帕累托安全机器学习（PSML）：推理服务系统的指纹识别与安全防护

模型服务系统日益流行，尤其在实时网络应用中。在此类系统中，用户向服务器发送查询并指定所需的性能指标（如期望的准确率、延迟）。服务器在后端维护一组模型（模型库），并依据指定指标服务查询。本文考察此类系统的安全性，特别是针对模型提取攻击的鲁棒性。现有的黑盒攻击假设可重复选择单一模型来服务推理请求。现代推理服务系统打破了这一假设，因此无法直接用于提取受害模型，因为模型被隐藏在服务系统所暴露的抽象层之后，攻击者不再能识别其交互的是哪个模型。为此，我们首先提出一种查询高效的指纹识别算法，使攻击者能够稳定触发任意期望的模型。我们表明，通过使用我们的指纹识别算法，模型提取的保真度与准确率得分可在与攻击单一显式指定模型所得得分相差 $1\%$ 以内，且相比朴素攻击准确率最高提升 $14.6\%$ 、保真度最高提升 $7.7\%$ 。其次，我们以基于噪声的防御机制对抗所提攻击，该机制通过向指定性能指标添加噪声来阻止指纹识别。所提防御策略使攻击的准确率与保真度分别降低最高 $9.8\%$ 与 $4.8\%$ （在中型模型提取上）。第三，我们表明所提防御在保护水平与系统goodput之间引入了根本性权衡，可在保持可接受goodput（ $>80\%$ ）的同时实现可配置且显著的受害模型提取防护。我们在真实系统中实现了所提防御，并计划开源。