I Stolenly Swear That I Am Up to (No) Good: Design and Evaluation of Model Stealing Attacks

## Контекст Модели машинного обучения, предоставляемые в виде услуги, часто являются ключевым компонентом современных систем. Однако их конфиденциальность грозят атаками "стеленного моделирования" (model stealing attacks), при которых злоумышленник может получить доступ к модели, запросив ее многократно для классификации данных, и использовать эти данные для построения собственной модели. Данная проблема нарушает интеллектуальную собственность и является значительным угрозой безопасности. Несмотря на то, что атаки в этой области продолжают развиваться, существуют проблемы с стандартизацией их разработки и оценкой, что мешает сравнению различных подходов и оценке их эффективности. Наша работа является первой попыткой создания стандартизированного подхода к дизайну и оценке атак на модели машинного обучения. ## Метод Мы основываем нашу работу на двух основных элементах: широкой аналитической базе и практических экспериментах. В первую очередь, мы проводим анализ существующих работ по моделированию атак, определяя их уязвимости и ограничения. Затем, мы разрабатываем полную модель угроз, которая позволяет сравнивать различные атаки. Для этого мы создаем фреймворк, позволяющий измерить эффективность атак в зависимости от выбранных моделей и задач. Наши эксперименты основываются на образах изображений и атаках на изображение-классификацию, которые являются наиболее частой конфигурацией в полезных моделях. Мы используем различные модели и архитектуры, чтобы проверить наш фреймворк на ряде сценариев. ## Результаты Мы проводим ряд экспериментов, чтобы протестировать разные атаки, включая атаки на модели типа ResNet и MobileNet. Мы оцениваем параметры эффективности, такие как точность заглушкой, время тренировки и ресурсы, необходимые для атаки. Из результатов экспериментов мы выявляем характеристики, которые лучше всего подходят для построения эффективных атак. Наши результаты показывают, что наибольшую эффективность могут достичь атаки, использующие больший объем данных и сложные архитектуры моделей. Также мы проводим сравнение существующих методов атаки, чтобы определить, какие модели и задачи являются наиболее подверженными угрозам. ## Значимость Наши результаты могут быть применены в различных областях, проверяя не только модели изображение-классификации, но и другие модели, такие как текстовые модели и рекомендательные системы. Мы предлагаем новый подход к оценке моделей на уязвимость к моделированию, который может быть использован для проверки безопасности моделей в различных сценариях. Наши рекомендации