VeilNN usa ofuscacao de arquitetura para impedir que ataques adversariais se propaguem entre dispositivos
Assim como o BMO, o framework VeilNN ataca o problema de modelos de IA on-device identicos distribuidos em massa, em que um exemplo adversarial criado contra um dispositivo comprometido transfere-se com sucesso para todos os outros que rodam a mesma copia do modelo. A diferenca e a tecnica: VeilNN ofusca o modelo em dois niveis -- obfuscacao de celulas de rede e reorganizacao de camadas -- e funciona em MLPs, CNNs e Vision Transformers. Os resultados mostram sucesso medio de defesa de 49,19% (ate 81,19% dependendo do ataque), mais de 33 pontos percentuais acima das defesas existentes.
O VeilNN parte do mesmo diagnostico de outros trabalhos do periodo sobre seguranca de IA em dispositivos edge: ecossistemas de distribuicao centralizada de modelos (apps moveis, firmware de IoT) espalham a mesma copia de um modelo de rede neural para um numero enorme de dispositivos, e um atacante que extrai o modelo de um unico aparelho comprometido ganha, de fato, acesso de caixa-branca a todos os outros que compartilham aquele modelo -- permitindo criar ataques adversariais que se transferem livremente entre nodes.
Tecnicamente, a defesa do VeilNN difere da abordagem do BMO ao atacar o problema em dois niveis simultaneamente: no nivel arquitetural, aplica ofuscacao de celulas de rede, alterando como blocos funcionais internos do modelo sao organizados e conectados; no nivel de parametros, aplica reorganizacao de camadas (layer assembling), recombinando camadas de forma que preserva a funcao original mas produz uma assinatura estrutural diferente por copia do modelo. A combinacao e descrita como irreversivel e furtiva -- ou seja, dificil de desfazer por um atacante que so tem acesso ao binario ofuscado, e dificil de detectar que a ofuscacao esta presente. Uma vantagem pratica destacada e a compatibilidade com arquiteturas heterogeneas (MLPs, CNNs e Vision Transformers), ao contrario de defesas desenhadas para uma unica familia de modelo.
Nos experimentos, cobrindo quatro tipos de ataque adversarial, o VeilNN atingiu sucesso medio de defesa de 49,19%, chegando a 81,19% no melhor caso, superando defesas existentes por mais de 33 pontos percentuais, mantendo a funcionalidade da tarefa original.
O fato de dois grupos de pesquisa independentes (BMO e VeilNN) atacarem o mesmo problema -- transferibilidade adversarial entre copias identicas de modelos distribuidos -- na mesma leva de publicacoes sugere que a industria de ML on-device esta comecando a tratar a diversificacao por instancia como um requisito de seguranca emergente, equivalente ao que ja se discute para firmware e binarios distribuidos em massa (randomizacao de layout, diversidade de compilacao). Para quem desenvolve produtos moveis ou IoT com modelos embarcados, o recado pratico e que confiar apenas na dificuldade de extrair o modelo (seguranca por obscuridade) nao e suficiente; a suposicao correta e que, uma vez exposto em um dispositivo, o modelo esta exposto para toda a frota, a menos que cada copia seja de fato diferente.