[論文レビュー] Passport-aware Normalization for Deep Model Protection

Jie Zhang, Dongdong Chen+4 more|arXiv (Cornell University)|Oct 29, 2020

Adversarial Robustness in Machine Learning参考文献 21被引用数 34

ひとこと要約

この論文は、既存の正規化層に追加の学習可能な passport 分岐を追加してパスポート認証を可能にするパスポート対応正規化機構を提案し、ターゲットネットワークの構造を変更せず、所有権の検証と除去・曖昧性攻撃に対する頑健性を提供します。

ABSTRACT

Despite tremendous success in many application scenarios, deep learning faces serious intellectual property (IP) infringement threats. Considering the cost of designing and training a good model, infringements will significantly infringe the interests of the original model owner. Recently, many impressive works have emerged for deep model IP protection. However, they either are vulnerable to ambiguity attacks, or require changes in the target network structure by replacing its original normalization layers and hence cause significant performance drops. To this end, we propose a new passport-aware normalization formulation, which is generally applicable to most existing normalization layers and only needs to add another passport-aware branch for IP protection. This new branch is jointly trained with the target model but discarded in the inference stage. Therefore it causes no structure change in the target model. Only when the model IP is suspected to be stolen by someone, the private passport-aware branch is added back for ownership verification. Through extensive experiments, we verify its effectiveness in both image and 3D point recognition models. It is demonstrated to be robust not only to common attack techniques like fine-tuning and model compression, but also to ambiguity attacks. By further combining it with trigger-set based methods, both black-box and white-box verification can be achieved for enhanced security of deep learning models deployed in real systems. Code can be found at https://github.com/ZJZAC/Passport-aware-Normalization.

研究の動機と目的

• 深層学習モデルを IP侵害から保護しつつ、モデル性能を維持する。
• 一般的な正規化層に適用可能な、一般的な正規化ベースのパスポート機構を提供する。
• デプロイ済みモデルの構造を変更することなく、所有権の検証性を実現する。
• 画像および3Dタスクにおいて、除去・剪定・曖昧性攻撃に対する頑健性を示す。

提案手法

• パスポート非依存分岐とパスポート駆動分岐をデカップリングするパスポート対応正規化の定式化を導入する（Equation 2）。
• 標準のアファインパラメータを、パスポート依存のガンマとベータに置換し、各分岀に対して独立した統計量を計算する。
• ガンマとベータを事前定義されたパスポーツと前段のウェイトの関数として定義する（Equations 3）。
• モデル訓練中にパスポート非依存分岐とパスポート対応分岐を交互に訓練する。
• 所有権検証を可能にするために私的なパスポート対応分岐を再導入して忠実度検証を行い、トリガーセット法と組み合わせてブラックボックス検証を行う。

実験結果

リサーチクエスチョン

• RQ1 パスポート対応正規化はネットワーク構造を変更せずに IP を保護できるか。
• RQ2 微調整、剪定、曖昧性攻撃など、一般的な IP 脅威に対して手法はどの程度頑健か。
• RQ3 BN、GN、IN、LN などの正規化層間および視覚・3Dタスク全般にわたって一般化するか。
• RQ4 保護強度と元のモデル性能とのトレードオフはどうなるか。

主な発見

• パスポート対応正規化はほとんどの正規化層と互換性があり、追加の分岐さえあればデプロイメント構造を維持できる。
• 先行研究でBNをGNなどに置換したり他の変更を行うと性能が低下したが、提案手法はデプロイ時および検証時に高い精度を維持する。
• 手法は頑健な検証を示し、重い剪定下でも署名検出率が高く、すべての場合で90%の剪定時で検出が90%以上。
• 曖昧性攻撃下では、ランダムに偽造されたパスポートは性能が低く、学習可能なパスポート成分は偽署名に対する頑健性を高める。
• パスポート対応正規化とトリガーセット IP 保護を組み合わせると、モデル構造アクセスなしでブラックボックス検証を可能にする。