HoneypotNet: মডেল এক্সট্র্যাকশনের বিরুদ্ধে ব্যাকডোর আক্রমণ

মৌলিক তথ্য

• পেপার আইডি: 2501.01090
• শিরোনাম: HoneypotNet: মডেল এক্সট্র্যাকশনের বিরুদ্ধে ব্যাকডোর আক্রমণ
• লেখক: Yixu Wang, Tianle Gu, Yan Teng, Yingchun Wang, Xingjun Ma
• শ্রেণীবিভাগ: cs.CR (ক্রিপ্টোগ্রাফি এবং নিরাপত্তা), cs.CV (কম্পিউটার দৃষ্টিভঙ্গি)
• প্রকাশনার সময়/সম্মেলন: ২০২৫ সালের ২ জানুয়ারি arXiv-এ জমা দেওয়া
• পেপার লিঙ্ক: https://arxiv.org/abs/2501.01090

সারসংক্ষেপ

মডেল এক্সট্র্যাকশন আক্রমণ একটি অনুমান-সময়ের আক্রমণ যা ব্ল্যাকবক্স ভিক্টিম মডেলের বিরুদ্ধে একটি নির্দিষ্ট সংখ্যক প্রশ্ন জিজ্ঞাসা করে, মডেলের পূর্বাভাস ফলাফল ব্যবহার করে একটি প্রতিস্থাপন মডেল প্রশিক্ষণ করে, যার ফলে ভিক্টিম মডেলের কার্যকারিতা এবং কর্মক্ষমতা অনুমান করা হয়। এই ধরনের আক্রমণ উৎপাদন মডেল এবং MLaaS প্ল্যাটফর্মের জন্য গুরুতর নিরাপত্তা হুমকি তৈরি করে এবং মডেল মালিকদের উল্লেখযোগ্য আর্থিক ক্ষতি করতে পারে। এই পেপারটি একটি নতুন প্রতিরক্ষা প্যারাডাইম "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" (attack as defense) প্রস্তাব করে, মডেল আউটপুট সংশোধন করে এটিকে বিষাক্ত করে তোলে, যাতে এই আউটপুটগুলি ব্যবহার করে একটি প্রতিস্থাপন মডেল প্রশিক্ষণ করার চেষ্টা করা যেকোনো দুষ্ট ব্যবহারকারী বিষাক্ত হয়। এই উদ্দেশ্যে, লেখকরা HoneypotNet প্রস্তাব করেছেন, একটি হালকা ওজনের ব্যাকডোর আক্রমণ পদ্ধতি যা ভিক্টিম মডেলের শ্রেণীবিভাগ স্তরকে একটি হানিপট স্তর দিয়ে প্রতিস্থাপন করে এবং দ্বি-স্তরীয় অপ্টিমাইজেশন এবং শ্যাডো মডেল (মডেল এক্সট্র্যাকশন প্রক্রিয়া অনুকরণ করে) এর মাধ্যমে হানিপট স্তর সূক্ষ্ম-সুর করে, মূল কর্মক্ষমতা বজায় রেখে আউটপুটকে বিষাক্ত করে তোলে।

গবেষণা পটভূমি এবং প্রেরণা

সমস্যা সংজ্ঞা

মডেল এক্সট্র্যাকশন আক্রমণ মেশিন লার্নিং অ্যাজ এ সার্ভিস (MLaaS) প্ল্যাটফর্মের মুখোমুখি প্রধান হুমকিগুলির মধ্যে একটি হয়ে উঠেছে। আক্রমণকারীরা API প্রশ্নের মাধ্যমে ব্ল্যাকবক্স মডেল অ্যাক্সেস করে, প্রত্যাবর্তিত পূর্বাভাস ফলাফল ব্যবহার করে কার্যকরভাবে অনুরূপ প্রতিস্থাপন মডেল প্রশিক্ষণ করে, যার ফলে মডেলের বৌদ্ধিক সম্পত্তি চুরি হয়।

সমস্যার গুরুত্ব

১. আর্থিক ক্ষতি: মডেল এক্সট্র্যাকশন আক্রমণ মডেল মালিকদের উল্লেখযোগ্য আর্থিক ক্ষতি করতে পারে ২. বৌদ্ধিক সম্পত্তি সুরক্ষা: গভীর শিক্ষা মডেলের প্রশিক্ষণ খরচ অত্যন্ত বেশি এবং কার্যকর সুরক্ষার প্রয়োজন ३. নিরাপত্তা হুমকি: আক্রমণকারীরা আরও প্রতিকূল আক্রমণ পরিচালনা করতে নিষ্কাশিত মডেল ব্যবহার করতে পারে

বিদ্যমান পদ্ধতির সীমাবদ্ধতা

বিদ্যমান প্রতিরক্ষা পদ্ধতিগুলি প্রধানত দুটি বিভাগে বিভক্ত: १. প্যাসিভ প্রতিরক্ষা: দুষ্ট প্রশ্ন সনাক্ত করা বা পরবর্তী যাচাইয়ের জন্য ওয়াটারমার্ক ব্যবহার করা, তবে পূর্ব জ্ঞানের উপর নির্ভর করে এবং সীমিত কার্যকারিতা রয়েছে २. সক্রিয় প্রতিরক্ষা: মডেল আউটপুট বিঘ্নিত করা বা প্রশ্নের খরচ বৃদ্ধি করে এক্সট্র্যাকশন প্রতিরোধ করা, তবে উচ্চ গণনা ওভারহেড রয়েছে এবং উন্নত আক্রমণ দ্বারা বাইপাস করা যেতে পারে

গবেষণা প্রেরণা

ঐতিহ্যবাহী প্রতিরক্ষা পদ্ধতিগুলি একটি সামরিক প্রতিযোগিতার সমস্যার সম্মুখীন হয়, এই পেপারটি "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" এর একটি নতুন প্যারাডাইম প্রস্তাব করে, সক্রিয়ভাবে প্রতিস্থাপন মডেলকে আক্রমণ করে এর কার্যকারিতা ধ্বংস করে, আক্রমণকারীদের জন্য একটি শক্তিশালী প্রতিরোধক তৈরি করে।

মূল অবদান

१. নতুন প্রতিরক্ষা প্যারাডাইম: প্রথমবারের মতো "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" (attack as defense) প্রতিরক্ষা প্যারাডাইম প্রস্তাব করা, সক্রিয়ভাবে প্রতিস্থাপন মডেলে ব্যাকডোর আক্রমণ পরিচালনা করা २. HoneypotNet পদ্ধতি: মূল শ্রেণীবিভাগ স্তরকে প্রতিস্থাপন করার জন্য একটি হালকা ওজনের হানিপট স্তর ডিজাইন করা, দ্বি-স্তরীয় অপ্টিমাইজেশনের মাধ্যমে বিষাক্ত সম্ভাবনা ভেক্টর তৈরি করা ३. ট্রিগার-মুক্ত ব্যাকডোর: উদ্ভাবনীভাবে সর্বজনীন প্রতিকূল বিঘ্ন (UAP) ব্যাকডোর ট্রিগার হিসাবে ব্যবহার করা, ছবিতে স্পষ্টভাবে ট্রিগার ইনজেক্ট করার প্রয়োজন নেই ४. দ্বৈত কার্যকারিতা: ইনজেক্ট করা ব্যাকডোর মালিকানা যাচাইকরণ এবং প্রতিস্থাপন মডেল কার্যকারিতা ধ্বংস উভয়ই সম্পাদন করতে পারে, একটি শক্তিশালী প্রতিরোধক প্রভাব তৈরি করে ५. পরীক্ষামূলক যাচাইকরণ: চারটি বেঞ্চমার্ক ডেটাসেটে পদ্ধতির কার্যকারিতা যাচাই করা, আক্রমণ সাফল্যের হার ৫६.९९%-९२.३५% পর্যন্ত পৌঁছায়

পদ্ধতির বিস্তারিত বিবরণ

কাজের সংজ্ঞা

একটি ভিক্টিম মডেল F দেওয়া হলে, লক্ষ্য হল একটি হানিপট স্তর H ডিজাইন করা যাতে:

• সাধারণ ইনপুটে মূল কর্মক্ষমতা বজায় থাকে
• যখন আক্রমণকারী H এর আউটপুট ব্যবহার করে একটি প্রতিস্থাপন মডেল F̂ প্রশিক্ষণ দেয়, তখন F̂ একটি ব্যাকডোর ইনজেক্ট করা হয়
• ব্যাকডোর মালিকানা যাচাইকরণ এবং বিপরীত আক্রমণের জন্য ব্যবহার করা যেতে পারে

মডেল আর্কিটেকচার

হানিপট স্তর ডিজাইন

হানিপট স্তর H একটি সম্পূর্ণ সংযুক্ত স্তর হিসাবে সংজ্ঞায়িত:

H(x) = W · F_feat(x) + b

যেখানে F_feat(x) হল ভিক্টিম মডেলের বৈশিষ্ট্য আউটপুট, W এবং b শেখার যোগ্য প্যারামিটার।

দ্বি-স্তরীয় অপ্টিমাইজেশন ফ্রেমওয়ার্ক

মূল অপ্টিমাইজেশন লক্ষ্য:

argmin_θH E_x∈Ds[L(H(x),F(x)) + L(H(x+δ),y_target)]

সীমাবদ্ধতা শর্ত:

argmin_θFs E_x∈Ds[L(Fs(x),H(x))]
argmin_δ E_x∈Dv[L(Fs(x+δ),y_target)]

তিন-পদক্ষেপ পুনরাবৃত্তি প্রক্রিয়া

१. এক্সট্র্যাকশন সিমুলেশন: আক্রমণকারীর মডেল এক্সট্র্যাকশন প্রক্রিয়া অনুকরণ করতে শ্যাডো মডেল Fs ব্যবহার করা २. ট্রিগার জেনারেশন: গ্রেডিয়েন্ট সাইন আপডেটের মাধ্যমে UAP ট্রিগার তৈরি করা ३. সূক্ষ্ম-সুর: ব্যাকডোর ইনজেক্ট করার সময় সাধারণ কার্যকারিতা বজায় রাখতে হানিপট স্তর প্যারামিটার আপডেট করা

প্রযুক্তিগত উদ্ভাবন পয়েন্ট

ট্রিগার হিসাবে সর্বজনীন প্রতিকূল বিঘ্ন

• গভীর শিক্ষা মডেলের অন্তর্নিহিত প্রতিকূল দুর্বলতা ব্যবহার করা
• UAP একটি অ-বিষাক্ত ট্রিগার হিসাবে কাজ করতে পারে, স্পষ্ট ইনজেকশনের প্রয়োজন নেই
• ভাগ করা প্রতিকূল দুর্বলতার মাধ্যমে ব্যাকডোর স্থানান্তর বাস্তবায়ন করা

গতিবেগ অপ্টিমাইজেশনের সাথে ট্রিগার আপডেট

δi = α·δi-1 - (1-α)·ε·sign(E_x∈Dv[g(δi-1)])
g(δ) = ∇δL(Fs(M⊙x + (1-M)⊙δ), y_target)

মাস্ক সীমাবদ্ধতা

ট্রিগার অবস্থান সীমাবদ্ধ করতে এবং গোপনীয়তা বৃদ্ধি করতে পূর্বনির্ধারিত মাস্ক M ব্যবহার করা।

পরীক্ষামূলক সেটআপ

ডেটাসেট

• ভিক্টিম মডেল ডেটাসেট: CIFAR10, CIFAR100, Caltech256, CUBS200
• আক্রমণ ডেটাসেট: ImageNet (১.२ মিলিয়ন ছবি)
• শ্যাডো ডেটাসেট: CC3M (র্যান্ডমভাবে নির্বাচিত ५০০০ ছবি)
• যাচাইকরণ ডেটাসেট: ছোট-স্কেল কাজ-সম্পর্কিত ডেটাসেট

মূল্যায়ন মেট্রিক্স

१. পরিষ্কার পরীক্ষা নির্ভুলতা (Acc_c): প্রতিস্থাপন মডেলের পরিষ্কার পরীক্ষা নমুনায় নির্ভুলতা २. যাচাইকরণ পরীক্ষা নির্ভুলতা (Acc_v): প্রতিস্থাপন মডেল ট্রিগার নমুনায় লক্ষ্য লেবেল পূর্বাভাস দেওয়ার নির্ভুলতা ३. আক্রমণ সাফল্যের হার (ASR): প্রতিরক্ষাকারী সফলভাবে বিপরীত আক্রমণ পরিচালনা করার সাফল্যের হার

তুলনামূলক পদ্ধতি

• এক্সট্র্যাকশন আক্রমণ: KnockoffNets, ActiveThief (Entropy & k-Center), SPSG, BlackBox Dissector
• বেসলাইন প্রতিরক্ষা: কোন প্রতিরক্ষা নেই, DVBW (ডেটাসেট মালিকানা যাচাইকরণ পদ্ধতি)

বাস্তবায়ন বিবরণ

• BLO পুনরাবৃত্তি: ३० পুনরাবৃত্তি, প্রতিটি ३ পদক্ষেপ সহ প্রতিটি ५ epoch
• শ্যাডো মডেল: ResNet18 (হালকা ওজনের)
• ট্রিগার আকার: CIFAR ডেটাসেট ६×६, অন্যান্য ডেটাসেট २८×२८
• অপ্টিমাইজার: SGD, গতিবেগ ०.९, শিক্ষার হার ०.१ (শ্যাডো মডেল)/०.०२ (হানিপট স্তর)

পরীক্ষামূলক ফলাফল

প্রধান ফলাফল

३०k প্রশ্ন বাজেটের অধীনে, HoneypotNet সমস্ত ডেটাসেট এবং আক্রমণ পদ্ধতিতে উল্লেখযোগ্য ফলাফল অর্জন করেছে:

মূল আবিষ্কার

१. উচ্চ সাফল্যের হার: সমস্ত পরীক্ষার পরিস্থিতিতে ASR ५६% অতিক্রম করে २. কর্মক্ষমতা বজায় রাখা: Acc_c কোন প্রতিরক্ষা ছাড়াই মূলত একই, আক্রমণকারীদের সন্দেহ জাগাবে না ३. শক্তিশালী যাচাইকরণ ক্ষমতা: Acc_v বেসলাইন পদ্ধতির চেয়ে উল্লেখযোগ্যভাবে বেশি, কার্যকরভাবে মালিকানা যাচাইকরণ সমর্থন করে ४. হার্ড লেবেল শক্তিশালীতা: BlackBox Dissector এর হার্ড লেবেল আক্রমণের অধীনেও উচ্চ কার্যকারিতা বজায় রাখে

অ্যাবলেশন পরীক্ষা

ট্রিগার আকারের প্রভাব

• ট्रिगर আকার १×१ থেকে १५×१५ পর্যন্ত পরীক্ষা দেখায়:
• বৃহত্তর ট্রিগার উচ্চতর ASR নিয়ে আসে
• ট্রিগার আকার এবং গোপনীয়তার মধ্যে ভারসাম্য প্রয়োজন

বিভিন্ন প্রতিস্থাপন মডেল আর্কিটেকচার

প্রতিরক্ষা শক্তিশালীতা বিশ্লেষণ

ব্যাকডোর সনাক্তকরণ এড়ানো

Cognitive Distillation (CD) সনাক্তকরণ পদ্ধতি ব্যবহার করে পরীক্ষা করা, ফলাফল দেখায় যে পরিষ্কার নমুনা এবং ব্যাকডোর নমুনার L1 নর্ম বিতরণ অত্যন্ত অনুরূপ, UAP ট্রিগার ভাল গোপনীয়তা প্রদর্শন করে।

নিউরন প্রুনিং শক্তিশালীতা

Reconstructive Neuron Pruning (RNP) প্রতিরক্ষার বিরুদ্ধে পরীক্ষা দেখায় যে প্রুনিং প্রক্রিয়ার পরেও, ASR উচ্চ স্তরে থাকে, ব্যাকডোরের শক্তিশালীতা প্রদর্শন করে।

সম্পর্কিত কাজ

মডেল এক্সট্র্যাকশন আক্রমণ

१. ডেটা সংশ্লেষণ পদ্ধতি: GAN বা বিস্তার মডেল ব্যবহার করে সংশ্লেষিত প্রশিক্ষণ ডেটা তৈরি করা २. ডেটা নির্বাচন পদ্ধতি: পূর্ব-সংরক্ষিত ডেটা পুল থেকে তথ্যপূর্ণ নমুনা নির্বাচন করা, যেমন KnockoffNets, ActiveThief

মডেল এক্সট্র্যাকশন প্রতিরক্ষা

१. এক্সট্র্যাকশন সনাক্তকরণ: দুষ্ট ব্যবহারকারী সনাক্ত করতে ব্যবহারকারীর প্রশ্ন আচরণ পর্যবেক্ষণ করা २. কর্ম প্রমাণ: প্রশ্নের খরচ বৃদ্ধি করা ३. মডেল ওয়াটারমার্কিং: যাচাইযোগ্য বৈশিষ্ট্য এম্বেড করা ४. পূর্বাভাস বিঘ্ন: মডেল পূর্বাভাসে বিঘ্ন যোগ করা

ব্যাকডোর আক্রমণ

१. নোংরা ছবি আক্রমণ: প্রশিক্ষণ ডেটায় ট্রিগার সহ নমুনা ইনজেক্ট করা २. পরিষ্কার ছবি আক্রমণ: ছবি সংশোধন ছাড়াই সরাসরি ব্যাকডোর ইনজেক্ট করা

উপসংহার এবং আলোচনা

প্রধান উপসংহার

१. নতুন প্যারাডাইমের কার্যকারিতা: "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" প্যারাডাইম মডেল এক্সট্র্যাকশন প্রতিরক্ষার জন্য নতুন চিন্তাভাবনা প্রদান করে २. প্রযুক্তিগত সম্ভাব্যতা: HoneypotNet সফলভাবে হালকা ওজনের ব্যাকডোর ইনজেকশন বাস্তবায়ন করে ३. ব্যবহারিক মূল্য: পদ্ধতি বিভিন্ন আক্রমণ পরিস্থিতিতে চমৎকার পারফরম্যান্স প্রদর্শন করে, বাস্তব প্রয়োগের সম্ভাবনা রয়েছে

সীমাবদ্ধতা

१. গণনা ওভারহেড: যদিও তুলনামূলকভাবে হালকা, তবুও দ্বি-স্তরীয় অপ্টিমাইজেশন প্রক্রিয়ার প্রয়োজন २. ট্রিগার দৃশ্যমানতা: বৃহত্তর ট্রিগার আবিষ্কৃত হতে পারে ३. আর্কিটেকচার নির্ভরতা: বিভিন্ন প্রতিস্থাপন মডেল আর্কিটেকচারের প্রভাব অসামঞ্জস্যপূর্ণ ४. প্রতিরক্ষা প্রতিদ্বন্দ্বিতা: আরও উন্নত প্রতিরক্ষা পদ্ধতির মুখোমুখি হতে পারে

ভবিষ্যত দিকনির্দেশনা

१. শ্যাডো মডেল একীকরণ: শক্তিশালীতা উন্নত করতে একাধিক শ্যাডো মডেল ব্যবহার করা २. স্ব-অভিযোজিত ট্রিগার: আরও গোপনীয় ট্রিগার জেনারেশন পদ্ধতি ডিজাইন করা ३. প্রয়োগের সম্প্রসারণ: পদ্ধতি অন্যান্য ধরনের মডেল এবং কাজে প্রসারিত করা ४. তাত্ত্বিক বিশ্লেষণ: আরও গভীর তাত্ত্বিক গ্যারান্টি প্রদান করা

গভীর মূল্যায়ন

সুবিধা

१. শক্তিশালী উদ্ভাবনী: প্রথমবারের মতো "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" প্রতিরক্ষা প্যারাডাইম প্রস্তাব করা, চিন্তাভাবনা উদ্ভাবনী २. উন্নত প্রযুক্তি: UAP এবং ব্যাকডোর আক্রমণ চতুরভাবে একত্রিত করা, ট্রিগার-মুক্ত ইনজেকশনের প্রযুক্তিগত সমস্যা সমাধান করা ३. ব্যাপক পরীক্ষা: একাধিক ডেটাসেট, একাধিক আক্রমণ পদ্ধতিতে ব্যাপক মূল্যায়ন পরিচালনা করা ४. উচ্চ ব্যবহারিক মূল্য: পদ্ধতি হালকা ওজনের, বাস্তব সিস্টেমে স্থাপনের জন্য উপযুক্ত ५. শক্তিশালী প্রতিরোধক প্রভাব: মালিকানা যাচাইকরণ এবং কার্যকারিতা ধ্বংস উভয়ই বাস্তবায়ন করে, শক্তিশালী প্রতিরোধক প্রভাব তৈরি করে

অপূর্ণতা

१. অপর্যাপ্ত তাত্ত্বিক বিশ্লেষণ: পদ্ধতির সংগ্রহ এবং নিরাপত্তার জন্য তাত্ত্বিক গ্যারান্টির অভাব २. প্রতিরক্ষা সীমাবদ্ধতা: কিছু উন্নত আক্রমণ পদ্ধতির বিরুদ্ধে শক্তিশালীতা আরও যাচাইয়ের প্রয়োজন ३. নৈতিক বিবেচনা: প্রতিস্থাপন মডেলে সক্রিয় আক্রমণ নৈতিক এবং আইনি সমস্যা জড়িত হতে পারে ४. প্রয়োগের পরিধি: প্রধানত ছবি শ্রেণীবিভাগ কাজের জন্য, অন্যান্য কাজের প্রয়োগযোগ্যতা অজানা

প্রভাব

१. একাডেমিক অবদান: মডেল নিরাপত্তা প্রতিরক্ষা ক্ষেত্রে নতুন গবেষণা দিকনির্দেশনা প্রদান করা २. ব্যবহারিক মূল্য: MLaaS প্ল্যাটফর্মের জন্য ব্যবহারিক প্রতিরক্ষা সরঞ্জাম প্রদান করা ३. পুনরুৎপাদনযোগ্যতা: পেপার বিস্তারিত বাস্তবায়ন বিবরণ প্রদান করে, পুনরুৎপাদন সহজ করে ४. অনুপ্রেরণামূলক: আরও অনেক "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" ধরনের প্রতিরক্ষা পদ্ধতি অনুপ্রাণিত করতে পারে

প্রয়োগের পরিস্থিতি

१. MLaaS প্ল্যাটফর্ম: ক্লাউড মেশিন লার্নিং সেবার মডেল সুরক্ষা २. বাণিজ্যিক মডেল: উচ্চ-মূল্যের গভীর শিক্ষা মডেলের বৌদ্ধিক সম্পত্তি সুরক্ষা ३. API সেবা: মডেল চুরি প্রতিরোধের প্রয়োজন অনলাইন অনুমান সেবা ४. প্রান্ত স্থাপনা: সম্পদ-সীমিত পরিবেশে হালকা ওজনের প্রতিরক্ষা

রেফারেন্স

পেপারটি মেশিন লার্নিং নিরাপত্তা, মডেল এক্সট্র্যাকশন আক্রমণ এবং প্রতিরক্ষা, ব্যাকডোর আক্রমণ এবং অন্যান্য ক্ষেত্রের গুরুত্বপূর্ণ কাজ উদ্ধৃত করে, যা গবেষণার জন্য একটি দৃঢ় তাত্ত্বিক ভিত্তি প্রদান করে।

সামগ্রিক মূল্যায়ন: এই পেপারে প্রস্তাবিত HoneypotNet পদ্ধতি মডেল এক্সট্র্যাকশন প্রতিরক্ষা ক্ষেত্রে গুরুত্বপূর্ণ উদ্ভাবনী তাৎপর্য রয়েছে, "আক্রমণকে প্রতিরক্ষা হিসাবে ব্যবহার করা" চিন্তাভাবনা এই ক্ষেত্রের জন্য নতুন গবেষণা দিকনির্দেশনা খুলে দেয়। প্রযুক্তিগত বাস্তবায়ন চতুর, পরীক্ষামূলক মূল্যায়ন ব্যাপক, উচ্চ একাডেমিক এবং ব্যবহারিক মূল্য রয়েছে। যদিও তাত্ত্বিক বিশ্লেষণ এবং কিছু প্রযুক্তিগত বিবরণে উন্নতির জায়গা রয়েছে, সামগ্রিকভাবে এটি একটি উচ্চ-মানের গবেষণা কাজ।