Affrontare la minaccia degli attacchi di avvelenamento nei modelli di deep learning

L'industria finanziaria sta sempre più utilizzando Modelli di Deep Learning per prendere decisioni importanti. Anche se questi modelli possono offrire spunti preziosi, possono anche diventare obiettivi per gli attaccanti. Un modo in cui ciò può accadere è attraverso qualcosa chiamato “Attacchi di avvelenamento.” Questi attacchi comportano l'inserimento di dati dannosi nel processo di addestramento per far comportare i modelli in modi inattesi. Questo articolo si concentra su come tali attacchi possano essere nascosti all'interno dei dati delle sequenze di eventi, in particolare nelle transazioni finanziarie.

#I Rischi dei Modelli di Deep Learning

I modelli di deep learning sono sistemi complessi che apprendono da grandi quantità di dati. Possono aiutare in varie applicazioni, dalla raccomandazione di prodotti alla rilevazione di frodi. Tuttavia, poiché questi modelli si basano su schemi appresi dai dati, se qualcuno manipola i dati di addestramento, può controllare ciò che il modello fa. Questo rappresenta un serio rischio per la sicurezza, specialmente in settori ad alto rischio come la finanza.

#Come Funzionano gli Attacchi di Avvelenamento

Un attacco di avvelenamento ha lo scopo di introdurre dati cattivi nel modello durante il suo addestramento. Ad esempio, se un attaccante introduce una sequenza specifica di transazioni che il modello è stato addestrato a riconoscere, può manipolare le uscite del modello quando si verificano transazioni simili.

#Tipi di Attacchi

Ci sono diversi livelli di attacchi di avvelenamento a seconda di come manipolano i dati:

1. Attacchi a Livello di Carattere: Questi attacchi si concentrano sul cambiare singoli caratteri nei dati testuali.

2. Attacchi a Livello di Token: Qui, parole intere o token vengono sostituiti con sinonimi o parole simili.

3. Attacchi a Livello di Frase: Questo approccio crea nuove frasi che mantengono un significato simile all'originale, ma sono realizzate per ingannare il modello.

Nei modelli finanziari, può essere più difficile implementare questi tipi di attacchi, poiché i dati sono spesso strutturati e non così semplici come il testo.

#La Sfida di Nascondere gli Attacchi nei Dati Finanziari

La complessità delle transazioni finanziarie rende più difficile introdurre backdoor, che sono sequenze specifiche di dati che possono provocare un comportamento desiderato dal modello. A differenza di tipi di dati più semplici come immagini o testo, che hanno caratteristiche chiare, i dati finanziari consistono in sequenze di codici di transazione e timestamp. Questo presenta sia una sfida che un'opportunità per gli attaccanti.

#Metodi Proposti per Backdoor Nascoste

Nella nostra ricerca, proponiamo un metodo per introdurre backdoor nascoste nei modelli finanziari mantenendo le prestazioni originali del modello su dati puliti. L'idea è di sostituire un modello regolare con una versione "avvelenata" che sia consapevole della backdoor.

#Come Funziona l'Attacco

Presentiamo diverse strategie per implementare un attacco di avvelenamento nascosto:

1. Token Rari Avvelenati: Questo metodo prevede di aggiungere codici di transazione raramente usati alla fine delle sequenze delle transazioni regolari. Questi codici sono collegati alla classe opposta che il modello dovrebbe prevedere.

2. Strutture Compiute Avvelenate: Invece di usare token rari, questo metodo coinvolge la creazione di coppie di codici di transazione comuni e l'aggiunta di queste coppie alle sequenze.

3. Avvelenamento dei Pesi: Questo attacco modifica i pesi interni del modello mantenendo i dati invariati. L'obiettivo è alterare come il modello interpreta specifici codici di transazione.

4. Modello a Tre Teste: Questo approccio utilizza un modello con tre percorsi separati, o teste. Una testa si concentra sulle previsioni accurate per i dati puliti, un'altra per i dati avvelenati e una terza è utilizzata per identificare se i dati in arrivo sono puliti o avvelenati.

#Metriche per Valutare la Clandestinità

Per misurare quanto bene un attacco può passare inosservato, usiamo due metriche chiave:

• Intersect: Questa misura quanto sono simili le previsioni del modello avvelenato rispetto a quelle del modello originale pulito.

• Correlazione di Spearman: Questa valuta quanto sono correlate le probabilità previste tra entrambi i modelli.

Se il modello avvelenato produce risultati simili al modello pulito, suggerisce che l'attacco è ben nascosto.

#Panoramica dei Dati

Nei nostri esperimenti, abbiamo utilizzato tre dataset ad accesso aperto che consistono nelle storie delle transazioni dei clienti bancari. Ogni transazione è caratterizzata da un Codice di Categoria del Mercante (MCC) e un timestamp. L'obiettivo è prevedere vari esiti binari basati su queste sequenze.

1. Predizione di Abbandono: Determinare se un cliente smetterà di utilizzare un servizio.

2. Predizione dell'Età: Stimare la fascia d'età di un cliente in base alla sua storia di transazioni.

3. Predizione dello Stato Civile: Identificare lo stato civile di una persona in base ai comportamenti delle transazioni.

#Preprocessing dei Dati

Prima di eseguire i nostri esperimenti, abbiamo dovuto pulire e organizzare i nostri dati. Abbiamo impostato una lunghezza massima per le sequenze, rimuovendo i clienti con troppe poche transazioni. Questo aiuta a garantire che i nostri dataset siano bilanciati e utilizzabili per il testing.

#Architetture del Modello Utilizzate

Abbiamo esplorato diverse architetture di modelli per vedere come reagiscono agli attacchi di avvelenamento, tra cui:

• LSTM (Long Short-Term Memory): Un tipo di rete neurale ricorrente efficace per la previsione di sequenze.

• CNN (Convolutional Neural Network): Anche se solitamente usate per dati di immagine, le CNN possono funzionare anche per serie temporali.

• Modelli Transformer: Questi sono all'avanguardia in molti campi, noti per la loro capacità di gestire sequenze in modo efficace.

#Risultati dalle Strategie di Avvelenamento

Abbiamo condotto vari esperimenti con le diverse strategie di avvelenamento che abbiamo delineato in precedenza. L'efficacia di ogni attacco variava a seconda del dataset e del modello utilizzato.

#Token Rari Avvelenati e Strutture Compiute

Entrambi i metodi sono stati efficaci ma hanno mostrato livelli di successo diversi a seconda del dataset. In alcune istanze, particolarmente con il modello Transformer, i risultati hanno rivelato che gli attacchi potevano avere successo o fallire senza un grande impatto visibile sulle prestazioni generali del modello su dati puliti.

#Valutazione dell'Attacco di Avvelenamento dei Pesi

L'approccio di avvelenamento dei pesi si è rivelato essere il metodo più efficace, rendendo difficile rilevare qualsiasi manomissione del modello. Questa strategia ha permesso al modello di mantenere alta accuratezza sui dati puliti pur funzionando male sui dati avvelenati.

#Prestazioni del Modello a Tre Teste

Il modello a tre teste si è rivelato promettente, poiché mostrava una naturale capacità di nascondere l'impatto dell'attacco. Ogni testa del modello lavorava insieme, permettendo previsioni nascoste mentre aumentava le possibilità di identificare se i dati in arrivo erano avvelenati.

#Conclusione

Con la crescente dipendenza dai modelli di deep learning nella finanza, garantire la loro sicurezza è essenziale. Abbiamo dimostrato che gli attacchi di avvelenamento possono essere efficacemente nascosti all'interno di questi modelli, il che rappresenta un rischio significativo. I metodi discussi forniscono spunti preziosi su come eseguire tali attacchi e sulle vulnerabilità dei modelli attuali.

Il lavoro futuro dovrebbe concentrarsi sullo sviluppo di modelli più robusti e sull'implementazione di migliori meccanismi di rilevamento per proteggere contro attacchi così sottili, ma dannosi. Gli studi su questo argomento hanno solo graffiato la superficie e ulteriori esplorazioni sono critiche per comprendere l'intero spettro di vulnerabilità nei sistemi di deep learning, specialmente nel settore finanziario.