[論文レビュー] Dataset Inference: Ownership Resolution in Machine Learning

Pratyush Maini, Mohammad Yaghini+1 more|arXiv (Cornell University)|Apr 21, 2021

Adversarial Robustness in Machine Learning参考文献 38被引用数 23

ひとこと要約

この論文では、モデル盗作の検出に、被害者のプライベートな訓練データからの知識を特定することで、モデル盗作を検出する新規の所有権解消防御であるデータセット推論（DI）を紹介する。小さな被害者の訓練データのサブセット上で予測の確信度（意思決定境界からのマージン）を測定することで、再訓練を必要とせず、モデルの精度を損なわずに、わずか50ポイントの露呈でも盗作を99％以上の信頼度で検出可能である。

ABSTRACT

With increasingly more data and computation involved in their training, machine learning models constitute valuable intellectual property. This has spurred interest in model stealing, which is made more practical by advances in learning with partial, little, or no supervision. Existing defenses focus on inserting unique watermarks in a model's decision surface, but this is insufficient: the watermarks are not sampled from the training distribution and thus are not always preserved during model stealing. In this paper, we make the key observation that knowledge contained in the stolen model's training set is what is common to all stolen copies. The adversary's goal, irrespective of the attack employed, is always to extract this knowledge or its by-products. This gives the original model's owner a strong advantage over the adversary: model owners have access to the original training data. We thus introduce $dataset$ $inference$, the process of identifying whether a suspected model copy has private knowledge from the original model's dataset, as a defense against model stealing. We develop an approach for dataset inference that combines statistical testing with the ability to estimate the distance of multiple data points to the decision boundary. Our experiments on CIFAR10, SVHN, CIFAR100 and ImageNet show that model owners can claim with confidence greater than 99% that their model (or dataset as a matter of fact) was stolen, despite only exposing 50 of the stolen model's training points. Dataset inference defends against state-of-the-art attacks even when the adversary is adaptive. Unlike prior work, it does not require retraining or overfitting the defended model.

研究の動機と目的

• 蒸留や抽出によって従来のウェアマーキングが失敗する場合に、機械学習モデルの盗作における所有権の立証の課題に対処すること。
• 再訓練を必要とし、性能を低下させる既存のウェアマーキング防御の限界を克服すること。
• すべての盗作モデルが、攻撃ベクトルにかかわらず、被害者の訓練データからの知識を内蔵しているという事実を活用すること。
• 被害者が元の訓練データにアクセスできるのに対し、攻撃者がアクセスできないという情報の非対称性を利用すること。
• モデルの変更や再訓練を必要とせず、信頼性の高い高信頼度の所有権主張を可能にすること。

提案手法

• 被害者の訓練データの小さなプライベートサブセット上で、疑わしいモデルの予測の確信度（意思決定境界からのマージン）を測定する。
• 被害者モデルの訓練および検証データセットからの埋め込みを用いて、マージン分布を推定する信頼度レグレッサーを訓練する。
• Student's t検定やパーミュテーション検定などの統計的仮説検定を用い、被害者の訓練データ上の疑わしいモデルの予測の平均マージンとランダムなテストデータ上の平均マージンを比較する。
• p値の閾値（例：10⁻³）を定義し、疑わしいモデルが被害者の訓練データに対して有意に高い確信度を示すかどうかを判断することで、知識漏洩の兆候を特定する。
• 幅広いアーキテクチャ（例：Wide ResNet-50-2、AlexNet、Inception V3）およびデータセット（CIFAR-10、SVHN、ImageNet）を用いて一般化性を評価する。
• 被害者と攻撃者のデータセット間の重複率（λ）を変化させながら、適応的攻撃に対する耐性を評価する。

実験結果

リサーチクエスチョン

• RQ1 クエリベースの抽出や完全なデータ盗用によって盗まれたモデルであっても、被害者のプライベートな訓練データから派生したかどうかを、モデル所有者が信頼性を持って検出できるか？
• RQ2 予測の確信度に関する統計的推論を用いる場合、被害者のデータセットからどれだけの少ない訓練ポイントで所有権を信頼性を持って主張できるか？
• RQ3 攻撃者が蒸留、ファインチューニング、またはデータフリー知識移行を用いた場合でも、データセット推論は有効に機能するか？
• RQ4 過学習が起こりにくい大規模なベンチマーク、たとえばImageNet上でも、データセット推論は有効に機能するか？
• RQ5 被害者の訓練データが攻撃者のデータセットにどれだけの最小限の重複（λ）を示せば、DIが知識漏洩を成功裏に検出できるか？

主な発見

• 被害者の訓練データからわずか10サンプルをテストしても、ImageNet上でもp値 < 10⁻³を達成し、所有権検出に高い信頼度を示している。
• CIFAR-10およびSVHNでは、被害者モデルの露出した訓練ポイントがたった50個でも、DIは99％を超える信頼度でモデル盗作を検出可能である。
• 攻撃者がデータフリー蒸留やファインチューニングを用いた場合でも、DIは知識漏洩を成功裏に検出でき、適応的攻撃に対して耐性があることが示された。
• 異なるアーキテクチャ（例：Wide ResNet-50-2、AlexNet、Inception V3）にわたり一般化可能であり、複雑なモデルへのスケーラビリティを示している。
• 被害者の訓練データが攻撃者のデータセットに10％（λ = 0.1）の重複がある場合でも、DIはp値 < 10⁻⁴で盗作を検出可能であり、最小限のデータ漏洩に対しても感度が高いことが確認された。
• 検定の効果サイズは、データ重複率（λ）が高くなるにつれて増加し、共有訓練データが増えるほどDIの信頼度が高くなることが確認された。