G検定（ジェネラリスト検定） AI倫理・AIガバナンス 練習問題 第50問: Tramèrらの論文「Stealing Machine Learning Models via Prediction APIs」（2016年）が示した、予測AP

「確信度の値を利用して、元のモデルとほぼ同じ働きで複製できる」とする記述が適切です。Tramèrらの論文は、予測APIが返す確信度を手がかりに、ロジスティック回帰・ニューラルネットワーク・決定木などをほぼ同じ働きで複製できることを示し、オンラインのサービスでも、BigMLでは決定木、Amazonではロジスティック回帰のモデルで実証しました。

「パラメータや学習データの事前の知識が必要」は逆で、論文はそうした知識をもたず、外から問い合わせることのできる攻撃者を想定しています。「学習用のデータを書き換えて誤った判断をさせる」は、学習の段階で起こるデータ汚染の説明です。

「ラベルを返すAPIの方が少ない問い合わせで抽出できる」も逆で、ラベルを返す場合の攻撃は、最大で100倍ほど多くの問い合わせを要しました。ただし、確信度を出力から除く対策をとっても、有害な抽出攻撃はなお可能とされています。