Microsofti turva-uuringud on välja töötanud Whisper Leaki kõrvalkanali rünnaku tehnika, mis võimaldab šifreeritud liiklust, mis edastatakse TLS-ühenduse kaudu, passiivse analüüsi alusel klassifitseerida küsimuste teemasid suurte keelemudelite teenustes. Teave võrgu paketide suuruste ja nende edastamise viivituste kohta oli piisav, et määrata AI-vestlusrobotitele esitatud päringute teemasid enam kui 98% täpsusega. Praktikas saab pakutud meetodit kasutada kasutaja transiitliikluses teatud päringute teemade tuvastamiseks, näiteks teabe saamine ebaseaduslike tegevuste kohta, ilma sisu dešifreerimata.
Andmete ekstraheerimise tööriist, mudeli treenimiseks ja meetodi testimiseks on avaldatud GitHubis. Rünnaku läbiviimise võimalust on demonstreeritud 28 tuntud suurte keelemudelite osas, mis on loodud suurimate tootjate poolt. Näiteks raha pesemise teemaga seotud päringute määramise täpsus paljude AI-teenuste puhul oli 100%, kui analüüsitavas liikluses oli 1 otsitav päring ja 10000 päringut, mis ei olnud seotud soovitud teemaga.
Teabe lekkimise põhjuseks on see, et mudelid genereerivad vastuse päringule samm-sammult, üks token korraga, kasutades igal sammul eelnevat tokenit kontekstina, et määrata järgmine kõige tõenäolisem sõna või fraas. Seega saadetakse iga tokeni jaoks eraldi võrgu pakett ja paketide vaheline viivitus vastab mudeli määratud järgmise tokeni määramise viivitusele.
TLS-is, kui andmete tihendamist ei kasutata, vastab šifritüübi vahetus mittešifreeritud teksti suurusele pluss konstant. Otsitavate tokenite kogumite ja paketide suuruste ning nende saatmise vaheline viivitus kokkuviimiseks mudeli loomisel on võimalik üsna täpselt määrata otsitavate teemade esinemine liikluses. Uuringu käigus on loodud kolm sarnaste masinõppe mudeli varianti, mis põhinevad LightGBM, Bi-LSTM ja BERT närvivõrkude arhitektuuridel. Iga mudeli puhul on läbi viidud katseid otsitava teema määramiseks, analüüsides ainult paketide suurusi, ainult paketide vahelisi viivitusi ja mõlemaid kriteeriume.
AI-teenuste arendajatele on soovitatud, et nad vähendaksid passiivse päringuteema analüüsi tõhusust, kinnitades juhuslikke lisatäiendusi, puhvristades tokenite edastamist või asendades valepakette.
Allikas: opennet.ru
