[논문 리뷰] Preventing Unauthorized Use of Proprietary Data: Poisoning for Secure Dataset Release

Liam Fowl, Ping-yeh Chiang외 5명|arXiv (Cornell University)|2021. 02. 16.

Advanced Malware Detection Techniques인용 수 12

한 줄 요약

이 논문은 공개된 데이터셋을 미세하게 수정하여 모델의 일반화 성능을 떨어뜨리되, 시각적 품질은 유지하면서 경쟁사가 소유한 모델을 복제하는 것을 방지하는 새로운 가용성 있는 데이터 품질 훼손 방법을 제안한다. 이 방법은 온라인, 기울기 기반 최적화를 사용하여 딥 네트워크에서 테스트 오차를 최대화하는 최소한의 변형을 생성하며, ImageNet 및 얼굴 인식 작업에서 상태최고 수준의 성능을 달성하면서 데이터 수정 비율을 최소화한다.

ABSTRACT

Large organizations such as social media companies continually release data, for example user images. At the same time, these organizations leverage their massive corpora of released data to train proprietary models that give them an edge over their competitors. These two behaviors can be in conflict as an organization wants to prevent competitors from using their own data to replicate the performance of their proprietary models. We solve this problem by developing a data poisoning method by which publicly released data can be minimally modified to prevent others from train-ing models on it. Moreover, our method can be used in an online fashion so that companies can protect their data in real time as they release it.We demonstrate the success of our approach onImageNet classification and on facial recognition.

연구 동기 및 목표

• 공개된 데이터 배포와 기업의 전용 모델 훈련에서의 경쟁 우위를 유지하는 갈등을 해결하기 위해.
• 시각적 품질에 영향을 주지 않으면서 공개된 데이터에서 훈련된 모델의 일반화 성능을 떨어뜨리는 방법을 개발하기 위해.
• 소셜 미디어와 같은 동적 데이터 배포 플랫폼에 적합한 실시간, 온라인 데이터 품질 훼손을 가능하게 하기 위해.
• 기존의 비선택적 품질 훼손 공격에 비해 효과성과 확장성 면에서 뛰어나도록 하기 위해.
• 조직이 데이터를 투명하게 배포하면서도 모델 훈련 우위를 보호할 수 있는 실용적 해결책을 제공하기 위해.

제안 방법

• 피해를 입힌 데이터에서 모델의 테스트 오차를 최대화하기 위해 이중 최적화 문제를 수립하며, 이는 ℓ∞ 노름으로 제한된 작은 변형을 포함한다.
• 대상 기울기의 추정을 위해 서브티튜드 모델을 사용하고, 손실 함수를 통해 대상 기울기와 모델의 손실 기울기 간의 내적 곱을 최대화함으로써 변형을 생성한다.
• 기울기 계산에서 분모를 분리함으로써 샘플 단위의 온라인 변형 생성을 가능하게 하여 분산 및 실시간 적용을 지원한다.
• 시각적 정밀도를 향상시키기 위해 ℓ2, 총 변동성(TV), SSIM 등의 정규화 기법을 통합한다.
• 서명된 Adam 최적화를 사용하여 일반화 성능을 떨어뜨리되, 인지할 수 없을 정도로 미세한 변형을 효율적으로 계산한다.
• 대상 모델의 아키텍처나 가중치에 대한 액세스 없이도 작동할 수 있도록 블랙박스 환경에서 효과적으로 작동하도록 설계되어 있다.

실험 결과

연구 질문

• RQ1 공개된 데이터에서 훈련된 딥 네트워크의 일반화 성능을 효과적으로 떨어뜨릴 수 있는 데이터 품질 훼손 방법을 개발할 수 있는가?
• RQ2 이러한 방법을 동적 데이터 플랫폼에 적합한 실시간, 온라인 방식으로 적용할 수 있는가?
• RQ3 이 방법은 ResNet-18과 같은 현대 딥 네트워크에서, 특히 품질 훼손 비율이 제한된 상황에서 얼마나 효과적인가?
• RQ4 정규화 기법이 품질 향상에 기여하는 정도는 어느 정도이며, 동시에 품질 훼손 효과에 영향을 주지 않는가?
• RQ5 이 방법은 이미지 분류와 얼굴 인식 작업 양쪽 모두에 성공적으로 적용될 수 있는가?

주요 결과

• 5%의 데이터만을 사용해 기울기 추정을 수행할 때, 오염된 ImageNet 데이터에서 훈련된 ResNet-18의 검증 정확도가 44.82%에 도달하여, 최소한의 데이터로도 매우 높은 효과를 보였다.
• 기울기 추정에 5%의 데이터만 사용하고 정규화를 적용하지 않을 경우에도 검증 오차가 두 배로 증가하여 정확도가 74.64%에 도달했으며, 이는 데이터 부족 상황에서도 매우 강력한 내구성을 보임을 시사한다.
• SSIM 및 TV 정규화 기법을 추가하면 변형의 가시성이 감소하지만, 검증 정확도는 상승한다. 예를 들어, SSIM 정규화를 적용할 경우 정확도는 정규화 없이 44.82%에서 51.09%로 상승한다.
• 기울기 계산에서 분모를 분리한 온라인 제작 메커니즘은 전체 배치 버전과 거의 동일한 변형을 생성하여 확장성 있고 분산 배포가 가능한 구현을 가능하게 한다.
• 특히 블랙박스 및 실시간 환경에서 기존의 비선택적 품질 훼손 공격에 비해 뛰어난 성능을 보이며, 데이터의 소수만을 오염시켜도 효과적으로 작용한다.
• 이 방법은 ImageNet 분류 및 얼굴 인식 작업 모두에서 효과적이며, 다양한 비전 벤치마크에 걸쳐 광범위한 적용 가능성을 보였다.