[論文レビュー] Access Control Using Spatially Invariant Permutation of Feature Maps for Semantic Segmentation Models

Hiroki Ito, AprilPyone MaungMaung+1 more|arXiv (Cornell University)|Sep 3, 2021

Adversarial Robustness in Machine Learning参考文献 34被引用数 4

ひとこと要約

本論文は、秘密鍵を用いた空間的に不変な特徴マップの並び替えによって、意味セグメンテーションモデルのための新規なアクセス制御手法を提案する。この手法により、正しい鍵を持つ正当なユーザーはネイティブ性能にほぼ達するが、鍵のない不正ユーザーは顕著な精度低下を経験する。これにより、意味セグメンテーションモデルに対する強固な保護が実現され、従来の鍵ベースのアクセス制御手法では未解決であった問題を解決する。

ABSTRACT

In this paper, we propose an access control method that uses the spatially invariant permutation of feature maps with a secret key for protecting semantic segmentation models. Segmentation models are trained and tested by permuting selected feature maps with a secret key. The proposed method allows rightful users with the correct key not only to access a model to full capacity but also to degrade the performance for unauthorized users. Conventional access control methods have focused only on image classification tasks, and these methods have never been applied to semantic segmentation tasks. In an experiment, the protected models were demonstrated to allow rightful users to obtain almost the same performance as that of non-protected models but also to be robust against access by unauthorized users without a key. In addition, a conventional method with block-wise transformations was also verified to have degraded performance under semantic segmentation models.

研究の動機と目的

• 意味セグメンテーションモデルに対するアクセス制御メカニズムの欠如に取り組む。意味セグメンテーションモデルはますます価値が高まっているが、盗難や不正利用のリスクにさらされている。
• 従来、画像分類に限られていた鍵ベースのモデル保護を、意味セグメンテーション分野へ拡張する。
• 正しい秘密鍵を持つユーザーのみが、モデルの完全な性能を活用できることを保証する。一方、不正ユーザーは顕著な性能低下を経験する。
• 空間的に不変な保護機構を設計し、セグメンテーション出力の構造的整合性を維持する。

提案手法

• 本手法は、ResNet-50バックボーンを備えた完全畳み込みネットワーク（FCN）において、訓練時および推論時に秘密鍵を用いて選択された特徴マップを並び替える。
• 並び替えは特徴マップ全体に一様に空間的に適用され、空間的不変性を確保する。これは、セグメンテーションマップの品質を維持する上で極めて重要である。
• 秘密鍵が並び替えのパターンを決定し、正しい鍵を持つユーザーのみが変換を逆転させて元の特徴マップの順序を回復できる。
• 主にmIoU（平均交差率）を指標として、意味セグメンテーションタスクにおける評価が行われる。
• 従来のブロック単位の変換手法（SHF, NP, FFX）—元々画像分類を目的として設計されたもの—と比較される。
• モデルは鍵依存の並び替えを伴って訓練され、3つの状態でテストされる：正しい鍵、並び替えなし、誤った鍵。

実験結果

リサーチクエスチョン

• RQ1 意味セグメンテーションモデルに鍵ベースのアクセス制御メカニズムを効果的に適用可能か。特に、空間的に不変な変換が求められる点に注目する。
• RQ2 提案手法の空間的に不変な並び替えが、正当ユーザーのセグメンテーション性能に与える影響は、保護なしのモデルと比較してどの程度か。
• RQ3 誤った鍵または鍵なしでアクセスされた場合、モデルの性能はどの程度低下するか。
• RQ4 提案手法は、従来のブロック単位の変換（例：SHF, NP, FFX）と比較して、意味セグメンテーションの文脈でどの程度優れているか。
• RQ5 不正アクセス試行、特に鍵推定攻撃に対しても、本手法は耐性があるか。

主な発見

• 正しい鍵条件下で、提案手法はmIoU 0.5888を達成し、非保護ベースラインモデル（mIoU 0.5966）に非常に近い性能を示した。
• 誤った鍵条件下では、mIoUが0.0000にまで低下し、不正ユーザーのセグメンテーション性能が完全に崩壊していることが示された。
• 並び替えなし（No-perm）のテストでは、モデルの性能は低く保たれ（mIoU = 0.1595）、保護機構が鍵なしでも有効であることが確認された。
• 従来のブロック単位の変換手法（SHF, NP, FFX）は、意味セグメンテーションタスクにおいて顕著に性能が低下し、誤った鍵ではmIoUがほぼゼロにまで低下した。また、大きなブロックサイズでは正しい鍵でも性能が低く保たれた。
• 提案手法は、すべてのブロックサイズで従来手法を上回った。従来手法で最も性能が良かったブロックサイズ（2）でもmIoUは0.5447に留まり、提案手法の0.5888に劣った。
• 図6の可視化結果から、正しい鍵を持つ正当ユーザーのみが一貫性があり正確なセグメンテーションマップを生成していることが確認された。一方、不正ユーザーは意味のない出力を生成していた。