[논문 리뷰] Dual Student Networks for Data-Free Model Stealing

James Beetham, Navid Kardan외 2명|arXiv (Cornell University)|2023. 09. 18.

Domain Adaptation and Few-Shot LearningComputer Science인용 수 3

한 줄 요약

이 논문은 데이터 없이 모델을 도용하는 방법으로 이중 학생 네트워크를 제안한다. 이 방법은 두 개의 학생 모델을 타겟 모델의 출력을 모방하도록 훈련시키고, 그들의 불일치를 기반으로 생성기의 샘플을 다양하고 분류하기 어려운 것으로 유도한다. 두 학생 모델의 기울기를 타겟 모델의 기울기의 대체 지표로 활용함으로써, 기존의 데이터 없는 접근 방식보다 더 정확한 기울기 추정과 높은 학생 모델 정확도를 달성한다. 또한 전이 기반의 적대적 공격에 더 나은 프록시 역할을 한다.

ABSTRACT

Existing data-free model stealing methods use a generator to produce samples in order to train a student model to match the target model outputs. To this end, the two main challenges are estimating gradients of the target model without access to its parameters, and generating a diverse set of training samples that thoroughly explores the input space. We propose a Dual Student method where two students are symmetrically trained in order to provide the generator a criterion to generate samples that the two students disagree on. On one hand, disagreement on a sample implies at least one student has classified the sample incorrectly when compared to the target model. This incentive towards disagreement implicitly encourages the generator to explore more diverse regions of the input space. On the other hand, our method utilizes gradients of student models to indirectly estimate gradients of the target model. We show that this novel training objective for the generator network is equivalent to optimizing a lower bound on the generator's loss if we had access to the target model gradients. We show that our new optimization framework provides more accurate gradient estimation of the target model and better accuracies on benchmark classification datasets. Additionally, our approach balances improved query efficiency with training computation cost. Finally, we demonstrate that our method serves as a better proxy model for transfer-based adversarial attacks than existing data-free model stealing methods.

연구 동기 및 목표

• 훈련 데이터나 모델 가중치에 접근할 수 없는 데이터 없는 모델 도용 문제를 해결하기 위해.
• 타겟 모델의 파라미터나 기울기를 직접 접근하지 않고도 그 기울기를 정확히 추정하기 위해.
• 학생 모델 distillation을 위한 생성된 훈련 샘플의 다양성과 대표성을 향상시키기 위해.
• 기존의 데이터 없는 방법보다 더 효과적인 프록시 모델을 개발하기 위해 전이 기반의 적대적 공격에 활용할 수 있도록.
• 고성능을 유지하면서도 합성 데이터 세트나 사전 학습 모델에 대한 의존도를 줄이기 위해.

제안 방법

• 두 학생 모델이 생성된 샘플에서 타겟 모델의 출력을 일치시키도록 대칭적으로 훈련된다.
• 생성기는 두 학생 모델이 불일치하는 샘플을 생성하도록 훈련되어, 고난이도의 경계 유사 샘플을 암묵적으로 타깃으로 삼는다.
• 학생 간의 불일치는 적어도 한 명의 학생이 타겟 모델에 비해 잘못된 예측을 하고 있음을 나타내며, 이는 생성기의 학습을 도전적인 입력 영역으로 유도한다.
• 두 학생 모델의 기울기를 사용해 타겟 모델의 기울기를 추정함으로써, 명시적인 기울기 추정 기법에 의존하지 않는다.
• 생성기의 목적 함수는 진짜 타겟 모델 기울기 손실의 하한을 최적화하는 것과 이론적으로 동일하며, 쿼리 없이 직접 최적화가 가능하다.
• 표준의 학생-타겟 최소-최대 목적 함수를 이중 학생 프록시로 대체함으로써, 학생 모델과 타겟 모델의 기울기 간의 일치도를 향상시킨다.

실험 결과

연구 질문

• RQ1 병렬적으로 두 학생 모델을 훈련시키는 것이 데이터 없는 모델 도용에서 생성된 샘플의 품질과 다양성 향상에 기여하는가?
• RQ2 두 학생 모델의 기울기를 사용하면 기존의 데이터 없는 방법보다 타겟 모델의 기울기를 더 나은 근사로 제공하는가?
• RQ3 두 학생 간의 불일치가 어려운 경계 샘플을 유도하기 위한 효과적인 신호로 기능하는가?
• RQ4 최신의 데이터 없는 모델 도용 기준 성능과 비교했을 때, 제안된 방법은 정확도와 쿼리 효율성에서 어떤가?
• RQ5 이 방법을 통해 훈련된 학생 모델이 전이 기반의 적대적 공격에 대해 얼마나 더 나은 프록시 역할을 하는가?

주요 결과

• Dual Student 방법은 CIFAR-10에서 DFME 및 DFMS-HL보다 더 높은 학생 모델 정확도를 달성했으며, 비타겟 FGSM 공격 성공률는 62.35%로 DFME의 56.84%를 초월했다.
• PGD 공격에서는 비타겟 설정에서 91.04%의 성공률를 기록했으며, 동일한 타겟 모델에 대한 화이트박스 공격(96.78%)보다도 높은 성능을 보였다.
• 합성 데이터 세트나 사전 훈련이 필요 없어졌으며, 외부 데이터나 모델 없이도 완전히 새로 훈련이 가능해졌다.
• 생성기의 목적 함수는 이론적으로 타겟 모델 기울기 손실의 하한을 최적화하는 것과 동일하며, 쿼리 없이 직접 최적화가 가능하다.
• 쿼리 효율성을 향상시키면서도 훈련 계산 비용을 균형 있게 유지함으로써, 실세계 적용에 실용적이게 되었다.
• 이 방법을 통해 생성된 학생 모델는 전이 기반의 적대적 공격에 있어 더 나은 프록시 역할을 하며, 특히 FGSM 공격에서는 실데이터로 훈련된 화이트박스 및 프록시 모델보다도 뛰어난 성능을 보였다.