Pendahuluan
Model yang Anda bangun dengan susah payah—menghabiskan biaya komputasi besar dan data berharga—bisa saja “dicuri” oleh pihak lain tanpa izin. Inilah yang disebut Model Extraction Attack (MEA), atau serangan ekstraksi model. National Institute of Standards and Technology (NIST) mendefinisikannya sebagai serangan privasi yang mengekstrak detail arsitektur dan/atau parameter model .
Serangan ini menjadi ancaman serius di era Machine-Learning-as-a-Service (MLaaS), di mana model-model canggih dari perusahaan seperti OpenAI dan Google diakses publik melalui API berbayar . Dengan memanfaatkan akses query ini, penyerang dapat mereplikasi fungsi model target dan mencuri kekayaan intelektual yang bernilai besar.
Bagaimana Model Extraction Attack Bekerja?
Secara konseptual, serangan ekstraksi model mengikuti alur tiga tahap :
-
Pembangkit Query (Query Generation): Penyerang merancang masukan (prompt) yang efektif untuk menguji kemampuan model target.
-
Pengumpulan Respons (Response Collection): Query dikirim ke model target melalui API, dan hasilnya dikumpulkan sebagai pasangan input-output.
-
Pelatihan Model Tiruan (Surrogate Model Training): Pasangan data ini digunakan untuk melatih model tiruan yang meniru perilaku model asli.
Serangan ini memanfaatkan fakta bahwa meskipun arsitektur dan parameter model disembunyikan, pola input-output dapat diamati dan ditiru.
Jenis-jenis Serangan Ekstraksi
Berdasarkan survei komprehensif terhadap Large Language Models (LLM), serangan ekstraksi dikategorikan menjadi tiga jenis utama :
| Jenis Serangan | Fokus Serangan | Contoh Teknik |
|---|---|---|
| Ekstraksi Fungsionalitas | Meniru kemampuan dan perilaku model | API-based knowledge distillation, query sistematis |
| Ekstraksi Data Pelatihan | Mengekstrak informasi sensitif dari data latih | Training data extraction, parameter recovery |
| Serangan yang Menargetkan Prompt | Mencuri atau merekayasa balik prompt | Prompt stealing, prompt manipulation |
Yang mengkhawatirkan, penelitian terbaru menunjukkan bahwa model tiruan dapat mencapai performa yang setara—bahkan melampaui—model asli dengan biaya yang jauh lebih rendah . Bahkan ada dugaan bahwa beberapa pengembang AI menggunakan teknik ini untuk membangun model kompetitif .
Dampak dan Ancaman
MEA bukan sekadar pelanggaran hak cipta. Dampaknya meliputi:
-
Kerugian Ekonomi: Model yang dibangun dengan investasi besar kehilangan nilai komersialnya karena dapat direplikasi dengan murah .
-
Serangan Turunan: Model hasil curian dapat digunakan sebagai proxy untuk melancarkan serangan lanjutan, seperti model inversion attack yang membocorkan data pribadi .
-
Kehilangan Keunggulan Kompetitif: Keunikan dan kemampuan model yang menjadi pembeda di pasar dapat ditiru pesaing.
Cara Mencegah Model Extraction Attack
Para peneliti telah mengembangkan berbagai strategi pertahanan yang dapat dikelompokkan menjadi tiga lapisan utama :
1. Perlindungan Arsitektur dan Pelatihan
-
Watermarking: Menanamkan “tanda air” digital ke dalam model sehingga kepemilikan dapat diverifikasi. Riset terbaru mengembangkan Class-Feature Watermark (CFW) yang tetap bertahan bahkan setelah model diekstraksi, dengan tingkat keberhasilan watermark ≥70,15% .
-
Obfuskasi (Pengaburan): Memisahkan komponen model dan menyimpannya secara terpisah. Metode seperti O2Splitter menggunakan Trusted Execution Environment (TEE) untuk melindungi bagian kritis model .
-
Desain Arsitektur yang Robust: Membangun model dengan ketahanan inheren terhadap upaya ekstraksi .
2. Perlindungan pada Waktu Inferensi
-
Sanitasi Output: Memodifikasi keluaran model agar tidak terlalu informatif bagi penyerang, misalnya dengan menambahkan noise atau memberikan respons yang menyesatkan .
-
Query Unlearning: Teknik seperti QUEEN mengukur sensitivitas setiap query dan memberikan perturbasi pada output untuk query yang mencurigakan, sehingga model tiruan tidak dapat belajar dengan efektif .
-
Deteksi Query Malicious: Memantau pola query yang tidak wajar dan memblokir akses jika terdeteksi aktivitas mencurigakan .
3. Strategi Defensif Proaktif
-
HoneypotNet: Pendekatan “serangan sebagai pertahanan” (attack as defense) yang memodifikasi output model menjadi beracun (poisonous). Jika penyerang menggunakan output ini untuk melatih model tiruan, model mereka akan terkontaminasi backdoor yang mengganggu fungsionalitas sekaligus memudahkan verifikasi kepemilikan .
-
Pembuatan Data Virtual: Menggunakan Variational Autoencoder (VAE) untuk menghasilkan data tambahan yang memperkuat pertahanan tanpa memerlukan data nyata yang sulit didapat .
Tantangan dan Kompromi
Menerapkan pertahanan bukan tanpa konsekuensi. Terdapat trade-off antara keamanan, kegunaan, dan kinerja model :
-
Pertahanan yang terlalu agresif dapat menurunkan akurasi model untuk pengguna sah.
-
Metode seperti watermarking harus menyeimbangkan ketahanan terhadap serangan dengan kemampuan untuk tetap bertahan setelah ekstraksi.
-
Sanitasi output atau query unlearning memerlukan overhead komputasi yang dapat mempengaruhi latensi respons.
Kesimpulan
Model Extraction Attack adalah ancaman nyata bagi setiap organisasi yang mengandalkan AI sebagai aset strategis. Dengan memahami mekanisme serangan—dari pembangkitan query hingga pelatihan model tiruan—kita dapat merancang pertahanan berlapis yang efektif.
Tidak ada solusi tunggal yang sempurna. Kombinasi pendekatan—watermarking untuk verifikasi kepemilikan, deteksi anomali pada query, dan teknik output perturbation—memberikan perlindungan yang lebih komprehensif. Yang terpenting, strategi pertahanan harus terus berkembang seiring dengan inovasi teknik serangan yang semakin canggih
