[논문 리뷰] Piracy-Resistant DNN Watermarking by Block-Wise Image Transformation with Secret Key

AprilPyone MaungMaung, Hitoshi Kiya|arXiv (Cornell University)|2021. 04. 09.

Advanced Steganography and Watermarking Techniques인용 수 5

한 줄 요약

이 논문은 사전에 정의된 트리거 세트가 필요 없이 원격 소유권 검증이 가능한 도메인 특화 신경망(DNN) 워터마킹 기법을 제안한다. 이 기법은 비밀 키에 의존하는 학습 가능한 블록 단위 이미지 변환을 통해 워터마크를 임bedding하며, 정밀한 튜닝 및 프루닝 공격에 저항하면서도 높은 모델 정확도를 유지한다. 워터마크 탐지 능력은 변조로 인한 성능 저하 덕분에 도용된 워터마크보다 항상 뛰어나다.

ABSTRACT

In this paper, we propose a novel DNN watermarking method that utilizes a learnable image transformation method with a secret key. The proposed method embeds a watermark pattern in a model by using learnable transformed images and allows us to remotely verify the ownership of the model. As a result, it is piracy-resistant, so the original watermark cannot be overwritten by a pirated watermark, and adding a new watermark decreases the model accuracy unlike most of the existing DNN watermarking methods. In addition, it does not require a special pre-defined training set or trigger set. We empirically evaluated the proposed method on the CIFAR-10 dataset. The results show that it was resilient against fine-tuning and pruning attacks while maintaining a high watermark-detection accuracy.

연구 동기 및 목표

• 정밀한 튜닝 및 모델 프루닝과 같은 해킹 공격에 취약한 기존 DNN 워터마킹 기법의 취약성을 해결한다.
• 모델 가중치나 사전 정의된 트리거 세트에 접근할 필요 없이 원격으로 블랙박스 방식의 소유권 검증을 가능하게 한다.
• 변조 시 모델 성능이 저하되므로 워터마크 탐지 능력이 도용된 워터마크보다 항상 뛰어나도록 보장한다.
• 표준 학습 과정에 워터마킹을 원활하게 통합하면서도 모델 정확도를 희생시키지 않는 방법을 개발한다.

제안 방법

• 학습 중 입력 이미지에 대해 비밀 키에 따라 결정되는 학습 가능한 블록 단위 이미지 변환을 적용하여 워터마크를 포함한 변환된 이미지를 생성한다.
• 기본(일반) 이미지와 그 변환된 이미지를 모두 사용하여 DNN을 학습함으로써 워터마크를 모델의 결정 경계에 임베딩한다.
• 일반 이미지와 그 변환된 버전에 대한 모델 예측을 비교하여 예측 일관성 기반의 탐지 점수를 사용해 소유권을 검증한다.
• 비밀 키를 사용해 변환 함수를 제어함으로써, 오직 정당한 당사자만 유효한 변환 이미지를 생성해 검증에 사용할 수 있도록 보장한다.
• 변환 과정은 미분 가능하고 엔드 투 엔드로 학습이 가능하므로, 표준 역전파 알고리즘 동안 워터마크가 함께 임베딩된다.
• 추가 정규화 항이나 특수 트리거 세트가 필요 없어, 이전의 화이트박스 또는 트리거 기반 접근 방식과 구분된다.

실험 결과

연구 질문

• RQ1 정밀한 튜닝 및 프루닝 공격에 저항하면서도 모델 정확도가 저하되지 않는 DNN 워터마킹 기법을 설계할 수 있는가?
• RQ2 모델 가중치 접근이나 사전 정의된 트리거 세트에 의존하지 않고 원격으로 블랙박스 방식의 소유권 검증을 수행할 수 있는가?
• RQ3 어떤 공격자도 새로운 워터마크를 삽입하려고 할 경우 모델 성능이 저하되도록 워터마크를 본질적으로 저항성 있게 만들 수 있는가?
• RQ4 제안된 방법은 다양한 공격 상황에서도 높은 분류 정확도를 유지하면서 강력한 워터마크 탐지 능력을 확보할 수 있는가?

주요 결과

• CIFAR-10 데이터셋에서 M=2일 경우 분류 정확도가 92.74%에 달했고, M=4일 경우 92.99%를 기록하여 기준 모델의 95.45% 대비 최소한의 성능 저하를 보였다.
• 정상 조건에서 워터마크 탐지 정확도(WDA)는 M=2일 때 95.87%, M=4일 때 94.20%로 높아 워터마크 탐지 능력이 매우 우수함을 시사한다.
• 100, 500, 또는 5000장의 이미지로 정밀한 튜닝 공격을 당한 상황에서도 원본 워터마크 탐지 정확도(τ)는 새로운 키의 탐지 정확도(τ′)보다 유의미하게 높게 유지되었으며, M=2, 100장 공격 시 τ=93.64% 대비 τ′=13.26%로 뚜렷한 격차를 보였다.
• 모델 프루닝 공격에 대해서도 최대 60%의 프루닝 비율까지는 강건성을 유지했으며, 이후로는 분류 정확도와 WDA 모두 저하되기 시작했다.
• 모델을 새로운 키로 재학습하려는 모든 尝시도는 성능 저하를 초래하므로 워터마크가 도용에 취약하지 않게 되었고, 결과적으로 원본 워터마크가 도용된 워터마크보다 더 잘 탐지되었다.
• 최신 기술 대비 제안된 방법은 특히 ResNet18와 같은 깊은 아키텍처에서 블랙박스 환경에서 뛰어난 도용 저항성을 보였다.