[논문 리뷰] Fingerprinting Multi-exit Deep Neural Network Models via Inference Time

Tian Dong, Han Qiu외 4명|arXiv (Cornell University)|2021. 10. 07.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 4

한 줄 요약

이 논문은 예측 출력이 아닌 추론 시간을 활용하여 다중 출구 딥 네ural 네트워크 모델의 지적 재산권 소유권을 검증하는 새로운 피어프린팅 방법을 제안한다. 특정 내부 출구에서 고유하고 측정 가능한 추론 시간 비용을 유도하는 피어프린팅 샘플을 설계함으로써, 이 방법은 적대적 훈련, 모델 프루닝, 구조적 수정에 대해 뛰어난 고유성과 강건성을 확보하며, 다양한 아키텍처와 데이터셋에서 기존의 예측 기반 피어프린팅 기법보다 뛰어난 성능을 보인다.

ABSTRACT

Transforming large deep neural network (DNN) models into the multi-exit architectures can overcome the overthinking issue and distribute a large DNN model on resource-constrained scenarios (e.g. IoT frontend devices and backend servers) for inference and transmission efficiency. Nevertheless, intellectual property (IP) protection for the multi-exit models in the wild is still an unsolved challenge. Previous efforts to verify DNN model ownership mainly rely on querying the model with specific samples and checking the responses, e.g., DNN watermarking and fingerprinting. However, they are vulnerable to adversarial settings such as adversarial training and are not suitable for the IP verification for multi-exit DNN models. In this paper, we propose a novel approach to fingerprint multi-exit models via inference time rather than inference predictions. Specifically, we design an effective method to generate a set of fingerprint samples to craft the inference process with a unique and robust inference time cost as the evidence for model ownership. We conduct extensive experiments to prove the uniqueness and robustness of our method on three structures (ResNet-56, VGG-16, and MobileNet) and three datasets (CIFAR-10, CIFAR-100, and Tiny-ImageNet) under comprehensive adversarial settings.

연구 동기 및 목표

• 실세계 배포 환경에서 다중 출구 딥 네ural 네트워크 모델에 대한 효과적인 지적 재산권 보호의 부족을 해결하기 위해.
• 예측 출력에 의존하는 기존의 피어프린팅 및 워터마킹 기법의 한계를 극복하기 위해, 이는 적대적 훈련과 구조적 조작에 취약하기 때문이다.
• 타겟 모델을 독립적으로 훈련한 모델과 구별할 수 있는 고유성과, 모델 미세조정, 프루닝, 적대적 재훈련에 저항하는 강건성을 동시에 확보하는 피어프린팅 기법을 설계하기 위해.
• 모델 가중치를 수정하거나 백도어를 삽입하지 않고도 신뢰할 수 있는 소유권 검증을 가능하게 하여, 상용 제품 모델과의 호환성을 확보하기 위해.

제안 방법

• 이 방법은 타겟 다중 출구 모델의 지정된 내부 분류기에서 조기 출구를 유도할 수 있도록 특별히 설계된 피어프린팅 샘플 세트를 생성하여 고유한 추론 시간 서명을 생성한다.
• 이러한 샘플의 추론 시간 비용이 모델의 내부 구조와 계층별 연산에 매우 민감함을 활용함으로써, 시간적 차이를 보이는 고유한 시간 피어프린팅을 생성한다.
• 피어프린팅 과정이 예측 레이블에 의존하지 않기 때문에, 재훈련, 프루닝 또는 구조적 수정으로 인한 정확도 변화에 대해 강건하다.
• 의심스러운 모델의 피어프린팅 샘플에 대한 추론 시간을 비교하기 위해 임계값 기반 검증 메커니즘을 사용하며, 다양한 적대적 환경에서 높은 참양성률을 보인다.
• 유일성과 강건성을 다양한 공격 시나리오 하에서 정량화하기 위해 EEC AUC 점수와 IP 검증 비율을 평가 지표로 사용한다.
• 피어프린팅 샘플은 최소한의 변형(L2 점수 < 0.05)으로 생성되어 시각적으로 인지하기 어려우면서도 강력한 시간적 피어프린팅 고유성을 유지한다.

실험 결과

연구 질문

• RQ1 예측 출력에 의존하지 않고 추론 시간을 다중 출구 DNN 모델의 신뢰할 수 있고 고유한 피어프린팅 신호로 사용할 수 있는가?
• RQ2 제안된 추론 시간 기반 피어프린팅 방법은 적대적 훈련, 모델 미세조정, IC 재훈련 또는 제거와 같은 구조적 수정에 대해 얼마나 강건한가?
• RQ3 동일한 아키텍처와 데이터셋을 사용해 독립적으로 훈련된 모델에 대해 소유권 검증 시 이 방법이 얼마나 높은 고유성을 유지하는가?
• RQ4 이 방법은 다양한 DNN 아키텍처(ResNet-56, VGG-16, MobileNet)와 데이터셋(CIFAR-10, CIFAR-100, Tiny-ImageNet)에서 어떻게 성능을 발휘하는가?
• RQ5 임계값 $T_f$ 를 변화시켰을 때, 임계값이 거짓 양성과 검증 정확도 사이의 트레이드오프에 어떤 영향을 미치는가?

주요 결과

• 제안된 방법은 표준 적대적 편향(RAD=5) 하에서 100개의 독립 모델과 100개의 샤로우 모델에 대해 평균 0.99의 IP 검증 비율을 달성하여 높은 고유성을 입증했다.
• RAD=15로 강력한 적대적 훈련을 거친 상황에서도 ResNet-56과 VGG-16에서 0.98의 검증 비율을 유지하였으며, 기준선은 대부분의 경우 예측 레이블 이동으로 실패하였다.
• 모델 미세조정 상황에서도 강건성을 유지하였으며, 타겟 모델당 80개의 미세조정 모델에 대해 EEC AUC 점수는 평균 0.98 이상으로 최소한의 열화를 보였다.
• 피어프린팅 샘플과 원본 이미지 간의 L2 점수는 항상 0.05 이하로 유지되어 시각적 인지 불가성을 확인하였고, 동시에 강력한 시간적 피어프린팅 고유성을 유지하였다.
• 특히 적대적 훈련과 구조적 수정 상황에서 기존의 최첨단 예측 기반 피어프린팅 기법보다 뛰어난 고유성과 강건성을 확보하며 성능을 뛰어넘었다.
• 임계값 튜닝 결과, $T_f = 0.005$ 가 최적의 균형을 이룩하였으며, RAD=5 조건에서 독립 모델에 대해 0.99의 검증 비율, 샤로우 모델에 대해 0.98의 검증 비율을 달성하였고, 높은 임계값은 정확도를 감소시켰다.