[논문 리뷰] Don't Forget to Sign the Gradients!

Omid Aramoon, Pin‐Yu Chen외 1명|arXiv (Cornell University)|2021. 03. 05.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 5

한 줄 요약

GradSigns는 딥 뉴럴 네트워크를 위한 새로운 블랙박스 디지털 워터마킹 프레임워크로, 모델 입력에 대한 교차 엔트로피 손실의 기대 기울기에서 통계적 편향을 도입하여 소유권 서명을 삽입한다. 이는 정확도 저하가 거의 없고 API를 통한 원격 검증이 가능한 강력한 고용량 워터마킹을 가능하게 하며, 기존 방법에 비해 공격에 대한 강건성, 용량, 신뢰성 측면에서 뛰어나다.

ABSTRACT

Engineering a top-notch deep learning model is an expensive procedure that involves collecting data, hiring human resources with expertise in machine learning, and providing high computational resources. For that reason, deep learning models are considered as valuable Intellectual Properties (IPs) of the model vendors. To ensure reliable commercialization of deep learning models, it is crucial to develop techniques to protect model vendors against IP infringements. One of such techniques that recently has shown great promise is digital watermarking. However, current watermarking approaches can embed very limited amount of information and are vulnerable against watermark removal attacks. In this paper, we present GradSigns, a novel watermarking framework for deep neural networks (DNNs). GradSigns embeds the owner's signature into the gradient of the cross-entropy cost function with respect to inputs to the model. Our approach has a negligible impact on the performance of the protected model and it allows model vendors to remotely verify the watermark through prediction APIs. We evaluate GradSigns on DNNs trained for different image classification tasks using CIFAR-10, SVHN, and YTF datasets. Experimental results show that GradSigns is robust against all known counter-watermark attacks and can embed a large amount of information into DNNs.

연구 동기 및 목표

• 상업적 및 MLaaS 환경에서 가치 있는 지적 재산으로서의 딥 러닝 모델 보호의 증가하는 수요를 해결하기 위해.
• 모델 가중치나 아키텍처에 접근할 필요 없이 API 기반 원격 검증을 통해 모델 소유권을 확인할 수 있는 블랙박스 워터마킹 방법을 개발하기 위해.
• 기존 워터마킹 기법의 한계, 즉 낮은 용량(1비트 뿐)과 제거 또는 위조 공격에 대한 취약성을 극복하기 위해.
• 워터마킹이 모델 정확도에 거의 영향을 주지 않으면서 다양한 적대적 공격 하에서도 탐지 가능하게 유지하기 위해.
• 실제 배포 환경에서 딥 뉴럴 네트워크 모델의 소유권을 입증하기 위한 신뢰성 있고 효율적이며 확장 가능한 솔루션을 제공하기 위해.

제안 방법

• GradSigns는 모델의 입력 특징에 대한 교차 엔트로피 손실의 기대 기울기에 통계적 편향을 도입하여 워터마크를 삽입한다.
• 워터마크 비트에 따라 기울기의 부호를 조작하는 방식으로, 입력 패턴의 캐리어 세트를 사용해 기울기 분포에 통계적 편향을 도입한다.
• 워터마크는 워터마크 키와 의사난수 함수에서 유도된 부호가 붙은 편향을 사용해 기울기 갱신을 조정함으로써 훈련 단계에서 삽입된다.
• 워터마크 추출은 워터마크 키 이미지 세트에 대해 기대 기울기를 추정하고, 부호 편향을 분석하여 임bedded 서명을 복원하는 방식이다.
• 표본 수를 정확도와 검증 비용의 균형을 맞추기 위해 조정하는 좌표별 기울기 추정 방법을 사용한다.
• 검증은 API 접근을 통해 수행되어, 모델의 화이트박스 접근 없이도 원격 소유권 증명이 가능하다.

실험 결과

연구 질문

• RQ1 블랙박스 워터마킹 방법이 높은 모델 정확도를 유지하면서 DNN에 1비트를 초월하는 정보를 삽입할 수 있는가?
• RQ2 모델 미세조정, 정규화, 기울기 마스킹을 포함한 일반적이고 적응형 워터마킹 방지 공격에 대해 워터마크는 얼마나 강건한가?
• RQ3 모델 가중치나 아키텍처에 접근하지 않고도 API 쿼리만으로 워터마크를 신뢰성 있게 추출할 수 있는가?
• RQ4 정확한 워터마크 추출을 달성하면서도 낮은 검증 비용을 확보하기 위해 필요한 최소 표본 수는 얼마인가?
• RQ5 기존 훈련 데이터에 접근하지 않은 공격자가 정상적인 워터마크를 위조하는 것이 가능한가?

주요 결과

• GradSigns는 CIFAR-10, SVHN, YTF 데이터셋에 대해 훈련된 DNN에 16비트, 32비트, 64비트 워터마크를 삽입했을 때 정확도 저하가 거의 없이(1% 이하) 성공적으로 구현했다.
• 모든 테스트된 일반적이고 적응형 워터마킹 방지 공격(미세조정, 지식 정규화, 기울기 마스킹 포함)에 대해 100% 탐지율을 달성했다.
• CIFAR-10과 SVHN에서는 비트당 500건 이하의 쿼리로 워터마크 추출이 가능했고, YTF에서는 비트당 100건 이하로 높은 효율성을 보였다.
• 메서드는 매우 높은 신뢰성을 확보한다: 위조 워터마크를 만들기 위해서는 클래스당 최소 4,096개의 샘플이 필요한데, 이는 위협 모델 하에서는 실현 불가능하며 성능 저하를 초래한다.
• 클래스당 4,096개 샘플을 사용할 경우 위조 워터마크의 BESR(비트 오류 부호율)는 1.0로 나타나 성공적인 위조가 없음을 의미하며, 위조 시도 시 성능이 최대 4.43% 저하된다.
• 적대적 미세조정 및 모델 정규화 이후에도 워터마크가 탐지 가능하여 실제 위협 상황에서 강력한 강건성을 입증했다.