你信任你的模型吗？深度学习生态系统中新兴的恶意软件威胁

由于计算和技术要求，训练高质量的深度学习模型是一项具有挑战性的任务。越来越多的个人、机构和公司依赖公共仓库中提供的预训练第三方模型。这些模型通常被直接使用或集成到产品流水线中，而没有采取特别的预防措施，因为它们实际上只是张量形式的数据，被认为是安全的。在本文中，我们提高人们对针对神经网络的新型机器学习供应链威胁的认识。我们介绍了 MaleficNet 2.0，这是一种将自提取、自执行恶意软件嵌入神经网络的新技术。MaleficNet 2.0 利用扩频信道编码结合纠错技术，将恶意负载注入深度神经网络的参数中。MaleficNet 2.0 注入技术具有隐蔽性，不会降低模型性能，并且对移除技术具有鲁棒性。我们设计的方法适用于传统学习和分布式学习设置（如联邦学习），并证明即使使用较少的位数表示模型参数，该方法仍然有效。最后，我们使用 MaleficNet 2.0 实现了一个概念验证的自提取神经网络恶意软件，展示了该攻击针对广泛采用的机器学习框架的可行性。我们希望通过这项工作提高研究界和业界对这些新型危险攻击的认识，并鼓励进一步研究针对此类威胁的缓解技术。