[논문 리뷰] Evolutionary Trigger Set Generation for DNN Black-Box Watermarking

Jia Guo, Miodrag Potkonjak|arXiv (Cornell University)|2019. 06. 11.

Adversarial Robustness in Machine Learning참고 문헌 16인용 수 8

한 줄 요약

이 논문은 블랙박스 DNN 워터마킹을 위한 트리거 패턴을 최적화하기 위해 미분 진화 기반 프레임워크를 제안한다. 이는 이전 방법보다 최대 10배 낮은 거짓 양성률을 달성하면서도 파인튜닝 공격에 대한 강건성을 유지한다. 이 방법은 모델 간 일반화되는 눈에 띄지 않는 고영향력 트리거를 생성함으로써 소유권 증명을 향상시킨다.

ABSTRACT

The commercialization of deep learning creates a compelling need for intellectual property (IP) protection. Deep neural network (DNN) watermarking has been proposed as a promising tool to help model owners prove ownership and fight piracy. A popular approach of watermarking is to train a DNN to recognize images with certain extit{trigger} patterns. In this paper, we propose a novel evolutionary algorithm-based method to generate and optimize trigger patterns. Our method brings a siginificant reduction in false positive rates, leading to compelling proof of ownership. At the same time, it maintains the robustness of the watermark against attacks. We compare our method with the prior art and demonstrate its effectiveness on popular models and datasets.

연구 동기 및 목표

• DNN 블랙박스 워터마킹에서 거짓 양성 검출과 강건성 사이의 상충 관계를 해결하기 위해.
• 눈에 띄이지 않으면서도 매우 특징적인 트리거 패턴을 최적화하여 신원 기반의 강력한 소유권 증명을 가능하게 하기 위해.
• 진화적 최적화를 통해 비워터마킹 모델이 워터마킹을 잘못 탐지할 가능성을 줄이기 위해.
• 다양한 DNN 아키텍처와 데이터셋 간 트리거 패턴의 일반화를 향상시키기 위해.
• 모델 정확도에 미치는 영향을 최소화하면서도 일반적인 공격(예: 파인튜닝)에 대한 워터마킹 강건성을 유지하기 위해.

제안 방법

• 이 방법은 입력 이미지에 추가되는 트리거 패턴의 파라미터를 최적화하기 위해 미분 진화(DE) 알고리즘을 사용한다.
• 적합도 함수는 비워터마킹 모델에서의 거짓 양성 검출 비율을 최소화하면서도, 워터마킹된 모델에서의 트리거 분류 정확도를 유지하도록 설계된다.
• 프레임워크는 자연 이미지 분포에서의 구별성 최대화를 위해 트리거 패턴의 공간적 배치 및 색상 특성을 최적화한다.
• DE 학습 동안 단일 워터마킹 모델(ResNet-18)을 사용하지만, 결과적으로 VGG-16, DenseNet-121, ResNet-50 등의 다른 모델로도 잘 일반화된다.
• 자연 이미지 특징에 대한 왜곡을 최소화함으로써 표준 테스트 세트에서의 모델 정확도를 유지한다.
• 트리거 패턴의 가시성을 최적화하여 눈에 띄지 않음과 탐지 가능성 사이의 균형을 이루며, 파인튜닝 공격 중 제거를 저항하도록 한다.

실험 결과

연구 질문

• RQ1 진화적 최적화가 강건성을 훼손하지 않으면서도 DNN 워터마킹에서 거짓 양성 검출 비율을 낮출 수 있는가?
• RQ2 DE로 최적화된 트리거 패턴은 다양한 DNN 아키텍처 간에 얼마나 잘 일반화되는가?
• RQ3 트리거 패턴을 얼마나 눈에 띄이지 않게 하면서도 매우 특징적으로 만들 수 있는가, 이를 통해 거짓 양성률을 최소화할 수 있는가?
• RQ4 이러한 방법은 기존의 트리거 세트 생성 기법에 비해 파인튜닝 공격에 대해 얼마나 강건한가?
• RQ5 단일 최적화된 트리거 패턴이 여러 모델 간에 신뢰할 수 있는 소유권 증명 수단으로 기능할 수 있는가?

주요 결과

• 제안된 DE 기반 트리거 생성 방식은 기준 무작위 키 방법 대비 최대 10배 낮은 거짓 양성률을 달성했다.
• 다섯 개의 독립적으로 훈련된 VGG-13 모델에서 거짓 양성률은 1.15% ± 0.06%를 기록하여 강력한 일반화 능력을 입증했다.
• 파인튜닝 후 정확도 손실은 DE 최적화 키 패턴 기준 -0.29%였고, 기준 방법 대비 -73.97%에 그쳐 뛰어난 강건성을 보였다.
• DE 최적화 로고 패턴은 이전 기술 대비 거짓 양성률에서 2배 향상되었으며, 주어진 조건 하에 거짓 탐지 확률이 25,000배 이상 낮아졌다.
• 표준 테스트 세트에서의 분류 정확도는 비워터마킹 모델과 비교해 약간의 감소만을 보였고, 높은 정확도를 유지했다.
• 최적화된 트리거 패턴은 파인튜닝 과정에서 제거되기 어려웠으며, 자연 데이터 분포에서의 구별성 덕분에 일반 분류 행동과 수직이 되었기 때문이다.