[論文レビュー] Dual Student Networks for Data-Free Model Stealing

James Beetham, Navid Kardan+2 more|arXiv (Cornell University)|Sep 18, 2023

Domain Adaptation and Few-Shot LearningComputer Science被引用数 3

ひとこと要約

この論文では、二つの学生モデルを用いてターゲットモデルを模倣するデータフリーなモデル盗難手法、Dual Student Networksを提案する。生成器は、二つの学生モデルの不一致を指標として、多様で分類が難しいサンプルを生成する。両学生モデルの勾配をターゲットモデルの勾配の代理として用いることで、従来のデータフリー手法に比べてより正確な勾配推定と高い学生モデルの精度を達成するとともに、転送ベースの対抗攻撃のための優れたプロキシとしても機能する。

ABSTRACT

Existing data-free model stealing methods use a generator to produce samples in order to train a student model to match the target model outputs. To this end, the two main challenges are estimating gradients of the target model without access to its parameters, and generating a diverse set of training samples that thoroughly explores the input space. We propose a Dual Student method where two students are symmetrically trained in order to provide the generator a criterion to generate samples that the two students disagree on. On one hand, disagreement on a sample implies at least one student has classified the sample incorrectly when compared to the target model. This incentive towards disagreement implicitly encourages the generator to explore more diverse regions of the input space. On the other hand, our method utilizes gradients of student models to indirectly estimate gradients of the target model. We show that this novel training objective for the generator network is equivalent to optimizing a lower bound on the generator's loss if we had access to the target model gradients. We show that our new optimization framework provides more accurate gradient estimation of the target model and better accuracies on benchmark classification datasets. Additionally, our approach balances improved query efficiency with training computation cost. Finally, we demonstrate that our method serves as a better proxy model for transfer-based adversarial attacks than existing data-free model stealing methods.

研究の動機と目的

• 訓練データやモデル重みへのアクセスが全くない状況におけるデータフリーなモデル盗難の課題に対処すること。
• ターゲットモデルのパラメータや勾配に直接アクセスできない状況でも、その勾配推定を改善すること。
• 学生モデル蒸留用の生成訓練サンプルの多様性と代表性を高めること。
• 従来のデータフリー手法よりも優れたプロキシモデルを、転送ベースの対抗攻撃に用いること。
• 合成データセットや事前学習モデルへの依存を減らしつつ、高い性能を維持すること。

提案手法

• 二つの学生モデルを対称的に訓練し、生成されたサンプル上でターゲットモデルの出力を再現する。
• 生成器は、二つの学生モデルが不一致を示すサンプルを生成するように訓練される。これは、境界に近い難易度の高いサンプルを間接的にターゲットとする。
• 学生モデル間の不一致は、少なくとも一方の学生モデルがターゲットモデルに対して誤りであることを示しており、生成器が困難な入力領域へと誘導する。
• 両学生モデルの勾配を用いてターゲットモデルの勾配を推定し、明示的な勾配推定手法に依存しない。
• 生成器の目的関数は、真のターゲットモデル勾配損失の下界を最適化することと理論的に同等であるため、クエリなしで直接最適化が可能である。
• 標準的な学生-ターゲットのミニマックス目的関数に代えて、二重学生プロキシを導入することで、学生モデルとターゲットモデルの勾配の整合性が向上する。

実験結果

リサーチクエスチョン

• RQ1 並列に二つの学生モデルを訓練することで、データフリーなモデル盗難における生成サンプルの質と多様性が向上するか？
• RQ2 二つの学生モデルの勾配を用いることで、従来のデータフリー手法よりもターゲットモデルの勾配をより良い近似で得られるか？
• RQ3 二つの学生モデルの不一致が、難易度の高い境界サンプルを効果的に誘導する信号として機能するか？
• RQ4 本手法は、最先端のデータフリーなモデル盗難ベースラインと比較して、精度とクエリ効率においてどのように優れているか？
• RQ5 本手法で訓練された学生モデルは、転送ベースの対抗攻撃のプロキシとして、どの程度従来手法を上回るか？

主な発見

• Dual Student手法は、CIFAR-10においてDFMEやDFMS-HLよりも高い学生モデルの精度を達成し、未ターゲットFGSM攻撃の成功率が62.35%に達したのに対し、DFMEは56.84%であった。
• PGD攻撃において、未ターゲット攻撃成功率が91.04%に達し、同じターゲットモデルに対するホワイトボックス攻撃（96.78%）よりも優れた性能を示した。
• 合成データセットや事前学習への依存を低減でき、外部データやモデルなしでスクラッチから訓練が可能になった。
• 生成器の目的関数は、理論的にターゲットモデル勾配損失の下界を最適化することと同等であり、クエリなしで直接最適化が可能である。
• クエリ効率を向上させつつ、トレーニングの計算コストをバランスさせ、実世界への展開に実用的である。
• 本手法で得られる学生モデルは、特にFGSM攻撃において、実データで学習されたホワイトボックスモデルやプロキシモデルを上回る優れたプロキシとして機能する。