[논문 리뷰] FedTracker: Furnishing Ownership Verification and Traceability for Federated Learning Model

Shuo Shao, Wenyuan Yang외 5명|arXiv (Cornell University)|2022. 11. 14.

Cloud Data Security Solutions인용 수 5

한 줄 요약

FedTracker는 글로벌 워터마킹을 통한 소유권 증명과 클라이언트별 로컬 지문을 통한 누출자 식별을 통해 FL 모델의 소유권 확인과 추적 가능성을 동시에 제공하는 최초의 피어드러닝 프레임워크이다. 지속적 학습 기반 워터마킹 삽입 및 신규로 제안된 지문 유사도 점수(FSS) 메트릭을 활용하여, 다양한 공격 및 비i.i.d. 데이터 설정에서도 100%의 추적 가능성과 60% 이상의 강력한 워터마킹 정확도를 달성한다.

ABSTRACT

Federated learning (FL) is a distributed machine learning paradigm allowing multiple clients to collaboratively train a global model without sharing their local data. However, FL entails exposing the model to various participants. This poses a risk of unauthorized model distribution or resale by the malicious client, compromising the intellectual property rights of the FL group. To deter such misbehavior, it is essential to establish a mechanism for verifying the ownership of the model and as well tracing its origin to the leaker among the FL participants. In this paper, we present FedTracker, the first FL model protection framework that provides both ownership verification and traceability. FedTracker adopts a bi-level protection scheme consisting of global watermark mechanism and local fingerprint mechanism. The former authenticates the ownership of the global model, while the latter identifies which client the model is derived from. FedTracker leverages Continual Learning (CL) principles to embed the watermark in a way that preserves the utility of the FL model on both primitive task and watermark task. FedTracker also devises a novel metric to better discriminate different fingerprints. Experimental results show FedTracker is effective in ownership verification, traceability, and maintains good fidelity and robustness against various watermark removal attacks.

연구 동기 및 목표

• 피어드러닝(FL) 저작권 보호의 핵심적 격차를 해결하기 위해, 泄露된 모델에 대한 소유권 확인과 추적 가능성을 동시에 제공하는 것.
• 의심스러운 모델에 대해 화이트박스 접근이 필요 없이 FL 그룹이 모델 소유권을 증명할 수 있는 메커니즘을 설계하는 것.
• 협업적 FL 환경에서 다수의 참가자 중 누출을 일으킨 구체적인 클라이언트를 식별하는 것.
• 보호된 모델이 일반적인 모델 조작 공격에 대해 높은 유틸리티와 강건성을 유지하도록 보장하는 것.
• 기존 해밍 거리보다 지문 식별 정확도를 향상시키는 데 효과적인 신규 지문 유사도 메트릭(FSS)을 도입하는 것.

제안 방법

• FedTracker는 이중 수준의 보호 체계를 활용한다: 피어드러닝 집계 과정에서 삽입되는 글로벌 워터마킹을 통한 소유권 확인과, 각 클라이언트별로 할당된 로컬 지문을 통한 추적 가능성 확보.
• 원시 학습 데이터에 접근할 수 없더라도 모델 유틸리티를 유지하기 위해 지속적 학습(CL) 기반 워터마킹 삽입 메커니즘을 사용한다.
• 글로벌 워터마킹은 성능 저하를 최소화하고 강건성을 향상시키기 위해 CL 원칙을 활용해 집합 모델에 삽입된다.
• 각 클라이언트는 고유한 로컬 지문을 갖으며, 모델 배포 이전에 삽입되어 누출자 추적을 가능하게 한다.
• 지문 간 비교를 정량적으로 가능하게 하며 기존 해밍 거리 대비 식별 정확도를 향상시키기 위해 신규로 제안된 지문 유사도 점수(FSS) 메트릭을 도입한다.
• 비i.i.d. 데이터 분포에서 다양한 공격 시나리오, 즉 피닝튜닝, 프루닝, 오버라이팅 공격 등을 대상으로 프레임워크를 평가한다.

Figure 1: Illustration of model leakage in FL and the solution framework. Left: the malicious client can sell the model to other parties. Middle: FL group needs to verify the ownership through API access. Right: fingerprint is extracted from the model and compared with all the fingerprints of Client

실험 결과

연구 질문

• RQ1 피어드러닝 프레임워크가 泄露된 모델에 대해 동시에 소유권 확인과 추적 가능성을 제공할 수 있는가?
• RQ2 학습 데이터에 접근할 수 없더라도 워터마킹을 FL 모델에 삽입하면서 모델 유틸리티를 유지할 수 있는가?
• RQ3 지문 기반 메커니즘이 다수의 FL 참가자 중 누출자를 유일하게 식별할 수 있는가?
• RQ4 지문 유사도 점수(FSS)가 기존 해밍 거리 대비 지문 식별에서 어떻게 우월한가?
• RQ5 비i.i.d. 데이터 설정 하에서 워터마킹과 지문이 일반적인 모델 조작 공격에 얼마나 강건한가?

주요 결과

• FedTracker는 피닝튜닝, 프루닝, 오버라이팅 공격 등 모든 평가된 공격 시나리오에서 100%의 추적 가능성을 확보했다.
• 비i.i.d. 설정 하에서도 워터마킹 정확도가 60% 이상 유지되어 신뢰할 수 있는 소유권 확인에 충분하다.
• 배치 정규화(Batch Normalization)가 아닌 레이어를 프루닝할 경우, 50% 프루닝 비율에서 워터마킹 정확도가 52%로 떨어지지만, 모델은 여전히 사용 가능하며 워터마킹은 탐지 가능하다.
• 배치 정규화 레이어를 프루닝할 경우 유용성 손실(테스트 정확도 15% 이상 감소)이 심각하게 발생하여 이러한 공격는 효과가 없으며 성공으로 간주되지 않는다.
• 특히 VGG-16(20명의 클라이언트, 90% 해밍 거리 대비 100% FSS) 및 ResNet-18(30명의 클라이언트, 23.3% 해밍 거리 대비 100% FSS)에서 해밍 거리가 실패하는 경우 FSS 메트릭이 누출자를 성공적으로 식별했다.
• FedTracker는 비i.i.d. 데이터 분포 하에서도 높은 정밀도와 강건성을 유지하여 실제 피어드러닝 환경에서 넓은 적용 가능성을 보였다.

Figure 2: Workflow of FedTracker in each iteration. FedTracker consists of four stages. \footnotesize{1}⃝ Local training and aggregation. \footnotesize{2}⃝ Global watermark embedding. \footnotesize{3}⃝ Local fingerprints insertion. \footnotesize{4}⃝ Model distribution.