GitHub热榜 | AI黑客教程来了，破解神经网络、攻击GPU

本文转自『机器之心编译』（almosthuman2014）

随着深度学习的发展，各行各业都在考虑将相关新技术引入业务场景中，网络安全领域也不例外。近一段时间以来，很多网络安全公司都尝试用神经网络去检测病毒、发现程序后门等，而一些数据公司也使用了神经网络发现和检测恶意爬虫程序。但是，神经网络真的在软件层面上是安全吗？今日的 GitHub 趋势榜上有一个「骇入神经网络指南」项目。作者提供了一系列教学资料和代码，告诉了我们黑客会怎样对神经网络发起攻击。和对抗样本攻击不同，这些攻击都是从软件层面进行的，和使用对抗样本混淆模型能力的攻击不同。

项目地址：https://github.com/Kayzaks/HackingNeuralNetworks

安全攻防战蔓延到 AI

在项目中，作者主要介绍了几种利用神经网络弱点对其发动攻击的方法，包括从使用神经网络的应用中找到漏洞，进行信息窃取、恶意程序注入和后门入侵等。此外还有利用深度学习训练中的内存加速，从 GPU 攻入系统的方法。项目具体分为多个章节，每个章节都提供了对应的代码和练习教程。除此以外，作者还提供了一篇文章，详细介绍了攻击原理和思路。

教程文章地址：https://github.com/Kayzaks/HackingNeuralNetworks/blob/master/Article.pdf

课程目录

项目分为 8 个章节，目录如下：

最后一层攻击
寻找神经网络后门
信息窃取
暴力破解
神经溢出
恶意软件注入
神经混淆
寻找漏洞
攻击 GPU

如何攻击 AI 系统

作者在教程文章中提供了一个例子：攻击使用神经网咯的虹膜识别系统。假设黑客可以部分地进入到某虹膜识别系统中，但是该系统的识别认证是由一个神经网络组成的，黑客无法获取完整代码，仅有模型文件「model.h5」，怎样才能进行攻击？

具体而言，这种 HDF5 文件几乎存储了模型所有的相关信息，包括架构和权重等。因此，作者认为修改文件中的权重等信息，特别是在模型的最后一层上。以一个二分类问题为例，模型的最后一层可能有两个神经元，正样本得到一个权重，而负样本则是另一个。黑客可以改变负样本的权重，使其也对本应当识别为陌生人的人授予进入的权利。