Modeller för maskininlärning (ML) används i allt större utsträckning i naturen för att utföra ett brett spektrum av uppgifter. I detta arbete frågar vi i vilken utsträckning en motståndare kan stjäla funktionalitet av sådana "offer" modeller baserade enbart på blackbox interaktioner: bild i, förutsägelser ut. I motsats till tidigare arbete studerar vi komplexa svartboxmodeller för offer, och en motståndare som saknar kunskap om tåg-/testdata som används av modellen, dess interna och semantik över modellutgångar. Vi formulerar modell funktionalitet stjäla som en tvåstegsstrategi: (i) fråga en uppsättning indata bilder till blackbox modellen för att få förutsägelser; och (ii) träna en "knockoff" med queried image-prediction par. Vi gör flera anmärkningsvärda observationer: (a) fråga slumpmässiga bilder från en annan distribution än den av Blackbox träningsdata resulterar i en väl fungerande knockoff; (b) Detta är möjligt även när knockoff representeras med hjälp av en annan arkitektur; och (c) vår förstärkning inlärningssätt dessutom förbättrar frågeprov effektivitet i vissa inställningar och ger prestandavinster. Vi validerar modell funktionalitet stjäla på en rad datauppsättningar och uppgifter, samt visar att en rimlig knockoff av en bild analys API kan skapas för så lite som $ 30.
Detta följdes av arbete på Knockoff Nets REF, där författarna visade att genom att bara fråga med slumpmässiga bilder som härrör från en helt annan distribution än den svarta boxen mål utbildningsdata, kunde man inte bara träna en väl fungerande knockoff men det var möjligt att uppnå hög noggrannhet även när knockoff byggdes med hjälp av en helt annan arkitektur.
Knockoff Nets: Stealing Functionality of Black-Box Models
{'venue': '2019 IEEE/CVF Conference on Computer Vision and Pattern Recognition (CVPR)', 'journal': '2019 IEEE/CVF Conference on Computer Vision and Pattern Recognition (CVPR)', 'mag_field_of_study': ['Computer Science']}