Bezpečnostní výzkumníci ze společnosti Microsoft vyvinuli techniku útoku prostřednictvím postranních kanálů Whisper Leak, která umožňuje na základě pasivní analýzy šifrovaného provozu přenášeného přes TLS připojení klasifikovat témata dotazů k servisům založeným na velkých jazykových modelech. Informace o velikosti síťových paketů a zpožděních mezi jejich přenosem ukázaly, že stačí k určení témat dotazů k AI chatbotům s přesností přes 98 %. V praxi je navrhovaná metoda použitelná pro identifikaci v transitním provozu uživatelů určitých témat dotazů, například pokusů o získání informací o nelegálních aktivitách, bez nutnosti dešifrování obsahu.
Nástroje pro extrakci dat z dumpů provozu, školení modelu a testování fungování metody byly publikovány na GitHubu. Možnost provedení útoku byla demonstrována na 28 oblíbených velkých jazykových modelech od největších výrobců. Například přesnost určení dotazů na téma „praní špinavých peněz“ pro mnohé AI služby dosáhla 100 %, přičemž v analyzovaném provozu byl 1 požadovaný dotaz a 10000 dotazů nesouvisejících s potřebným tématem.
Příčinou úniku informací je to, že modely generují odpověď na dotaz krok za krokem, token po tokenu, přičemž na každém kroku používají předchozí token jako kontext pro určení následujícího nejpravděpodobnějšího slova nebo fráze. Tím pádem je každý token odesílán v samostatném síťovém paketu a zpoždění mezi pakety odpovídá zpoždění mezi určením dalšího tokenu modelem.
V TLS, pokud se nepoužívá komprese dat, výměna šifrovaného textu odpovídá velikosti nezašifrovaného textu plus konstanta. Při vytváření modelu, který přiřazuje požadované sady tokenů k velikosti paketů a zpožděním mezi jejich odesláním, je možné dostatečně přesně určit přítomnost požadovaných témat v provozu. V rámci výzkumu byly připraveny tři varianty podobných modelů strojového učení založených na architekturách neuronových sítí LightGBM, Bi-LSTM a BERT. Pro každý model byly provedeny experimenty na určení požadovaného tématu při analýze pouze velikosti paketů, pouze zpoždění mezi pakety a obou kritérií.
Na zníženie efektivity pasívnej analýzy tém požiadaviek navrhli vývojári AI služieb priložiť náhodné doplnkové vyplnenie, vyrovnávať prenos tokenov alebo vykonávať substitúciu fiktívnych paketov.
Zdroj: opennet.ru
