Modelstamp: Verifikasi Pra-Deserialisasi Artefak Machine-Learning dan Keadaan Lingkungan Runtime

Pustaka persistensi Python ringan untuk memverifikasi integritas artefak dan keadaan lingkungan runtime yang direpresentasikan sebelum deserialisasi

Anagha Dhekne· 2026· DOI 10.48550/arXiv.2609.01781

Masalah inti

Model machine-learning yang dipersistensi dapat tetap identik secara byte sementara lingkungan perangkat lunak tempat model dimuat terus berkembang, menciptakan masalah verifikasi yang tidak dapat diungkap oleh pemeriksaan integritas artefak saja. Pemeriksaan integritas tradisional—seperti digest SHA-256 dari berkas model—memastikan bahwa byte tidak berubah, tetapi tidak mengatakan apa pun tentang apakah lingkungan runtime (misalnya, versi pustaka, interpreter Python, perangkat keras) masih cocok dengan lingkungan tempat model dilatih atau divalidasi. Celah ini kritis: model yang aman dan berkinerja baik pada satu set dependensi dapat berperilaku tak terduga atau tidak aman pada set dependensi lain, bahkan jika berkas model itu sendiri tidak berubah. Modelstamp mengatasi hal ini dengan memperkenalkan langkah verifikasi pra-deserialisasi yang memeriksa artefak sekaligus keadaan lingkungan runtime yang direpresentasikan terhadap bukti yang tercatat sebelum model dimuat ke memori. Karya ini diposisikan sebagai kontrol pelengkap, bukan pengganti manajemen dependensi, deteksi model berbahaya, deserialisasi aman, atau autentikasi penerbit publik.

Inovasi

Modelstamp dievaluasi menggunakan 14 skenario drift lingkungan yang terkendali, delapan skenario batas kepercayaan yang terkendali, dan tolok ukur penskalaan ukuran artefak dari 10 MiB hingga 1 GiB. **Eksperimen drift:** Eksperimen drift terkendali berperilaku sesuai spesifikasi pada perubahan dependensi yang relevan, lingkungan yang tidak berubah, dan perubahan lingkungan yang tidak terkait, termasuk kontrol noise yang lebih luas. Ini menunjukkan bahwa Modelstamp dengan benar mendeteksi drift yang bermakna sekaligus mengabaikan perubahan yang tidak relevan. **Eksperimen batas kepercayaan:** Eksperimen ini mengonfirmasi deteksi yang dimaksudkan sekaligus keterbatasan yang diharapkan, termasuk pemalsuan kunci bersama dan replay. Sistem mendeteksi manipulasi ketika kunci rahasia tidak dikompromikan, tetapi tidak dapat mencegah pemalsuan jika kunci bersama bocor, maupun serangan replay tanpa mekanisme nonce atau timestamp tambahan. **Kinerja:** Waktu verifikasi median meningkat dari 0,032 s pada 10 MiB menjadi 3,334 s pada 1 GiB, dengan throughput terukur sekitar 307-312 MiB/s di lingkungan tolok ukur. Hubungan antara ukuran artefak S (dalam MiB) dan waktu verifikasi median t (

Model machine-learning yang dipersistensi dapat tetap identik secara byte sementara lingkungan perangkat lunak tempat model dimuat terus berkembang, menciptakan masalah verifikasi yang tidak dapat diungkap oleh pemeriksaan integritas artefak saja. Pemeriksaan integritas tradisional—seperti digest SHA-256 dari berkas model—memastikan bahwa byte tidak berubah, tetapi tidak mengatakan apa pun tentang apakah lingkungan runtime (misalnya, versi pustaka, interpreter Python, perangkat keras) masih cocok dengan lingkungan tempat model dilatih atau divalidasi. Celah ini kritis: model yang aman dan berkinerja baik pada satu set dependensi dapat berperilaku tak terduga atau tidak aman pada set dependensi lain, bahkan jika berkas model itu sendiri tidak berubah. Modelstamp mengatasi hal ini dengan memperkenalkan langkah verifikasi pra-deserialisasi yang memeriksa artefak sekaligus keadaan lingkungan runtime yang direpresentasikan terhadap bukti yang tercatat sebelum model dimuat ke memori. Karya ini diposisikan sebagai kontrol pelengkap, bukan pengganti manajemen dependensi, deteksi model berbahaya, deserialisasi aman, atau autentikasi penerbit publik.

Modelstamp adalah pustaka persistensi Python yang ringan. Pada waktu persistensi, Modelstamp mengasosiasikan artefak terserialisasi dengan manifes JSON sidecar yang berisi: - Digest SHA-256 dari artefak. - Metadata runtime (misalnya, versi Python, platform). - Versi terpasang dari set paket yang dilacak secara terbatas. - Subset versi paket yang relevan dengan model yang dicatat secara terpisah dan berpartisipasi dalam perbandingan drift.

Mengapa penting

Hasil ini mencirikan Modelstamp sebagai kontrol verifikasi keadaan referensi pra-deserialisasi yang bersifat pelengkap, bukan sebagai pengganti sistem manajemen dependensi, deteksi model berbahaya, deserialisasi aman, atau autentikasi penerbit publik. Kekuatan utamanya adalah kemampuan mendeteksi drift lingkungan yang jika tidak akan luput dari pemeriksaan integritas artefak saja. Namun, eksperimen batas kepercayaan menyoroti keterbatasan penting: pemalsuan kunci bersama dan serangan replay tidak dicegah. Ini berarti Modelstamp paling cocok untuk skenario ketika produsen dan verifikator berbagi rahasia tepercaya dan ketika replay bukan kekhawatiran, atau ketika perlindungan tambahan (misalnya, nonce, timestamp) dilapiskan di atasnya. Overhead kinerja tergolong moderat untuk ukuran model tipikal (misalnya, di bawah 0,1 s untuk model hingga ~30 MiB), tetapi untuk model yang sangat besar (1 GiB), verifikasi memakan waktu lebih dari 3 detik, yang mungkin dapat diterima untuk banyak alur kerja tetapi bisa menjadi hambatan pada aplikasi yang sensitif terhadap latensi. Set paket yang dilacak secara terbatas menjaga overhead tetap rendah, tetapi juga berarti drift pada paket yang tidak dilacak tidak terdeteksi. Pekerjaan selanjutnya dapat memperluas set yang dilacak secara adaptif atau berintegrasi dengan manajer paket untuk menentukan dependensi yang relevan secara otomatis. Secara keseluruhan, Modelstamp mengisi celah dalam rantai pasok ML dengan menyediakan langkah verifikasi yang ringan dan mudah diintegrasikan yang menaikkan standar untuk pemuatan model yang aman.

Siapa yang sebaiknya membaca

Praktisi dan peneliti ilmu komputer

Membuka konten member…