Model Inversion: এআই মডেল রিভার্স ইঞ্জিনিয়ারিং করে ট্রেইনিং ডেটা ফাঁস করার পদ্ধতি!

Model Inversion Attack একটি adversarial machine learning technique যেখানে আক্রমণকারী মডেলের behavior বিশ্লেষণ করে training data বা sensitive input information পুনর্গঠনের চেষ্টা করে। এটি black-box এবং white-box উভয় setting-এ সম্ভব, যদিও white-box-এ অনেক বেশি কার্যকর কারণ সেখানে মডেলের internal parameter সম্পর্কে জ্ঞান থাকে।

এই আক্রমণের পেছনের মূল ধারণা হলো ML মডেল-গুলো একটি "leaky function" হিসেবে কাজ করে। প্রশিক্ষণের সময় মডেল input এবং label-এর মধ্যে যে mapping শেখে, সেই mapping পরবর্তীতে query করে পুনর্গঠন করা যায়। এটি বিশেষ করে high-capacity model যেমন deep neural network-এ বেশি সম্ভব, যারা training data-কে memorize করার প্রবণতা দেখায়।

Model Inversion দুটি প্রধান ক্যাটাগরিতে বিভক্ত। Type-1 Inversion বা Class Representative Inversion-এ আক্রমণকারী একটি specific class-এর "average" বা representative example তৈরি করার চেষ্টা করে। উদাহরণস্বরূপ, একটি face recognition মডেলে "John Smith" class-এর জন্য John Smith-এর মুখের একটি average ছবি তৈরি করা।

Type-2 Inversion বা Sample-Level Reconstruction-এ আক্রমণকারী training set-এ থাকা specific individual data point পুনর্গঠনের চেষ্টা করে। এটি অনেক বেশি ভয়ংকর কারণ এতে actual private data revel হতে পারে।

Model Inversion Attack-এর কয়েকটি প্রধান পদ্ধতি রয়েছে। প্রথম এবং সবচেয়ে পরিচিত পদ্ধতি হলো Gradient-based Inversion। এই পদ্ধতিতে আক্রমণকারী মডেলের gradient ব্যবহার করে এমন একটি input খুঁজে বের করে যা একটি specific output বা confidence value produce করে।

পদ্ধতিটি কাজ করে gradient descent algorithm-এর মাধ্যমে। প্রথমে একটি random input দিয়ে শুরু করা হয়। তারপর মডেলের output এবং target output-এর মধ্যে loss calculate করে input-এর gradient compute করা হয়। তারপর input-কে gradient-এর বিপরীত দিকে update করা হয়। এই প্রক্রিয়া পুনরাবৃত্তি করতে থাকলে input ক্রমশ training data-র দিকে converge করে।

দ্বিতীয় পদ্ধতি হলো GAN-based Inversion। এখানে একটি Generative Adversarial Network (GAN) ব্যবহার করা হয় target model-এর behavior অনুকরণ করতে। GAN-এর generator এমন images তৈরি করে যা target model দ্বারা সঠিকভাবে classified হয়, ফলে সেগুলো training distribution-এর কাছাকাছি হয়।

তৃতীয় পদ্ধতি হলো Confidence Score Inversion। অনেক ML API output হিসেবে শুধু class label নয়, confidence score-ও দেয়। এই confidence score আক্রমণকারীকে অতিরিক্ত তথ্য প্রদান করে যা inversion-কে অনেক সহজ করে তোলে।

চতুর্থ এবং সাম্প্রতিক পদ্ধতি হলো Diffusion Model-based Inversion। Diffusion model-গুলো high-quality image generation-এ দক্ষ, এবং এদের ব্যবহার করে আরও realistic training data reconstruction সম্ভব।

Model Inversion-এর গবেষণাগত প্রমাণ বহু ক্ষেত্রে পাওয়া গেছে। Cornell University-র Matt Fredrikson এবং তার সহকর্মীদের ২০১৫ সালের একটি গবেষণায় দেখানো হয়েছিল কীভাবে একটি face recognition system-এর API ব্যবহার করে training set-এ থাকা ব্যক্তিদের মুখের ছবি পুনর্গঠন করা সম্ভব। এই গবেষণা Model Inversion-এর বিপজ্জনক সম্ভাবনাকে প্রথমবারের মতো প্রকাশ করেছিল।

Medical AI ক্ষেত্রে Model Inversion-এর প্রভাব আরও মারাত্মক। ২০১৮ সালের একটি গবেষণায় দেখানো হয়েছিল যে একটি ML-based pharmacogenomics মডেল থেকে patient-দের genetic information আংশিকভাবে পুনর্গঠন করা সম্ভব। এই ধরনের attack HIPAA এবং GDPR-এর মতো privacy regulation লঙ্ঘন করতে পারে।

বিভিন্ন cloud-based ML service যেমন Amazon Rekognition, Microsoft Azure ML, এবং Google Cloud Vision-এর বিরুদ্ধে গবেষকরা সফলভাবে Model Inversion attack demonstrate করেছেন। এই attack-গুলো সাধারণত MLaaS (Machine Learning as a Service) platform-এর queries-এর মাধ্যমে চালানো হয়।

Large Language Model (LLM)-এর ক্ষেত্রেও Model Inversion-এর একটি বিশেষ রূপ দেখা গেছে। গবেষকরা প্রমাণ করেছেন যে GPT-এর মতো মডেল থেকে carefully crafted prompt-এর মাধ্যমে training corpus-এ থাকা specific text extract করা সম্ভব। এই training data extraction attack বিশেষভাবে উদ্বেগজনক কারণ LLM-গুলো বিশাল পরিমাণ public এবং private data-তে প্রশিক্ষিত।

বাংলাদেশের প্রেক্ষাপটে, যদি কোনো ব্যাংক customer-দের আর্থিক তথ্যে প্রশিক্ষিত মডেল publicly access-যোগ্য করে দেয়, তবে theoretically সেই মডেল থেকে customer-দের তথ্য পুনর্গঠন সম্ভব। অনুরূপভাবে, NID database-ভিত্তিক যে কোনো AI system Model Inversion-এর ঝুঁকিতে রয়েছে।

Model Inversion Attack-এর প্রভাব বিভিন্ন স্তরে পড়তে পারে। প্রথমত, individual privacy লঙ্ঘন হয়। একজন ব্যক্তির ছবি, চিকিৎসা ইতিহাস, আর্থিক তথ্য বা biometric data যদি train করা মডেল থেকে পুনর্গঠিত হয়, তবে সেই ব্যক্তির basic privacy violation হয়।

দ্বিতীয়ত, organizational risk রয়েছে। যেকোনো প্রতিষ্ঠান যারা sensitive data দিয়ে মডেল train করেছে এবং সেই মডেল কোনোভাবে এক্সপোজ হয়েছে, তারা data breach litigation, regulatory fine এবং reputation damage-এর সম্মুখীন হতে পারে।

তৃতীয়ত, regulatory compliance issue। GDPR, HIPAA, এবং বাংলাদেশের তথ্য সুরক্ষা আইন (যা প্রস্তাবিত)-এর অধীনে train করা মডেল-কে personal data processor হিসেবে বিবেচনা করা যেতে পারে। Model Inversion-এর সম্ভাবনা compliance violation-এর কারণ হতে পারে।

চতুর্থত, intellectual property risk। অনেক কোম্পানি তাদের competitive advantage তৈরি করেছে proprietary training data দিয়ে। Model Inversion-এর মাধ্যমে competitor-রা সেই data পেতে পারে, যা market position-এর জন্য বিপজ্জনক।

পঞ্চমত, biometric system-এর ক্ষেত্রে আরও বিশেষ ঝুঁকি রয়েছে। Fingerprint, iris scan, বা face data যদি reconstruct করা যায়, তবে সেই data permanently compromised হয়ে যায়। Password বা key-র মতো এগুলো পরিবর্তন করা যায় না।

Model Inversion-এর বিরুদ্ধে কার্যকর প্রতিরক্ষা একটি active research area। প্রথম এবং সবচেয়ে গুরুত্বপূর্ণ পদ্ধতি হলো Differential Privacy (DP)। DP একটি গাণিতিক framework যা training process-এ controlled noise যোগ করে যাতে individual data point-এর contribution পরিমাপযোগ্য সীমার মধ্যে থাকে। DP-SGD (Differentially Private Stochastic Gradient Descent) এই ধারণার একটি জনপ্রিয় implementation।

দ্বিতীয় পদ্ধতি হলো Output Perturbation। মডেলের output-এ controlled noise যোগ করে inversion attack-কে কঠিন করে তোলা যায়। তবে এতে মডেলের accuracy কিছুটা কমতে পারে, তাই privacy-utility tradeoff গুরুত্বপূর্ণ।

তৃতীয় পদ্ধতি হলো Confidence Score Obfuscation। API থেকে শুধু top class label return করা, অথবা rounded confidence score দেওয়া attack-কে অনেক কঠিন করে তোলে।

চতুর্থ পদ্ধতি হলো Knowledge Distillation। মূল মডেলের পরিবর্তে একটি smaller, distilled model deploy করা যেতে পারে যা মূল training data থেকে অনেক কম information ধরে রাখে।

পঞ্চম পদ্ধতি হলো Federated Learning। এখানে centralized training data কখনো একত্রিত হয় না, প্রতিটি device নিজস্ব data-তে train করে শুধু gradient share করে। এতে central data store-এর ঝুঁকি কমে।

ষষ্ঠ পদ্ধতি হলো Regularization। L2 regularization এবং dropout-এর মতো technique মডেলকে memorization থেকে রক্ষা করতে সহায়ক। তবে এগুলো sufficient defense নয়, কেবল সম্পূরক হিসেবে কাজ করে।

সপ্তম পদ্ধতি হলো API Access Control এবং Rate Limiting। আক্রমণকারীকে inversion attack চালাতে প্রচুর query প্রয়োজন। Strict rate limiting এবং anomaly detection এই ধরনের attack pattern চিহ্নিত করতে পারে।

Model Inversion-এর গবেষণা একটি নৈতিক dilemma তৈরি করে। একদিকে এই গবেষণা প্রয়োজনীয় কারণ এটি দুর্বলতা প্রকাশ করে এবং সমাধান তৈরিতে সাহায্য করে। অন্যদিকে এই কৌশলগুলো malicious actor-দের হাতে চলে গেলে বড় ক্ষতি হতে পারে।

দায়িত্বশীল গবেষণার জন্য Responsible Disclosure মেনে চলা প্রয়োজন। কোনো specific vendor-এর মডেলে দুর্বলতা পাওয়া গেলে প্রথমে তাদের informally জানানো এবং patch তৈরির সুযোগ দেওয়া উচিত।

আইনি দিক থেকে, Model Inversion-কে অনেক ক্ষেত্রে data theft বা unauthorized access হিসেবে বিবেচনা করা যেতে পারে। বাংলাদেশের Digital Security Act-এর অধীনে এই ধরনের attack অপরাধ হিসেবে গণ্য হতে পারে যদি অনুমতি ছাড়া চালানো হয়।