcio Internacional de Farmacogenética de la Warfarina.

Cómo funciona la inversión de modelos#

Un atacante necesita una señal observable y un objetivo de reconstrucción. Las puntuaciones de confianza de un clasificador revelan hasta qué punto las entradas candidatas coinciden con una clase objetivo. Con acceso de caja blanca, el atacante también ve los pesos del modelo y puede calcular gradientes. El acceso de caja negra proporciona predicciones a través de una interfaz de consulta. Las incrustaciones, representaciones numéricas de las entradas, ofrecen otro objetivo para la reconstrucción.

La inversión basada en optimización parte de una entrada candidata y la modifica repetidamente para reducir una función de pérdida, como uno menos la probabilidad de la clase objetivo. El descenso de gradiente actualiza la entrada mientras el modelo entrenado permanece fijo. El resultado puede ser un representante reconocible de la clase; la recuperación exacta depende de la información que conserve la señal accesible.

Ultralytics YOLO expone representaciones de imágenes mediante model.embed(), lo que permite flujos de trabajo de extracción de características. Compartir estos vectores crea una interfaz adicional que debe incluirse en las pruebas de privacidad centradas en la inversión.

Reconstrucción de rostros y ejemplo ejecutable#

En 2015, Fredrikson, Jha y Ristenpart presentaron ataques de inversión basados en la confianza y contramedidas básicas, incluido MI-Face. Sus experimentos de reconocimiento facial utilizaron la base de datos de rostros AT&T/ORL, que contiene 400 imágenes de 40 personas. La optimización de píxeles para la etiqueta de identidad de una persona generó reconstrucciones de rostros reconocibles y expuso información sobre su aspecto vinculada a su identidad.

La implementación de MIFace en Adversarial Robustness Toolbox también admite clasificadores de características continuas. Este ejemplo la aplica a una regresión logística entrenada con los dígitos escritos a mano incluidos en scikit-learn. Instala las dependencias con pip install adversarial-robustness-toolbox scikit-learn matplotlib.

import matplotlib.pyplot as plt
import numpy as np
from art.attacks.inference.model_inversion import MIFace
from art.estimators.classification import SklearnClassifier
from sklearn.datasets import load_digits
from sklearn.linear_model import LogisticRegression

images, labels = load_digits(return_X_y=True)
images = images.astype(np.float32) / 16
model = LogisticRegression(max_iter=1000)
model.fit(images, labels)
classifier = SklearnClassifier(model=model, clip_values=(0, 1))

# # Reconstruye los píxeles de la clase del dígito objetivo.
attack = MIFace(classifier, max_iter=1000, verbose=False)
reconstructions = attack.infer(x=None, y=np.array([3]))
reconstruction = reconstructions[0]
plt.imshow(reconstruction.reshape(8, 8), cmap="gray")
plt.axis("off")
plt.show()

La reconstrucción mostrada contiene píxeles optimizados para la clase del dígito tres mediante los gradientes del clasificador entrenado.

En los sistemas de lenguaje, la inversión también permite recuperar indicaciones. El método de inversión de modelos de lenguaje de John X. Morris y sus colaboradores, publicado en 2024, reconstruyó texto precedente a partir de distribuciones de probabilidad del siguiente token. En la inferencia colaborativa, los ataques de inversión de indicaciones reconstruyen texto de entrada a partir de activaciones intermedias transmitidas entre participantes, lo que expone las indicaciones a través de un límite de cálculo distribuido.

Conceptos relacionados y diferencias#

Estos términos describen distintos objetivos de los atacantes:

• La inferencia de pertenencia determina si un registro conocido apareció en los datos de entrenamiento; la inversión estima contenidos o atributos desconocidos.
• La inferencia de atributos completa un campo sensible utilizando otra información sobre un registro. El ataque original de la warfarina es a la vez un caso de inferencia de atributos y de inversión de modelos.
• Los ataques adversarios incluyen ataques de evasión que modifican una entrada para provocar una predicción incorrecta. La inversión busca divulgar información.
• El modelado inverso estima, en sentido amplio, causas o parámetros a partir de observaciones. La renderización inversa, por ejemplo, estima las propiedades de una escena a partir de imágenes.

Reducir la exposición#

Los controles de acceso restringen quién puede consultar los modelos u obtener representaciones internas. La supervisión de modelos puede detectar patrones de consulta inusuales, mientras que reducir la precisión de las puntuaciones de confianza elimina información que se aprovecha en los ataques basados en la confianza. Las evaluaciones de privacidad miden la calidad de la reconstrucción según el acceso concedido realmente.

La privacidad diferencial limita la influencia de los registros de entrenamiento de una persona mediante aleatoriedad calibrada. Su garantía de privacidad se refiere a la información que se añade al participar en el conjunto de datos. La inversión también puede aprovechar correlaciones a nivel poblacional, como la relación entre marcadores genéticos y la dosis de un medicamento.