[論文レビュー] MimosaNet: An Unrobust Neural Network Preventing Model Stealing

Kálmán Szentannai, Jalal Al-afandi+1 more|arXiv (Cornell University)|Jul 2, 2019

Adversarial Robustness in Machine Learning参考文献 8被引用数 5

ひとこと要約

MimosaNet は、元の機能を維持しながら重みの摂動に対して極めて感受性が高いようにするための偽のニューロンを追加することで、信頼性の高い訓練済み全結合ニューラルネットワークを、脆弱なネットワークに変換する手法を提案する。この手法により、ノイズ、微調整、知識蒸留によるモデル盗難が不可能になる。なぜなら、わずかな重みの変更ですぐに精度が著しく低下するため、検出されないまま元のモデルを複製することは不可能になる。

ABSTRACT

Deep Neural Networks are robust to minor perturbations of the learned network parameters and their minor modifications do not change the overall network response significantly. This allows space for model stealing, where a malevolent attacker can steal an already trained network, modify the weights and claim the new network his own intellectual property. In certain cases this can prevent the free distribution and application of networks in the embedded domain. In this paper, we propose a method for creating an equivalent version of an already trained fully connected deep neural network that can prevent network stealing: namely, it produces the same responses and classification accuracy, but it is extremely sensitive to weight changes.

研究の動機と目的

• 攻撃者が検出されないまま重みを変更することで訓練済みモデルをクローンするという、急速に拡大する脅威に対処すること。
• 元のネットワークの正確性と機能を維持しつつ、重みの摂動に対して極めて感受性が高いモデルを構築する手法を開発すること。
• ウォーターマーキングや難読化に依存せずに、深層学習モデルにおける知的財産の不正利用を防止するソリューションを提供すること。
• 重みの変更に対して極めて壊れやすくすることで、逆方向工学が計算的に不可能になるように、訓練済みモデルの安全な共有を可能にすること。

提案手法

• 特定の全結合層に、特定の重みとバイアスを持つ「偽の」ニューロンを追加することで、元のネットワーク出力を変更しないように拡張する。
• 新しいニューロンの活性化がすべての訓練入力に対してゼロになるように保証することで、元のネットワークの入力-出力マッピングを維持し、元の分類精度を保つ。
• 入力層および出力層を除く任意の内部層に対して反復的に適用可能であり、ネットワークの段階的脆弱化を可能にする。
• 新しい層の重みが前向き伝搬において寄与の合計が相殺されるように数学的に構築されるため、機能が維持される。
• 標準的な学習および推論と互換性があり、元のモデルアーキテクチャにニューロンの追加以外の変更は不要。
• 追加ノイズ、さらなる訓練、知識蒸留の下で脆弱性が実証され、わずかな重みの変更ですでに顕著な精度低下が生じることを示している。

実験結果

リサーチクエスチョン

• RQ1 全結合ニューラルネットワークを、元の精度を維持しながら重みの摂動に対して極めて感受性が高い脆弱なモデルに変換できるか？
• RQ2 ノイズ追加、微調整、知識蒸留によるモデル盗難防止として、この手法はどの程度有効か？
• RQ3 元のネットワークの出力を変更せずに偽のニューロンを追加できるか？ これにより機能が完全に保たれるか？
• RQ4 変換されたネットワークで顕著な精度低下を引き起こす重みノイズの閾値は何か？
• RQ5 MimosaNet で保護されたモデルをクローンしようとする知識蒸留の性能はいかがなものか？

主な発見

• MNIST において、1層あたり最大72個の偽のニューロンを追加しても、MimosaNet の変換により元の分類精度が維持される。
• ノイズレベルが 10^-7 でも顕著な精度低下が生じ、重みの摂動に対して極めて感受性が高いことが示された。
• SGD や AdaGrad、ADAM といった最適化手法によるさらなる訓練において、元の精度を維持するには重みの距離が 10^-7 未満に保たれる必要があり、回復は計算的に不可能である。
• 知識蒸留は元の機能を再構築できず、蒸留モデルに128個のニューロンを用いても最大精度は 0.17 にまで低下した。
• ノイズ、微調整、蒸留のあらゆる摂動タイプに対して有効であり、モデル盗難に対する強固な抵抗性を示した。
• 追加ニューロンの数が元のネットワークサイズに比べて小さいため、計算オーバーヘッドは多項式的かつ無視できるほど小さい。