[논문 리뷰] Good Artists Copy, Great Artists Steal: Model Extraction Attacks Against Image Translation Generative Adversarial Networks.

Sebastian Szyller, Vasisht Duddu외 2명|arXiv (Cornell University)|2021. 04. 26.

Generative Adversarial Networks and Image Synthesis참고 문헌 47인용 수 4

한 줄 요약

이 논문은 실제 도메인 이미지 번역 GAN에 대한 첫 번째 모델 추출 공격를 제시한다. 공격자는 피해자의 추론 API를 도메인 특화 데이터로 쿼리하여 피해자의 아키텍처를 사전에 알지 못한 채 기능적인 서rogate 모델을 구축한다. 이 공격는 세 가지 이미지 번역 작업 전반에서 높은 정밀도를 달성하였으며, 인간의 시각적 평가에서 피해자 모델과 서rogate 모델의 출력이 작은 효과 크기(Cohen’s d = 0.3) 내에서 구분되지 않았다.

ABSTRACT

Machine learning models are typically made available to potential client users via inference APIs. Model extraction attacks occur when a malicious client uses information gleaned from queries to the inference API of a victim model $F_V$ to build a surrogate model $F_A$ that has comparable functionality. Recent research has shown successful model extraction attacks against image classification, and NLP models. In this paper, we show the first model extraction attack against real-world generative adversarial network (GAN) image translation models. We present a framework for conducting model extraction attacks against image translation models, and show that the adversary can successfully extract functional surrogate models. The adversary is not required to know $F_V$'s architecture or any other information about it beyond its intended image translation task, and queries $F_V$'s inference interface using data drawn from the same domain as the training data for $F_V$. We evaluate the effectiveness of our attacks using three different instances of two popular categories of image translation: (1) Selfie-to-Anime and (2) Monet-to-Photo (image style transfer), and (3) Super-Resolution (super resolution). Using standard performance metrics for GANs, we show that our attacks are effective in each of the three cases -- the differences between $F_V$ and $F_A$, compared to the target are in the following ranges: Selfie-to-Anime: FID $13.36-68.66$, Monet-to-Photo: FID $3.57-4.40$, and Super-Resolution: SSIM: $0.06-0.08$ and PSNR: $1.43-4.46$. Furthermore, we conducted a large scale (125 participants) user study on Selfie-to-Anime and Monet-to-Photo to show that human perception of the images produced by the victim and surrogate models can be considered equivalent, within an equivalence bound of Cohen's $d=0.3$.

연구 동기 및 목표

• 실제 도메인 이미지 번역 생성적 적대적 네트워크(GAN)에 대해 모델 추출 공격가 가능한지 조사하는 것.
• 공격자가 피해자의 추론 API에 대한 쿼리만으로 기능적인 서rogate 모델을 추출할 수 있도록 하는 프레임워크를 개발하는 것.
• 표준 GAN 메트릭과 인간 인식을 사용하여 원본 피해자 모델과 비교해 추출된 모델의 정밀도를 평가하는 것.
• 서rogate 모델이 이미지 번역 작업에서 피해자 모델과 인간 인식적으로 구분되지 않는 정도로 어느 정도 유사한지 확인하는 것.

제안 방법

• 공격자는 피해자 모델의 추론 API를 피해자 학습 데이터와 동일한 도메인의 입력 데이터로 쿼리한다.
• 공격자는 피해자 모델의 입력-출력 쌍을 수집하여 기능을 모방하는 서rogate 모델을 훈련시킨다.
• 서rogate 모델은 피해자 모델의 아키텍처나 가중치에 접근하지 못한 채 표준 GAN 훈련 절차를 사용하여 훈련된다.
• 이 방법은 피해자 모델의 추론 인터페이스에 대한 블랙박스 액세스에만 의존하므로 실세계 적용에 실용적이다.
• 성능 평가는 표준 GAN 메트릭인 Fréchet Inception Distance (FID), Structural Similarity (SSIM), Peak Signal-to-Noise Ratio (PSNR)를 사용하여 평가된다.
• 125명의 참가자가 참여한 대규모 사용자 연구를 통해 피해자 모델과 서rogate 모델 출력 간의 이미지 품질과 유사성에 대한 인간 인식을 평가하였다.

실험 결과

연구 질문

• RQ1 API 쿼리만으로 블랙박스 모델 추출 공격가 기능적인 이미지 번역 GAN을 성공적으로 재구성할 수 있는가?
• RQ2 표준 GAN 메트릭 측면에서 추출된 서rogate 모델의 성능이 원본 피해자 모델과 얼마나 유사한가?
• RQ3 사람들의 평가에서 서rogate 모델의 출력이 피해자 모델의 출력과 얼마나 인식적으로 구분되지 않는가?
• RQ4 스타일 전이 및 슈퍼해상도와 같은 다양한 이미지 번역 작업에서 공격 결과는 어떻게 달라지는가?

주요 결과

• 모델 추출 공격는 피해자 이미지 번역 GAN의 기능을 밀도 있게 재현하는 서rogate 모델을 성공적으로 생성하였다.
• 셀프리 투 애니메이션 번역에서, 피해자 모델과 서rogate 모델 간의 FID는 13.36에서 68.66 사이로, 높은 유사성을 나타내었다.
• 모네이 투 포토 스타일 전이에서는 FID가 3.57에서 4.40 사이로, 강력한 성능 유사성을 보였다.
• 슈퍼해상도 작업에서는 서rogate 모델이 SSIM 차이 0.06–0.08과 PSNR 차이 1.43–4.46를 기록하여 고해상도 재구성 능력을 입증하였다.
• 인간 인식 연구 결과, 서rogate 모델과 피해자 모델이 생성한 이미지 간에 구분이 되지 않았으며, Cohen’s d 효과 크기는 0.3으로 등가성 범위 내에 있었다.
• 공격는 피해자 모델의 아키텍처나 학습 데이터를 알지 못한 채 다양한 이미지 번역 작업에서 효과적으로 작동하였다.