Modeller för maskininlärning (ML) kan anses vara konfidentiella på grund av deras känsliga utbildningsdata, kommersiella värde eller användning i säkerhetstillämpningar. Allt oftare används konfidentiella ML-modeller med allmänt tillgängliga frågegränssnitt. ML-as-a-service-system ("prediktiv analys") är ett exempel: Vissa gör det möjligt för användare att utbilda modeller på potentiellt känsliga data och debitera andra för tillgång på betal-per-query-basis. Spänningen mellan modellsekretess och offentlighet motiverar vår utredning av modellextraheringsattacker. Vid sådana attacker syftar en motståndare med tillgång till black-box, men ingen förkunskaper om en ML-modells parametrar eller träningsdata, till att duplicera funktionen hos (dvs. "steal") modellen. Till skillnad från klassiska inlärningsteoriinställningar kan ML-as-a-service-erbjudanden acceptera partiella funktionsvektorer som indata och inkludera förtroendevärden med förutsägelser. Med tanke på dessa metoder, visar vi enkla, effektiva attacker som extraherar mål ML modeller med nära perfekt trohet för populära modellklasser inklusive logistisk regression, neurala nätverk, och beslut träd. Vi demonstrerar dessa attacker mot online-tjänsterna BigML och Amazon Machine Learning. Vi visar vidare att det naturliga motmåttet att utelämna förtroendevärden från modellutgångar fortfarande medger potentiellt skadliga modellextrahering attacker. Våra resultat belyser behovet av noggrann installation av ML-modeller och nya modellextraherande motåtgärder.
Dessutom syftar de modellextraheringsattacker som föreslås i REF till att dubblera modellens funktionalitet med tillgång till svarta lådor.
Stealing Machine Learning Models via Prediction APIs
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}