Model Inversion

Model inversion là quá trình khôi phục thông tin về dữ liệu đầu vào hoặc dữ liệu huấn luyện của model từ dự đoán, tham số đã học hoặc biểu diễn nội bộ của model. Nói một cách trực quan, phương pháp này chạy ngược chiều dự đoán: thông tin mà model machine learning làm lộ ra trở thành bằng chứng để tái tạo khuôn mặt, ước tính thuộc tính nhạy cảm hoặc khôi phục văn bản. Việc sử dụng trái phép tạo thành một cuộc tấn công quyền riêng tư dữ liệu.

Năm 2014, Matthew Fredrikson, Eric Lantz, Somesh Jha, Simon Lin, David Page và Thomas Ristenpart đã đưa thuật ngữ bảo mật này vào sử dụng thông qua model inversion đối với các model cá nhân hóa liều warfarin. Bằng cách sử dụng một model, thông tin nhân khẩu học và liều dùng ổn định của bệnh nhân, họ suy luận các dấu ấn di truyền liên quan đến phản ứng với thuốc. Đánh giá này sử dụng dữ liệu của Hiệp hội Dược di truyền học Warfarin Quốc tế.

Cách thức hoạt động của Model Inversion#

Kẻ tấn công cần một tín hiệu có thể quan sát và một mục tiêu tái tạo. Điểm độ tin cậy của bộ phân loại cho biết các đầu vào ứng viên khớp với lớp mục tiêu ở mức độ nào. Với quyền truy cập hộp trắng, kẻ tấn công cũng nhìn thấy trọng số model và có thể tính gradient. Quyền truy cập hộp đen cung cấp dự đoán thông qua giao diện truy vấn. Embedding, tức biểu diễn số của đầu vào, là một mục tiêu tái tạo khác.

Phương pháp inversion dựa trên tối ưu hóa bắt đầu bằng một đầu vào ứng viên rồi liên tục điều chỉnh đầu vào đó để giảm hàm mất mát, chẳng hạn như một trừ đi xác suất của lớp mục tiêu. Gradient descent cập nhật đầu vào trong khi model đã huấn luyện được giữ nguyên. Kết quả có thể là một đại diện dễ nhận biết của lớp; khả năng khôi phục chính xác phụ thuộc vào lượng thông tin được giữ lại trong tín hiệu có thể truy cập.

Ultralytics YOLO cung cấp các biểu diễn ảnh thông qua model.embed(), hỗ trợ quy trình trích xuất đặc trưng. Việc chia sẻ các vector này tạo thêm một giao diện cần đưa vào hoạt động kiểm thử quyền riêng tư tập trung vào inversion.

Tái tạo khuôn mặt và ví dụ có thể chạy#

Năm 2015, Fredrikson, Jha và Ristenpart giới thiệu các cuộc tấn công inversion dựa trên độ tin cậy và biện pháp đối phó cơ bản, bao gồm MI-Face. Các thử nghiệm nhận diện khuôn mặt của họ sử dụng cơ sở dữ liệu khuôn mặt AT&T/ORL, gồm 400 ảnh của 40 người. Việc tối ưu hóa pixel theo nhãn nhận dạng của một người tạo ra các khuôn mặt tái tạo có thể nhận diện được, làm lộ thông tin ngoại hình liên kết với danh tính.

Triển khai MIFace trong Adversarial Robustness Toolbox cũng hỗ trợ bộ phân loại đặc trưng liên tục. Ví dụ này áp dụng phương pháp đó cho hồi quy logistic được huấn luyện trên tập chữ số viết tay tích hợp sẵn của scikit-learn. Cài đặt các phần phụ thuộc bằng pip install adversarial-robustness-toolbox scikit-learn matplotlib.

import matplotlib.pyplot as plt
import numpy as np
from art.attacks.inference.model_inversion import MIFace
from art.estimators.classification import SklearnClassifier
from sklearn.datasets import load_digits
from sklearn.linear_model import LogisticRegression

images, labels = load_digits(return_X_y=True)
images = images.astype(np.float32) / 16
model = LogisticRegression(max_iter=1000)
model.fit(images, labels)
classifier = SklearnClassifier(model=model, clip_values=(0, 1))

# Tái tạo pixel cho lớp chữ số mục tiêu.
attack = MIFace(classifier, max_iter=1000, verbose=False)
reconstructions = attack.infer(x=None, y=np.array([3]))
reconstruction = reconstructions[0]
plt.imshow(reconstruction.reshape(8, 8), cmap="gray")
plt.axis("off")
plt.show()

Hình ảnh tái tạo được hiển thị cho thấy các pixel được tối ưu hóa cho lớp chữ số ba bằng gradient của bộ phân loại đã khớp.

Trong các hệ thống ngôn ngữ, inversion cũng có thể khôi phục prompt. Phương pháp Language Model Inversion năm 2024 của John X. Morris và các đồng nghiệp đã tái tạo văn bản đứng trước dựa trên phân phối xác suất token tiếp theo. Trong suy luận cộng tác, các cuộc tấn công prompt inversion tái tạo văn bản đầu vào từ các activation trung gian được truyền giữa những bên tham gia, làm lộ prompt qua ranh giới tính toán phân tán.

Các khái niệm và điểm khác biệt liên quan#

Các thuật ngữ này mô tả những mục tiêu tấn công khác nhau:

• Suy luận tư cách thành viên xác định liệu một bản ghi đã biết có xuất hiện trong dữ liệu huấn luyện hay không; inversion ước tính nội dung hoặc thuộc tính chưa biết.
• Suy luận thuộc tính bổ sung một trường nhạy cảm bằng cách sử dụng thông tin khác về bản ghi. Cuộc tấn công warfarin ban đầu vừa là suy luận thuộc tính vừa là model inversion.
• Tấn công đối kháng bao gồm các cuộc tấn công né tránh, trong đó đầu vào bị thay đổi để tạo ra dự đoán sai. Inversion nhắm đến việc tiết lộ thông tin.
• Mô hình hóa ngược là phương pháp ước tính rộng các nguyên nhân hoặc tham số từ quan sát. Ví dụ, kết xuất ngược ước tính các thuộc tính của cảnh từ hình ảnh.

Giảm thiểu mức độ lộ lọt#

Kiểm soát truy cập giới hạn những ai có thể truy vấn model hoặc lấy được các biểu diễn nội bộ. Giám sát model có thể phát hiện các mẫu truy vấn bất thường, còn việc giảm độ chính xác của điểm confidence sẽ loại bỏ thông tin bị khai thác trong các cuộc tấn công dựa trên confidence. Các đánh giá quyền riêng tư đo lường chất lượng tái tạo trong phạm vi quyền truy cập thực tế được cấp.

Quyền riêng tư vi sai giới hạn mức độ ảnh hưởng của hồ sơ huấn luyện của một cá nhân thông qua tính ngẫu nhiên được hiệu chỉnh. Cam kết quyền riêng tư đề cập đến thông tin được bổ sung do tham gia vào tập dữ liệu. Tấn công đảo ngược cũng có thể khai thác các tương quan ở cấp độ quần thể, chẳng hạn như mối quan hệ giữa các dấu ấn di truyền và liều lượng thuốc.