Model Extraction (Model Çıkarma Saldırısı Nedir? Yapay Zeka Güvenlik Tehdidi)

#güvenlik #ai-güvenliği #makine-öğrenimi #fikri-mülkiyet

Model extraction (model çalma), bir saldırganın hedef yapay zeka modeline API üzerinden sorgular göndererek elde ettiği girdi-çıktı çiftlerini eğitim verisi olarak kullanıp fonksiyonel olarak eşdeğer bir kopya model oluşturduğu güvenlik saldırısıdır.

Model extraction (model çalma veya model kopyalama), bir saldırganın hedef makine öğrenimi modeline API üzerinden erişerek, parametrelerine ya da eğitim verilerine doğrudan ulaşmadan, modelin davranışını kopyalayan işlevsel bir vekil model (surrogate model) oluşturduğu siber güvenlik saldırısıdır. Saldırının temel mantığı şöyledir: rakip, hedef modele (kurbanın API'sine) büyük hacimde girdi gönderir, döndürülen tahminleri veya güven puanlarını etiketli veri olarak kaydeder ve bu verilerle kendi modelini eğitir. Yeterli sorgu sayısına ulaşıldığında, ortaya çıkan vekil model orijinaline işlevsel olarak yakın veya eşdeğer hale gelir. Saldırıyı önemli kılan, olağanüstü düşük maliyetidir. 2016'da Tramer ve ark. tarafından yürütülen kurucu çalışmada Microsoft Azure, Amazon ve BigML gibi ticari MLaaS platformlarındaki lojistik regresyon ve karar ağacı modellerinin 1.000 ila 10.000 sorgu gibi küçük bir bütçeyle yüksek doğrulukla kopyalanabildiği gösterildi. Saldırının teknik varyantları üç başlıkta toplanır. Sorgu tabanlı çıkarmada, saldırgan aktif öğrenme veya adversarial girdilerle sorgu başına bilgi kazanımını en üst düzeye çıkarmaya çalışır. Açıklanabilirlik güdümlü çıkarmada, SHAP veya LIME gibi model yorumlama API'leri istismar edilerek modelin içselliği çok daha hızlı sızdırılır. Veri serbest çıkarmada (USENIX Security 2024) ise saldırganın çekirdek veri setine ihtiyaç duymaksızın, yapay olarak üretilen girdilerle saldırı gerçekleştirmesi mümkündür. LLM'lere özgü iki yeni tehdit sınıfı 2023-2024'te ortaya çıktı. "Model Leeching" adıyla bilinen yöntem, büyük dil modellerinin ince ayarlı davranışını query'lerle klonlar. PLeak (2024) ise sistem promptlarını ve uygulamaya özgü kişiselleştirmeleri çalmayı hedefler. Gerçek dünya etkisi son derece somuttur: önce fikri mülkiyet hırsızlığı (on milyonlarca dolarlık eğitim maliyetini yok sayan kopya model), ardından gizlilik ihlali (eğitim verisi üyelik çıkarım saldırılarına zemin hazırlama) ve son olarak güvenlik by-pass (kredi skorlama veya sahtekarlık tespiti gibi korumalı sistemlerin kapısını açma) şeklinde tezahür eder. Savunma cephesinde birkaç yaklaşım öne çıkmaktadır. PRADA gibi anomali tespit sistemleri oturumlardaki şüpheli sorgu örüntülerini tanır; güven skoru pertürbasyonu bilgi teorik sınırlar dahilinde skor kesinliğini azaltır; model filigranı (watermarking) tekniklerinden ModelShield (IEEE TIFS 2025) çalınan kopyalara tespiti mümkün kılan izler yerleştirir. Eğitim sürecinde diferansiyel gizlilik uygulanması da sızdırılabilir bilgiyi matematiksel garantilerle sınırlandırır.

Saldırı Nasıl Çalışır?

Saldırgan, üç adımlı bir süreç izler. Birincisi, sorgu aşamasında hedef modele API üzerinden binlerce veya milyonlarca girdi gönderir — bu girdiler rastgele örnekler, aktif öğrenme ile seçilmiş bilgilendirici noktalar ya da yapay üretilmiş sentetik veriler olabilir. İkincisi, etiketleme aşamasında modelin döndürdüğü tahminleri veya sınıf güven puanlarını kaydeder; bu çıktılar, vekil modelin eğitimi için etiket işlevi görür. Üçüncüsü, kopyalama aşamasında toplanan girdi-çıktı çiftlerini standart makine öğrenimi süreciyle kendi modelini eğitmek için kullanır. Sonuçta ortaya çıkan vekil model, orijinal modelin davranışını yakından taklit eder — ve bu süreç, hedef modelin parametrelerine veya eğitim datasına tek bir kez bile erişilmeden gerçekleşir.

Saldırı Türleri

  • check_circle Sorgu Tabanlı Çıkarma: En yaygın form. Saldırgan aktif öğrenme veya adversarial girdilerle sorgu başına sızdırılan bilgiyi en üst düzeye çıkarmaya çalışır. Tramer ve ark. (2016) bu yaklaşımla lojistik regresyon ve karar ağacı modellerini 10.000 sorguda eşdeğer doğrulukla kopyaladı.
  • check_circle Açıklanabilirlik Güdümlü Çıkarma: SHAP veya LIME gibi model yorumlama API'leri, her sorguyla çok daha fazla bilgi sızdırır. Saldırgan bu açıklamaları kullanarak hem modelin kararlarını hem de olası iç yapısını çok daha hızlı tersine mühendislik yapabilir.
  • check_circle Veri Serbest Çıkarma: USENIX Security 2024'te sunulan bu yaklaşımda saldırganın herhangi bir referans veri setine ihtiyacı yoktur. Tamamen yapay üretilmiş girdilerle bile etkili model çıkarma gerçekleştirilebileceği gösterilmiştir.
  • check_circle LLM System Prompt Çalma (PLeak): 2024 tarihli PLeak saldırısı, özel talimatlar veya ince ayar bilgisiyle kişiselleştirilmiş LLM uygulamalarını hedef alır. Özellikle hazırlanmış sorgularla sistem promptunu ve uygulama özelinde konfigürasyonu ele geçirir.

Gerçek Dünya Etkileri

Model extraction'ın ticari ve güvenlik açısından ciddi üç boyutu vardır. Fikri mülkiyet hırsızlığı, büyük şirketlerin yıllarca ve milyonlarca dolar harcayarak geliştirdiği özel modellerin düşük maliyetle kopyalanmasına yol açar; rakip kopya modeli ücretsiz veya düşük maliyetle sunarken asıl sahip yatırımını kaybeder. Gizlilik ihlali boyutunda, kopyalanan model daha sonra üyelik çıkarım saldırıları için kullanılabilir — vekil modeli analiz ederek hangi örneklerin orijinal eğitim setinde bulunduğu tahmin edilebilir. Güvenlik aşma boyutunda ise kredi notlama, sahtekarlık tespiti veya içerik moderasyon gibi korumalı sistemlerin kopyası elde edilerek bu modellere karşı etkili adversarial örnekler üretmek çok daha kolaylaşır.

Savunma Yöntemleri

Günümüzde model extraction'a karşı birkaç katmanlı savunma yaklaşımı mevcuttur. Anomali tespiti alanında PRADA sistemi, oturumlar arası şüpheli sorgu örüntülerini (yüksek hacim, sınır bölgeye yoğunlaşma, adversarial görünüm) tespit eder ve şüpheli istemcileri engeller. Çıktı pertürbasyonu alanında güven puanları bilgi teorik sınırlar dahilinde yuvarlanır veya gürültü eklenir; bu yöntem extraction için gereken sorgu sayısını dramatik biçimde artırır. Model filigranı alanında ModelShield (IEEE TIFS 2025) çalınan modelleri atfetmeyi mümkün kılan gizli izler gömer. Diferansiyel gizlilik eğitimi ise modelin bireysel eğitim örnekleri hakkında sızdırdığı bilgiyi matematiksel olarak sınırlandırır; ancak bu yöntem doğruluk ile gizlilik arasında bir denge gerektirir.

Akademik Arka Plan

Model extraction araştırmaları 2016'da Tramer ve ark.'nın "Stealing Machine Learning Models via Prediction APIs" başlıklı kurucu çalışmasıyla sistematik bir zemine oturdu. Sonraki yıllarda alan hızla gelişti: ACM AsiaCCS 2024'teki "Model Extraction Attacks Revisited", güncel ticari sistemlerdeki güvenlik açıklarını yeniden değerlendirdi. ACM KDD 2025'te yayımlanan "A Survey on Model Extraction Attacks and Defenses for LLMs" ise büyük dil modellerine özgü tehditleri kapsamlı biçimde haritaladı. Ağustos 2025'te arXiv'de yayımlanan "A Systematic Survey of Model Extraction Attacks and Defenses" en güncel akademik panoramayı sunmaktadır.

Sık Sorulan Sorular

  • check_circle Model extraction ile model inversion arasındaki fark nedir?: Model extraction, modelin işlevselliğini kopyalamayı hedefler; sonuçta elde edilen vekil model, orijinaline benzer tahminler üretir. Model inversion ise eğitim verilerini yeniden oluşturmayı amaçlar — örneğin bir yüz tanıma modelinden bireylerin yüz görüntülerine ulaşmayı. İkisi farklı saldırı hedefleridir.
  • check_circle Bir model kopyalandığında nasıl anlaşılır?: Model filigranı (watermarking) yöntemleri bu sorunu çözmek için geliştirilmiştir. ModelShield gibi teknikler, orijinal modele özel tetikleyici girdiler için öngörülebilir çıktılar yerleştirir. Şüpheli bir kopya modelde bu tetikleyiciler test edildiğinde, aynı yanıtlar alınıyorsa hırsızlık ispat edilebilir.
  • check_circle Sadece sorgu sayısı sınırlandırılarak saldırı önlenebilir mi?: Oran sınırlama (rate limiting) saldırıyı yavaşlatır fakat durdurmaz. Saldırganlar IP rotasyonu, kimlik yanıltma ve dağıtılmış sorgu stratejileriyle bu engeli aşabilir. Bu nedenle anomali tespiti ve çıktı pertürbasyonu gibi tamamlayıcı savunmalar da gereklidir.
  • check_circle Bu saldırı açık kaynak modeller için de geçerli midir?: Kamuya açık ağırlıklara sahip modeller için model extraction anlamsız olur — çünkü model zaten erişilebilir durumdadır. Saldırı öncelikli olarak kapalı API'ler (MLaaS platformları, özel LLM uygulamaları) üzerinde işlevseldir. Açık kaynak risk analizinde dikkat edilmesi gereken, fine-tune edilmiş özel adaptasyonların korunmasıdır.