严格速率限制下针对在线 API 调用的主动深度学习攻击

机器学习已被应用于广泛领域，其中部分以应用程序编程接口（APIs）形式在线提供，采用免费（试用）或付费订阅。本文中，我们以针对在线分类器 API 的黑盒攻击形式研究对抗机器学习。我们从一种基于深度学习的探索性（推断）攻击入手，其旨在构建一个能提供与目标分类器相似分类结果（标签）的分类器。为最小化推断分类器与目标分类器返回标签间的差异，我们表明基于深度学习的探索性攻击需要大量带标签训练数据样本。这些标签可通过调用在线 API 收集，但通常对允许 API 调用次数存在严格速率限制。为缓解有限训练数据的影响，我们开发了一种主动学习方法，其首先基于少量 API 调用构建分类器，并利用该分类器筛选样本以进一步收集其标签。随后，使用更多训练数据样本构建新分类器。此更新过程可重复多次。我们表明，该主动学习方法仅用有限数量训练数据样本即可构建出与目标分类器统计差异微小的对抗分类器。我们进一步基于由探索性攻击构建的推断分类器考虑规避与 causative（投毒）攻击。规避攻击确定目标分类器可能误分类的样本，而 causative 攻击提供错误训练数据样本以降低重训练分类器的可靠性。这些攻击的成功表明，在训练数据有限的现实情形下，对抗机器学习已成为一种可行的威胁。