Attaques de vol de modèles sur l'IA dans le cloud : une nouvelle méthode de trojan zéro requête émerge

Les services d'intelligence artificielle basés dans le cloud, du GPT-4 d'OpenAI à Gemini de Google et Claude d'Anthropic, sont de plus en plus considérés comme des joyaux de la couronne par leurs développeurs, protégés par des couches de chiffrement, d'authentification et de politiques d'utilisation. Mais une nouvelle méthode d'attaque présentée cette semaine à la conférence ACM sur la sécurité informatique et des communications (CCS) remet en cause ces défenses à un niveau fondamental.

Surnommée « Zero-Query Model Stealing » (ZQMS), la technique peut reconstruire l'architecture, la taille des poids et même les hyperparamètres approximatifs d'un modèle victime en observant uniquement les signaux de canal auxiliaire générés lors de l'inférence, sans que l'attaquant n'effectue jamais un seul appel API.

Comment ça marche

L'attaque est d'une simplicité trompeuse dans son concept, bien que techniquement sophistiquée dans son exécution. Les chercheurs ont découvert que les plateformes cloud déploient souvent plusieurs modèles d'IA sur du matériel partagé, un serveur GPU ou TPU. En plaçant un processus malveillant sur la même machine physique (réalisable via des instances cloud comme les instances GPU AWS EC2), un attaquant peut surveiller les schémas d'accès mémoire, le comportement du cache et les variations de temporisation.

« Lorsqu'un modèle traite une requête utilisateur, il effectue une séquence spécifique de multiplications matricielles, d'opérations d'attention et de normalisations de couches », explique le Dr Li Xia, auteur principal de l'étude et chercheur à l'Université Tsinghua. « Ces opérations laissent une 'empreinte' distincte dans les compteurs matériels et la latence mémoire. Nous avons entraîné un petit réseau de neurones pour décoder cette empreinte en une reconstruction de l'architecture du modèle original. »

La nature zéro requête de l'attaque est sa caractéristique la plus alarmante. Le vol de modèle traditionnel nécessite des milliers de requêtes API (souvent coûteuses) pour entraîner un modèle de substitution qui imite l'original. ZQMS contourne complètement cela, ce qui le rend beaucoup plus difficile à détecter.

Implications pour la sécurité et la propriété intellectuelle

Pour des entreprises comme OpenAI, Anthropic et Meta AI, dont les modèles commerciaux reposent sur la nature propriétaire de leurs modèles, les implications sont graves. Une attaque ZQMS réussie pourrait permettre à un concurrent de cloner l'architecture et le pipeline d'entraînement d'un modèle, contournant ainsi des années de recherche et des milliards de dollars d'investissement.

« C'est un changement de paradigme dans la sécurité des modèles », déclare le Dr William Grant, expert en cybersécurité au MIT. « Jusqu'à présent, le modèle de menace supposait que l'attaquant aurait besoin d'une interaction directe. Cela montre que le simple fait d'héberger un modèle sur une infrastructure cloud partagée suffit à divulguer ses secrets. »

L'attaque fonctionnerait à la fois sur les LLM basés sur des transformers et les réseaux de neurones convolutifs utilisés pour la reconnaissance d'images. L'équipe a réussi à voler des approximations d'architectures populaires, notamment GPT-2 (un proxy pour les LLM plus grands) et ResNet-50 sur les plateformes Google Cloud et AWS. Ils n'ont pas tenté de voler GPT-4 ou d'autres modèles restreints, mais affirment que la technique devrait passer à l'échelle.

Atténuations et perspectives

Les chercheurs suggèrent plusieurs contre-mesures. Premièrement, les fournisseurs de cloud pourraient déployer des modèles sur du matériel dédié et isolé pour empêcher les attaques de co-localisation. Deuxièmement, ils pourraient obscurcir les schémas d'accès mémoire en injectant des opérations factices ou en utilisant des implémentations à temps constant des couches critiques. Troisièmement, des enclaves sécurisées, telles qu'Intel SGX ou AMD SEV, pourraient protéger les poids des modèles même en cas d'hyperviseur compromis.

Les principaux fournisseurs de cloud ont été notifiés. Google et Amazon Web Services ont tous deux publié des déclarations soulignant leur engagement en faveur de la sécurité et indiquant qu'ils évaluent les conclusions de l'article. OpenAI a refusé de commenter mais travaillerait sur un rapport technique en réponse.

L'attaque met en évidence une tension croissante dans l'industrie de l'IA : la volonté d'obtenir une inférence plus rapide et moins chère via du matériel partagé par rapport à la nécessité de protéger une propriété intellectuelle de plus en plus précieuse. Alors que les modèles d'IA sont intégrés dans tout, de la santé à la finance, les enjeux du vol de modèles montent en flèche.

L'article ZQMS est disponible sur arXiv et sera présenté lors d'un atelier CCS dédié à l'apprentissage automatique adversarial le mois prochain. Les auteurs ont publié un outil de détection de preuve de concept pour aider les fournisseurs de cloud à identifier les fuites potentielles de canal auxiliaire, mais ils soulignent qu'une défense complète nécessite des changements au niveau matériel.