Extraction de modèle
Reconstitution d'un modèle propriétaire par interrogation répétée de son interface, qui transfère une valeur sans franchir aucun périmètre de sécurité.
Tramèr, Zhang, Juels, Reiter et Ristenpart, « Stealing Machine Learning Models via Prediction APIs », USENIX Security, 2016 : des modèles hébergés par BigML et Amazon sont reconstitués avec quelques centaines à quelques milliers de requêtes. L'attaquant interroge une interface de prédiction un très grand nombre de fois avec des entrées choisies. Il entraîne ensuite un modèle local sur les couples entrée et réponse obtenus, jusqu'à tenir un substitut de performance voisine. L'attaque ne suppose aucune intrusion, aucun identifiant volé ni aucune vulnérabilité logicielle : elle n'emploie que le service tel qu'il est vendu. Les dispositifs de sécurité ne la voient pas, et le droit la qualifie mal. Le préjudice est pourtant réel, et double. La valeur de l'investissement d'entraînement change de mains, et le substitut sert ensuite à préparer d'autres attaques, car les exemples adversariaux construits contre lui se transfèrent souvent au modèle d'origine. Les contre-mesures usuelles arbitrent toutes entre protection et qualité de service : limitation du débit de requêtes, scores renvoyés moins précis, détection des profils d'interrogation systématiques, marquage du modèle. Pour l'assurance, cette exposition relève de la propriété intellectuelle plutôt que de la police cyber classique, et beaucoup de rédactions ne font pas encore la distinction.
L'article Stealing Machine Learning Models via Prediction APIs, présenté au colloque USENIX Security de 2016, a montré qu'un modèle commercial exposé par une interface de prédiction pouvait être reconstitué avec une fidélité élevée à partir d'un nombre limité de requêtes.
model extraction, vol de modèle, model stealing, attaque par extraction
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.