[논문 리뷰] Digital Passport: A Novel Technological Strategy for Intellectual Property Protection of Convolutional Neural Networks

Lixin Fan, KamWoh Ng외 1명|arXiv (Cornell University)|2019. 05. 10.

Adversarial Robustness in Machine Learning참고 문헌 15인용 수 5

한 줄 요약

이 논문은 학습 중에 디지털 파스포트를 모델에 통합함으로써 비밀번호가 없거나 잘못된 경우 기능을 비활성화하고, 정당한 사용자에게는 정상 성능을 유지하는, 컨volutional 신경망(CNN)을 무단 사용으로부터 보호하기 위한 새로운 사전 대응 전략인 디지털 파스포팅을 제안한다. 이는 위조된 파스포트 공격 시 최대 82%의 정확도 저하를 유도하면서도, 유효한 파스포트를 가진 사용자에게는 원본에 가까운 성능을 유지한다.

ABSTRACT

In order to prevent deep neural networks from being infringed by unauthorized parties, we propose a generic solution which embeds a designated digital passport into a network, and subsequently, either paralyzes the network functionalities for unauthorized usages or maintain its functionalities in the presence of a verified passport. Such a desired network behavior is successfully demonstrated in a number of implementation schemes, which provide reliable, preventive and timely protections against tens of thousands of fake-passport deceptions. Extensive experiments also show that the deep neural network performance under unauthorized usages deteriorate significantly (e.g. with 33% to 82% reductions of CIFAR10 classification accuracies), while networks endorsed with valid passports remain intact.

연구 동기 및 목표

• 기계 학습 서비스(MLaaS) 환경에서 깊이 신경망(DNN)의 지적 재산권 보호가 빠르고 신뢰할 수 있도록 하는 것.
• 기존 디지털 워터마킹 기법의 한계를 극복하여, 침해 발생 후에만 소유권을 확인할 수 있고 법적 집행에 의존하는 기법을 개선하는 것.
• 유효한 디지털 파스포트가 없이 사용될 경우 DNN를 능동적으로 비활성화하는 일반화된 예방 보호 메커니즘을 개발하는 것.
• 보호된 모델이 정당한 사용자에게서는 높은 성능을 유지하면서도, 무단 접근이나 역설계 시도 시에는 심각하게 성능이 떨어지도록 보장하는 것.

제안 방법

• 학습 단계 동안 전용 파스포팅 레이어를 통해 DNN에 디지털 파스포트를 통합하며, 파스포트를 네트워크 가중치에 인코딩하기 위한 정규화 항을 사용한다.
• 유효한 파스포트의 존재가 전역 기능 활성화를 위해 필요로 하는 다단계 검증 프로세스를 구현한다.
• 이미지 기반 파스포트와 기능 기반 파스포팅(V1, V2, V3)을 조합하여 공격에 대한 저항력과 보호 강도를 다양화한다.
• 백색 상자 역설계 공격(RevA)을 적용하여, 원본 모델을 복구하고 보호 기능을 우회하려는 시도를 시뮬레이션한다.
• 위조된 파스포트나 역설계 조건에서 성능 저하 정도를 수량화하기 위해 보호 강도 지표를 도입한다.
• 파스포트 이미지를 특정 실체(예: 개인 또는 기관)와 연계시켜 추적성과 소유권 주장 가능성을 확보한다.

실험 결과

연구 질문

• RQ1 유효한 파스포트가 있을 경우 기능이 정상적으로 작동하고, 파스포트가 없거나 잘못된 경우 모델 기능이 비활성화되도록 디지털 파스포트를 DNN에 통합할 수 있는가?
• RQ2 대규모 위조 파스포트 공격과 역설계 시도에 대해 디지털 파스포트 메커니즘이 얼마나 효과적인가?
• RQ3 파스포트 기능(V1, V2, V3)과 파스포트 유형(예: 무작위 이미지)의 선택이 보호 강도와 성능 일관성에 미치는 영향은 어떠한가?
• RQ4 통합된 파스포트가 모델 파rameter 泄露 또는 표절 발생 시에도 검증 가능한 소유권 표시로 기능할 수 있는가?
• RQ5 다양한 CNN 아키텍처(예: ResNet, VGGNet, AlexNet)와 데이터셋(CIFAR10, CIFAR100) 간에 파스포팅 메커니즘이 얼마나 효과적인가?

주요 결과

• 유효한 파스포트를 가진 경우, 보호된 네트워크는 원본 모델과 거의 동일한 테스트 정확도를 달성했다—예를 들어, CIFAR10에서 ResNet의 경우 92.72%로, 성능 손실가 최소화됨을 시사한다.
• 위조된 파스포트 공격 시, 분류 정확도는 최소 10%까지 떨어졌으며, 예를 들어 VGGNet의 경우 1.0%까지 하락하여 무단 사용자에게 강력한 기능 정지 효과를 입증했다.
• V1 파스포트 기능은 취약하여 보호 강도가 최소 33%에 그쳤지만, V2와 V3 기능은 더 강력한 보호를 제공하여 25–33%의 보호 강도를 달성했다.
• 역설계 공격(RevA)을 통해 복구된 모델의 최대 테스트 정확도는 70%에 그쳤으며, 원본 92%의 정확도에 비해 크게 낮아, 높은 계산 비용과 낮은 성공률을 시사했다.
• CIFAR100에서 보호 강도는 61%에서 71% 사이로 나타났으며, 위조된 파스포트 정확도는 무작위 추측 수준(1%)에 가까워, 다양한 데이터셋 간의 강건성을 확인했다.
• 원본 모델과 보호된 모델 간 성능 불일치는 최소한으로 유지되었으며, 편차는 ±4% 이내였고, 일부 사례에서는 보호된 모델이 원본을 초월하는 성능을 보였다(예: VGGNet의 경우 +2.7% 향상).