TabDFME：网络安全应用中针对表格数据的无数据模型提取方法

《Engineering Applications of Artificial Intelligence》：TabDFME: A data-free model extraction method for tabular data in cybersecurity applications

　　

摘要

模型提取攻击对机器学习即服务（MLaaS）平台构成了关键的安全风险，因为它们使对手能够将专有模型的功能复制到一个本地模型中。尽管近期进展使得这些攻击能在黑盒和无数据环境下进行，但现有方法面临两大主要局限性。首先，它们主要关注视觉数据，而表格数据尽管在网络安全等关键领域很普遍，却未得到充分探索。其次，对于无数据模型提取攻击成功至关重要的合成数据，其多样性有限，因为它们仅鼓励类间多样性，并使用了弱类平衡方法。为解决这些问题，我们提出了 TabDFME，一种用于网络安全领域表格数据的无数据模型提取方法。我们的方法采用了一种新颖的实例级对比损失来训练条件生成器，从而产生高度多样化的合成数据。然后将该生成器与经验回放结合，用于训练高保真的替代模型。在四个网络入侵数据集上的实验结果表明，与竞争对手相比，我们的方案在最佳保真度上高出多达 17.32%，同时仅需 15.6% 的查询数量，证明了其在提取基于表格数据训练的模型方面的有效性和查询效率。通过全面的消融实验，我们还评估了主动学习对我们攻击性能和查询复杂度的影响。

引言

机器学习即服务（MLaaS）的普及引发了对模型提取攻击这一新兴威胁的重大担忧，这对这些服务的安全性和财务可持续性构成了重大挑战。这些服务提供公共 API 供用户查询商业模型并接收相应的预测响应。它们还向用户收取查询费用；例如，向微软 Azure 机器学习服务发出 100 万次查询的成本为 500 美元（Chandrasekaran 等人，2020）。因此，不愿为查询付费的对手可能希望将服务模型（也称为目标模型）的功能复制到一个本地部署的模型（或称为替代模型）中。这次攻击的成功使它们能够在没有任何进一步收费的情况下拥有持续的预测功能，同时给 MLaaS 平台背后的公司造成经济损失。模型提取攻击还可以作为进一步基于迁移的对抗攻击的基础，例如模型逃避（Demontis 等人，2019）、模型反演（Nguyen 等人，2024）和成员推断（Jagielski 等人，2024）。例如，基于机器学习的检测器常用于网络安全中，以识别恶意软件、网络入侵或欺诈。拥有机器学习专业知识的攻击者可以执行模型提取攻击，构建一个决策边界与目标模型相似的替代模型。然后，他们可以在替代模型上执行白盒对抗攻击，并将这些对抗样本转移以逃避检测器（Papernot 等人，2016，Demontis 等人，2019）。

阻碍模型提取攻击成功的关键挑战之一是缺乏目标的训练数据，这促使研究人员探索代理数据集构建，以及更近期的无数据技术。为了克服这一点，Orekondy 等人（2019）、Correia-Silva 等人（2018）和 Sanyal 等人（2022）提出通过用公开可用且无标注的数据查询目标模型并获取相应的概率预测（软标签）或 top-1 类别（硬标签）来构建代理数据集。然后，对手可以在这个数据集上训练替代模型，旨在匹配目标模型的预测。然而，Truong 等人（2021）实证证明，训练高保真的替代模型需要代理数据集在语义上或统计上与目标的训练数据集相似。在现实世界中，由于与训练数据相关的信息对攻击者来说是未知的，这一要求很难满足。因此，更近期的研究提出使用无数据技术来解决这个问题。

一种常见的无数据模型提取技术涉及生成器和替代模型的对立训练；然而，在目标模型梯度未知的黑盒环境中，这种方法无效。具体来说，生成器被训练以最大化替代模型和目标模型预测之间的分歧，而替代模型则学习最小化这种分歧。例如，Fang 等人（2019）使用目标模型和替代模型概率输出之间的平均绝对误差（MAE）来计算模仿损失函数。在训练替代模型时最小化该损失函数，而在训练生成器时最大化它。以这种方式训练生成器需要通过目标模型反向传播损失函数的梯度；然而，目标模型的梯度通常无法访问，这使得训练生成器变得不可行。为了在黑盒环境下有效地执行模型提取攻击，无数据模型提取攻击的最新进展是通过近似目标模型的梯度或仅使用替代模型来训练生成器——要么最大化替代模型集合中的分歧，要么学习产生多样化的样本以探索和匹配目标的特征空间（Zhang 等人，2022a，Zhang 等人，2022b，Beetham 等人，2023，Rosenthal 等人，2023）。

Sun 等人（2022）、Liu 等人（2022）和 Zhang 等人（2022b）实证表明，合成数据的多样性对于无数据模型提取攻击的成功至关重要，因为多样化的代理数据集更有可能覆盖目标训练数据的分布。然而，正如表 1 所总结的，现有工作并未广泛研究如何鼓励这种数据多样性。2022 年之前的早期工作完全忽略了提取方法中的数据多样性。同时，少数近期工作开始考虑类间多样性；然而，没有工作涉及类内多样性。值得注意的是，没有现有方法明确促进类间和类内多样性。这一重大差距促使需要一种新的无数据模型提取方法，以充分促进类间和类内多样性，从而实现更好的攻击效果。因此，本文专注于解决现有方法的以下局限：

1. 类内多样性低：数据多样性涉及类内和类间多样性，两者有显著不同。类间多样性意味着合成样本必须尽可能均匀地覆盖尽可能多的类别，而类内多样性意味着合成样本在潜在空间中不应相似。然而，近期的无数据模型提取方法仅关注类间方面。缺乏类内多样性可能导致生成的样本过于相似，由于重复的目标查询和替代模型对这些样本的过拟合，导致替代模型训练效率低下。

2. 类间多样性弱：为了增加类间多样性，近期研究采用了类熵损失，该损失在所有类别出现频率相等时达到最小值。虽然这种方法有助于鼓励类间多样性，但类熵损失在引导生成器学习目标训练数据的语义信息方面较弱。直观地说，如果生成的样本具有足够的类别语义信息，则对应类别的预测概率会很高（Hong 等人，2022）。当类熵损失最小化时，它保证 top-1 类别预测在各类别之间均匀分布；然而，预测类别的置信度可能不高，使得样本具有较弱的语义信息。另一方面，采用条件生成器——不仅强制生成数据遵循预定义的类别分布，还通过最大化生成样本相对于条件标签的置信度来更好地学习目标训练数据分布的语义信息——是很有前景的，但仍未被充分探索。

3. 缺乏对表格数据的关注：现有无数据模型提取方法的另一个局限性是它们对视觉数据的关注过于狭窄，而表格数据尽管在许多关键领域如网络安全中很普遍，却未得到足够的关注。据我们观察，图像倾向于遵循高斯分布，现有的生成神经网络很容易合成。然而，表格数据以其偏斜或稀疏分布而闻名，这对现有的生成神经网络具有挑战性。因此，由于对表格数据的成功攻击需要生成器合成高多样性的数据以更好地覆盖偏斜和稀疏分布，因此有必要针对表格数据提出一种新的无数据模型提取方法。这最终有助于替代模型更有可能从目标模型中获得分布内知识，并提供更高的准确性和保真度。

为了解决上述挑战，本文介绍了 TabDFME，一种专为网络安全领域表格数据设计的无数据模型提取方法。与现有工作相比，我们的方法为实际设置提供了几个优势，通过确保以下几点：无数据（没有统计知识或访问目标模型的训练数据，且不使用公共数据）、黑盒（没有关于目标模型架构、参数或梯度的信息）、有限的查询预算，以及硬标签（仅依赖目标模型的 top-1 预测）。此外，为了解决类内多样性低的局限性，我们使用对比学习来引导生成器训练，以产生更多样化的合成样本，从而提高替代模型的保真度。然而，计算机视觉中常见的对比损失函数，通常是 SimCLR（Chen 等人，2020）中引入的那种，要求通过裁剪或旋转将每个样本转换为两个不同的增强视图，这不适用于表格数据。为了解决这个问题，我们提出了一种简单的实例级对比损失，它直接在生成样本的表示上工作，不需要任何数据增强，使对比损失更适用于表格数据。为了解决类间多样性弱的局限性，我们提出使用条件生成器以更好地鼓励生成数据的类间多样性。条件生成器包含预设标签并产生属于预设类别的合成样本。通过使用条件生成器，我们可以控制生成数据的类别分布并直接鼓励类间多样性。此外，在训练条件生成器时，我们可以优化它以产生具有高置信度的特定类别数据，确保生成的数据更能代表目标的训练数据。此外，我们采用经验回放来避免我们方法中的灾难性遗忘，防止攻击期间替代模型的保真度退化。这是通过存储过去合成的示例并将它们与新合成的数据一起纳入替代模型的训练过程来实现的。最后，为了进一步降低查询复杂性，我们进行了关于将主动学习纳入 TabDFME 替代模型训练阶段的广泛实验；然后，我们分析了主动学习对我们攻击有效性的影响，特别是在查询消耗方面。

总之，我们的贡献是：
•我们介绍了 TabDFME——针对网络安全领域表格数据的无数据模型提取攻击。通过结合我们的对比损失和条件生成器，TabDFME 在合成数据生成中实现了高类间和类内多样性，从而带来卓越的模型提取保真度。
•我们为表格数据提出了一种简单而有效的实例级对比损失机制，实现了高类内多样性，并直接在生成样本的表示上操作，不需要任何数据增强。
•我们在四个常见入侵检测数据集上的实验结果表明，TabDFME 在最佳保真度上比最先进的无数据模型提取方法（即 DisGUIDE）高出多达 17.32%。值得注意的是，我们提供了全面的消融研究和广泛的实验，以调查主动学习和各种组件对查询复杂度方面我们攻击有效性的影响。

本文其余部分组织如下：第 2 节提供了相关领域的文献综述；第 4 节详细说明了我们的工作流程；我们的实验设置和结果在第 5 节中展示；在第 6 节中，我们提供了关于经验回放、类间和类内多样性以及主动学习对 TabDFME 性能影响的消融研究。

章节片段

相关工作
在本节中，我们回顾了无数据模型窃取方面的文献，从无数据知识蒸馏开始，到最近的无数据模型窃取工作。我们还回顾了使用主动学习和对比学习方法在模型提取攻击期间优化查询的相关工作。

威胁模型
在本节中，我们首先对模型提取攻击提供非正式的描述，然后正式定义我们的威胁模型，包括攻击目标和约束条件。

概述
本节概述了我们无数据模型提取方法的组件和详细工作流程。

首先，TabDFME包含三个主要组件：目标模型、生成器和替代模型。目标模型是一个黑盒预言机，它接收输入查询并返回排名第一预测的分类索引。生成器经过优化以生成高多样性数据，而替代模型则经过训练，以在生成数据上与目标模型的预测相匹配。

**实验**

在本节中，我们展示了TabDFME在网络安全领域多个表格数据集上的有效性。我们还将TabDFME的性能与数据无知识蒸馏和模型提取领域的最新竞争对手进行了比较，包括IDEAL（Zhang等人，2022a）、DisGUIDE（Rosenthal等人，2023）、MEGA（Hong等人，2022）和DS-DFME（Beetham等人，2023）。为确保公平比较，目标模型、替代模型和

**消融研究**

在本节中，我们分析了经验回放和主动学习对我们模型提取方法性能的影响。我们还分析了该方法向替代模型的其他架构进行泛化的能力。

**局限性**

尽管我们的实验结果令人振奋，但TabDFME仍存在几个局限性。首先，我们的实验仍局限于入侵检测中的四个表格数据集；因此，需要进一步实验和研究来评估TabDFME在更广泛表格数据集上的有效性。此外，回归任务中的数据无模型窃取或针对具有加性特征的目标模型的研究仍较少。其次，图像数据通常遵循正态

**结论**

在本文中，我们提出了TabDFME，一种面向网络安全领域表格数据的无数据模型提取方法，该方法专注于在受限约束下促进合成数据的多样性。我们在四个入侵检测数据集上的实验证明，相比四个竞争对手，在更低的查询预算下我们的方法是有效的。我们的消融研究还揭示了主动学习在提高我们方法查询效率方面的潜力。

**CRediT作者贡献声明**

Dat-Thinh Nguyen：撰写—初稿，撰写—审阅与编辑，概念化，数据整理，软件，可视化，方法论。Nhien-An Le-Khac：撰写—审阅与编辑，资源，验证，方法论。Kim-Hung Le：监督，验证，方法论，概念化，资金获取，撰写—审阅与编辑。

**利益冲突声明**

作者声明，他们没有任何已知的可能影响本文所报告工作的竞争性经济利益或个人关系。

**致谢**

本研究由越南国家胡志明城市大学（VNU-HCM）资助，资助编号为DS2025-26-02。

Dat-Thinh Nguyen | Nhien-An Le-Khac | Kim-Hung Le
越南胡志明市信息技术大学