[論文レビュー] Watermarking for Out-of-distribution Detection

Qizhou Wang, Feng Liu+5 more|arXiv (Cornell University)|Oct 27, 2022

Anomaly Detection Techniques and Applications被引用数 5

ひとこと要約

本論文は、テスト入力に学習可能なデータレベルのウォーターマークパターンを埋め込むことで、事前に訓練された深層モデルを再プログラミングし、分布外（OOD）検出に活用する、新しいウォーターマーク手法を提案する。モデル重みを変更せずに、分布内（ID）とOODデータのスコア差を拡大することで、OOD検出性能を向上させ、複数のベンチマークで最先端の結果を達成している。

ABSTRACT

Out-of-distribution (OOD) detection aims to identify OOD data based on representations extracted from well-trained deep models. However, existing methods largely ignore the reprogramming property of deep models and thus may not fully unleash their intrinsic strength: without modifying parameters of a well-trained deep model, we can reprogram this model for a new purpose via data-level manipulation (e.g., adding a specific feature perturbation to the data). This property motivates us to reprogram a classification model to excel at OOD detection (a new task), and thus we propose a general methodology named watermarking in this paper. Specifically, we learn a unified pattern that is superimposed onto features of original data, and the model's detection capability is largely boosted after watermarking. Extensive experiments verify the effectiveness of watermarking, demonstrating the significance of the reprogramming property of deep models in OOD detection.

研究の動機と目的

• OODデータが希少で、モデルの再トレーニングが高コストとなる安全を要するディープラーニングシステムにおけるOOD検出の課題に対処すること。
• 深層モデルの再プログラミング特性（入力を変換することでモデルを再用途化可能）が、OOD検出に活用可能かどうかを検討すること。
• モデルパラメータを変更せずに、OOD検出スコアを向上させるデータレベルのウォーターマーク技術を開発すること。
• 入力の意味的コンテンツを保持しながら、検出性能を向上させる統合的かつ静的なウォーターマークパターンを学習すること。

提案手法

• 推論時に入力特徴に学習可能なウォーターマークパターンを重ね合わせ、元の入力の意味的構造を保持しつつ、識別的なパターンを埋め込む。
• ウォーターマークは、事前に定義されたスコア関数（例：フリーエナジー、ソフトマックス）下で、水色化されたIDデータとOODデータのスコア差を最大化する微分可能目的関数により最適化される。
• 最適化により、モデルは水色化されたID入力に対して高い信頼度を割り当てるとともに、OOD入力に対しては低信頼度を割り当てるようになるが、ウォーターマークがモデルにとって意味的に明確でない場合でも成立する。
• モデルがウォーターマークを有効なIDパターンと認識しないようにするため、正則化損失を用いることで、耐性を維持する。
• 本フレームワークは汎用的であり、さまざまなスコア関数（例：ロジット、勾配、埋め込みベース）およびデータセット（CIFAR-10、CIFAR-100、SVHN、Places365、iSUN、Texture）と互換性を持つ。
• ハイパーパrameterはバリデーションセット（例：tiny-ImageNet）を用いて調整され、アブレーションスタディにより、異なるウォーターマーク領域の寄与度が検証されている。

実験結果

リサーチクエスチョン

• RQ1 事前訓練済みの深層モデルの再プログラミング特性を活用することで、モデルの微調整なしにOOD検出を向上させられるか？
• RQ2 学習可能なデータレベルのウォーターマークが、分布内と分布外の入力間のスコア分離を改善できるか？
• RQ3 ウォーターマークの空間的分布（中心 vs. 縁）がOOD検出性能に与える影響は何か？
• RQ4 ウォーターマーク手法は、さまざまなスコア関数およびデータセットに一般化可能か？
• RQ5 ウォーターマークの強度とスパarsityが検出性能に与える影響は何か？

主な発見

• フリーエナジースコア関数を用いたCIFAR-10では、ウォーターマークによりFPR95がベースラインの55.00％から29.75％に低下し、AUROCは89.69％から95.16％に上昇した。
• CIFAR-100では、ウォーターマークを適用した場合の平均AUROCは76.47％であったのに対し、非適用時は73.77％であり、一貫した向上が確認された。
• 最大マグニチュードを持つウォーターマーク成分の10％のみマスクした場合（χ₁=0.10）、AUROCが94.41％に著しく低下し、ウォーターマークパターン全体が不可欠であることが示された。
• iSUN、SVHN、Places365、LSUNなど、複数のベンチマークで、ベースラインのOOD検出手法を上回る性能を発揮し、FPR95、AUROC、AUPRのすべてで一貫した改善が得られた。
• フリーエナジー、ソフトマックス、その他のスコア関数を用いた場合でも、性能向上が安定しており、本手法の一般化能力が確認された。
• アブレーションスタディの結果、ウォーターマークの中央部と縁部の両方が検出に寄与しており、縁部パターンは隠れた知識を符号化し、OOD識別を強化していることが示された。