Inversión de Redes Neuronales en un Entorno Adversarial mediante Alineación de Conocimiento de Fondo

La amplia aplicación de técnicas de aprendizaje profundo ha suscitado nuevas preocupaciones de seguridad sobre los datos de entrenamiento y los datos de prueba. En este trabajo, investigamos el problema de la inversión del modelo en entornos adversariales, donde el adversario tiene como objetivo inferir información sobre los datos de entrenamiento y los datos de prueba del modelo objetivo a partir de los valores de predicción del modelo. Desarrollamos una solución para entrenar una segunda red neuronal que actúa como la inversa del modelo objetivo para realizar la inversión. El modelo de inversión se puede entrenar con accesos de caja negra al modelo objetivo. Proponemos dos técnicas principales para entrenar el modelo de inversión en los entornos adversariales. Primero, aprovechamos el conocimiento de fondo del adversario para componer un conjunto auxiliar para entrenar el modelo de inversión, que no requiere acceso a los datos de entrenamiento originales. En segundo lugar, diseñamos una técnica basada en truncamiento para alinear el modelo de inversión y permitir una efectiva inversión del modelo objetivo a partir de predicciones parciales que el adversario obtiene sobre los datos del usuario víctima. Evaluamos sistemáticamente nuestro enfoque en diversas tareas de aprendizaje automático y arquitecturas de modelos en múltiples conjuntos de datos de imágenes. También confirmamos nuestros resultados en Amazon Rekognition, una API comercial de predicción que ofrece "aprendizaje automático como servicio". Mostramos que incluso con un conocimiento parcial sobre los datos de entrenamiento del modelo de caja negra, y con solo valores de predicción parciales, nuestro enfoque de inversión aún puede realizar una inversión precisa del modelo objetivo y superar enfoques anteriores.