[논문 리뷰] Defending against Model Stealing via Verifying Embedded External Features

Yiming Li, Linghui Zhu외 4명|arXiv (Cornell University)|2021. 12. 06.

Adversarial Robustness in Machine Learning인용 수 6

한 줄 요약

이 논문은 소수의 훈련 샘플에 스타일 전이를 적용하여 외부 특징을 피해 모델에 통합하고, 이 특징이 포함되어 있는지 검증하기 위해 메타분류기를 사용하는 새로운 모델 도용 방지 기법을 제안한다. 이 방법은 다양한 도용 공격—다단계 공격까지 포함—을 효과적으로 탐지할 수 있으며, 모델 정확도를 유지하면서도 CIFAR-10 및 ImageNet에서 모든 테스트 공격에 대해 p-value < 10⁻⁵를 기록한다.

ABSTRACT

Obtaining a well-trained model involves expensive data collection and training procedures, therefore the model is a valuable intellectual property. Recent studies revealed that adversaries can `steal' deployed models even when they have no training samples and can not get access to the model parameters or structures. Currently, there were some defense methods to alleviate this threat, mostly by increasing the cost of model stealing. In this paper, we explore the defense from another angle by verifying whether a suspicious model contains the knowledge of defender-specified \\emph{external features}. Specifically, we embed the external features by tempering a few training samples with style transfer. We then train a meta-classifier to determine whether a model is stolen from the victim. This approach is inspired by the understanding that the stolen models should contain the knowledge of features learned by the victim model. We examine our method on both CIFAR-10 and ImageNet datasets. Experimental results demonstrate that our method is effective in detecting different types of model stealing simultaneously, even if the stolen model is obtained via a multi-stage stealing process. The codes for reproducing main results are available at Github (https://github.com/zlh-thu/StealingVerification).

연구 동기 및 목표

• 권한 없이 가중치나 훈련 데이터에 접근할 수 없는 공격자가 배포된 모델을 복제하는 위협 증가에 대응하기 위해.
• 기존의 검증 기반 방어 기법이 데이터셋 고유의 특징에 의존하여 다른 모델 간 특징 유사성으로 인해 잘못된 경고가 발생할 수 있는 한계를 극복하기 위해.
• 피해 모델에 고유한 외부 특징을 통합함으로써 신뢰할 수 있는 소유권 검증이 가능한 방어 기법을 개발하기 위해.
• 다단계 도용 공격 상황에서도 방어 기법의 효과성이 유지되고, 정상 입력에 대한 모델 성능이 저하되지 않도록 보장하기 위해.

제안 방법

• 소수의 훈련 이미지에 스타일 전이를 적용하여 피해 모델에 외부 특징을 통합하면서도 원래 레이블을 유지하는 방식.
• 스스로가 학습한 스타일 특징을 학습한 것으로 보이는지 여부를 검출하기 위해 피해 모델의 예측 결과를 기반으로 메타분류기를 훈련하는 방식.
• 스타일화된 테스트 이미지에 대한 반응을 기반으로 정상 모델과 도용된 모델을 구분하기 위해 메타분류기를 활용하는 방식.
• 특징 전달 능력과 탐지 민감도를 극대화하기 위해 고유한 질감과 무늬를 지닌 스타일화된 이미지를 선택하는 방식.
• 다양한 공격 유형(쿼리 전용, 레이블 쿼리, 제로샷 도용 등)에서 CIFAR-10 및 ImageNet 데이터셋을 대상으로 방법을 검증하는 방식.
• 검출 성능 평가를 위해 통계적 가설 검정(p-value)을 사용하며, 낮은 p-value는 도용의 강력한 증거를 의미한다.

실험 결과

연구 질문

• RQ1 외부 특징을 내장한 검증 기반 방어 기법이 다양한 공격 유형에 걸쳐 모델 도용을 신뢰성 있게 탐지할 수 있는가?
• RQ2 도용 모델이 순차적이고 잠재적으로 다른 공격 방법을 거쳐 생성되는 다단계 도용 공격 상황에서도 제안된 방법이 얼마나 효과적인가?
• RQ3 소수의 훈련 샘플에 스타일 전이를 통해 특징을 내장함으로써 표준 입력에 대한 모델 정확도가 저하되지 않게 할 수 있는가?
• RQ4 특정 데이터셋 고유의 특징에 의존하는 기존의 검증 기반 방어 기법과 비교했을 때, 특히 잘못된 경고 비율 측면에서 제안된 방법은 얼마나 우수한가?
• RQ5 도용 모델이 서rogate 모델에서 미세조정되거나 정밀화된 경우에도 메타분류기가 도용 모델과 정상 모델을 효과적으로 구분할 수 있는가?

주요 결과

• CIFAR-10에서 테스트한 모든 모델 도용 공격에 대해 p-value < 10⁻⁵를 기록하여 강력한 통계적 증거를 확보했다.
• ImageNet에서는 모든 공격 유형에서 p-value가 10⁻⁴ 이하로 유지되어 대규모 데이터셋에서도 뛰어난 탐지 성능과 강건성을 입증했다.
• 다단계 공격 상황에서도 방어 기법이 효과를 유지했으며, 모든 테스트 시나리오에서 p-value ≤ 0.01을 기록했다.
• 메타분류기 도입으로 기존 기반 방법 대비 탐지 성능이 크게 향상되었으며, 모든 공격 설정에서 p-value가 한 순위 이상 감소했다.
• DNN가 질감과 스타일 특징에 더 민감하므로, 스타일 전이를 통한 특징 내장 방식이 패치 기반 뒷도어 기법(BadNets 등)보다 더 효과적임을 입증했다.
• 내장된 특징이 소수의 훈련 이미지에만 적용되고 레이블이 변경되지 않기 때문에, 원래 모델의 정확도는 그대로 유지되었다.