Експерти по сигурност от Microsoft разработиха техника за атака чрез странични канали Whisper Leak, която позволява на базата на пасивен анализ на криптиран трафик, предаван през TLS връзка, да се класифицират темите на запитвания към услуги, базирани на големи езикови модели. Информацията за размера на мрежовите пакети и забавянията между тях се оказа достатъчна, за да се определи темата на запитвания към AI чатботове с точност над 98%. На практика предложената методика може да се прилага за идентифициране в транзитния трафик на определени теми на запитвания, например опити за получаване на информация за незаконни действия, без да се декриптира съдържанието.
Инструментариумът за извличане на данни от дампове на трафика, обучение на модели и тестване на методологията е публикуван в GitHub. Възможността за извършване на атака е демонстрирана за 28 популярни големи езикови модела от водещи производители. Например, точността при определяне на запитвания на тема „измиване на пари“ за много AI услуги достигна 100%, при наличие на 1 искано запитване и 10,000 запитвания, които не са свързани с желаната тема.
Причината за изтичането на информация е, че моделите генерират отговори на запитвания стъпка по стъпка, токен по токен, като на всяка стъпка използват предишния токен като контекст за определяне на следващото най-вероятно слово или фраза. Съответно, за всеки токен се изпраща отделен мрежов пакет и закъснението между пакетите съответства на закъснението между определянето на следващия токен от модела.
В TLS, ако не се използва компресия на данни, разменът на шифротекста е равен на размера на незашифрованото съдържание плюс константа. При създаването на модел, който съпоставя исканите набори токени с размера на пакетите и забавянията между тях, може доста точно да се определи наличието на желаните теми в трафика. В хода на изследването бяха подготвени три варианта на подобни модели за машинно обучение, основани на архитектурите на невронни мрежи LightGBM, Bi-LSTM и BERT. За всеки модел бяха проведени експерименти за определяне на търсената тема, анализирайки само размера на пакетите, само забавянията между пакетите и двата критерия.
За да се намали ефективността на пасивния анализ на темата на заявките, на разработчиците на AI услуги е предложено да прикрепят произволно допълнително запълване, да буферират предаването на токени или да извършват замяна на фалшиви пакети.
Източник: opennet.ru
