Novo ataque criptoanalítico consegue extrair pesos de CNNs com max pooling, antes considerado inviável
Ataques de extração de parâmetros via consultas black-box já eram bem estudados para redes totalmente conectadas com ReLU, mas permaneciam inviáveis para redes convolucionais com max pooling, cuja não-linearidade extra esconde os pontos críticos que esses métodos exploram. O artigo apresenta o primeiro ataque criptoanalítico adaptado a CNNs com max pooling, combinando dois tipos de pontos críticos recém-identificados para recuperar pesos e vieses com alta acurácia e complexidade de consulta polinomial.
Ataques de extração de parâmetros (roubar os pesos de uma rede neural apenas observando entradas e saídas, sem acesso ao modelo) são uma ameaça direta à propriedade intelectual de produtos de IA e um passo preliminar para outros ataques (evasão, envenenamento direcionado). Até este trabalho, técnicas eficientes existiam para redes totalmente conectadas baseadas em ReLU, mas CNNs com max pooling — a arquitetura dominante em visão computacional e processamento de mídia — resistiam a essas técnicas porque a camada de pooling introduz uma não-linearidade adicional que esconde os pontos críticos de ReLU que os ataques anteriores usavam como âncora matemática.
Os autores resolvem isso identificando dois tipos novos de pontos críticos específicos de CNNs: Pontos Críticos ReLU-Pooling (RPCP), extraídos por correspondência de padrões para recuperar assinaturas parciais e sinais, e Pontos de Comutação de Pooling (PSP), muito mais numerosos, explorados por um ataque de diferencial interna inspirado diretamente em técnicas de criptoanálise. A combinação é eficiente porque os PSPs permitem extração rápida de assinaturas de alta precisão em volume, enquanto um único RPCP basta para recuperar sinal e viés — os PSPs sozinhos não bastariam para isso.
Os testes cobriram múltiplas arquiteturas CNN, incluindo variações modernas da LeNet-5, treinadas em dados aleatórios, MNIST e CIFAR-10, com o ataque alcançando alta acurácia de extração e complexidade de consulta e tempo de execução polinomiais, inclusive para camadas profundas.
O resultado fecha uma lacuna de pesquisa que a indústria vinha tratando como segurança por obscuridade: a suposição de que max pooling protegia CNNs comerciais contra extração de modelo deixa de ser válida. Produtos que expõem CNNs via API (classificação de imagem, reconhecimento facial, moderação de conteúdo) como serviço black-box devem considerar esse vetor de roubo de modelo como praticável, não apenas teórico, e revisar controles como rate limiting agressivo e detecção de padrões de consulta característicos de extração.