[논문 리뷰] Removing Backdoor-Based Watermarks in Neural Networks with Limited Data

Xuankai Liu, Fengting Li외 2명|arXiv (Cornell University)|2020. 08. 02.

Adversarial Robustness in Machine Learning참고 문헌 28인용 수 17

한 줄 요약

이 논문은 원래 훈련 데이터의 소수의 일부만을 사용하여 딥 네ural 네트워크에서 백도어 기반 워터마크를 제거하는 새로운 프레임워크인 WILD를 제안한다. 워터마크 트리거를 시뮬레이션하기 위한 새로운 데이터 증강 기법과 특징 공간 내 분포 간 격차를 최소화하는 방식을 결합함으로써, WILD는 워터마크 유지율을 약 100%에서 20% 이하로 감소시키며, 모델 정확도는 MNIST와 CIFAR-10에서 각각 평균 0.3%와 1.7%의 정확도 하락만으로 유지한다.

ABSTRACT

Deep neural networks have been widely applied and achieved great success in various fields. As training deep models usually consumes massive data and computational resources, trading the trained deep models is highly demanded and lucrative nowadays. Unfortunately, the naive trading schemes typically involves potential risks related to copyright and trustworthiness issues, e.g., a sold model can be illegally resold to others without further authorization to reap huge profits. To tackle this problem, various watermarking techniques are proposed to protect the model intellectual property, amongst which the backdoor-based watermarking is the most commonly-used one. However, the robustness of these watermarking approaches is not well evaluated under realistic settings, such as limited in-distribution data availability and agnostic of watermarking patterns. In this paper, we benchmark the robustness of watermarking, and propose a novel backdoor-based watermark removal framework using limited data, dubbed WILD. The proposed WILD removes the watermarks of deep models with only a small portion of training data, and the output model can perform the same as models trained from scratch without watermarks injected. In particular, a novel data augmentation method is utilized to mimic the behavior of watermark triggers. Combining with the distribution alignment between the normal and perturbed (e.g., occluded) data in the feature space, our approach generalizes well on all typical types of trigger contents. The experimental results demonstrate that our approach can effectively remove the watermarks without compromising the deep model performance for the original task with the limited access to training data.

연구 동기 및 목표

• 적은 양의 훈련 데이터에만 접근 가능한 악성 사용자가 존재하는 실제 환경에서 백도어 기반 워터마킹 기법의 취약성을 해결하기 위해.
• 전체 훈련 세트, 추가적인 레이블이 없는 데이터, 또는 복잡한 초모수 튜닝이 필요 없는 워터마크 제거 방법을 개발하기 위해.
• 원래 작업에 대해 높은 모델 성능을 유지하면서도 워터마크를 효과적으로 무효화하기 위해.
• 콘텐츠 기반, 노이즈 기반, 그리고 관련 없는 워터마크를 포함한 다양한 워터마크 유형으로 일반화하기 위해.

제안 방법

• 일반적인 입력에 대해 가림 유사한 편향을 적용하여 워터마크 트리거를 시뮬레이션하는 새로운 데이터 증강 전략을 제안한다.
• 정상 입력과 페르티urbed(예: 가림된) 입력 간의 특징 공간 분포를 정렬하여 워터마크 패tern에 대한 강건성을 향상시킨다.
• 고수준 특징 내 분포 격차를 최소화하는 재훈련 절차를 최적화하여, 알려지지 않은 워터마크 패턴으로의 일반화 능력을 향상시킨다.
• 워터마크 제거와 정확도 유지 간 균형을 맞추기 위해 교차 엔트로피(CE), 레이블 스무딩(JS), 디스틸레이션(DN)을 최적화 목표로 사용한다.
• 외부의 레이블이 없는 데이터나 정교하게 튜닝된 학습률 스케줄링에 의존하지 않아, 제한된 데이터 환경에서 실용적이게 된다.
• 오직 일부 내분포 데이터만 이용 가능한 약한 지도 학습 조건 하에서 이 프레임워크를 적용한다.

실험 결과

연구 질문

• RQ1 전체 데이터셋이 아닌 원래 훈련 데이터의 소수의 부분집합만으로도 워터마크 제거를 효과적으로 수행할 수 있는가?
• RQ2 콘텐츠 기반, 노이즈 기반, 그리고 관련 없는 워터마크를 포함한 다양한 워터마크 유형에 대해 제안된 방법의 성능은 어떠한가?
• RQ3 워터마크 제거 후 원래 작업에 대한 모델 정확도는 어느 정도 유지되는가?
• RQ4 특히 정확도 저하와 워터마크 유지율 측면에서, WILD의 성능는 REFIT과 같은 최첨단 방법과 비교해 어떻게 되는가?

주요 결과

• MNIST에서, WILD는 훈련 데이터의 20%만을 사용해 워터마크 유지율을 거의 100%에서 20% 이하로 감소시키며, 테스트 정확도 평균 하락률은 0.3%에 불과하다.
• CIFAR-10에서도 동일한 데이터 제약 조건 하에서 워터마크 유지율이 20% 이하로 떨어지며, 평균 정확도 하락률은 1.7%로 나타나 강력한 일반화 능력을 보였다.
• 관련 없는 워터마크는 가장 제거가 어려우며, MNIST에서는 약 20%, CIFAR-10에서는 약 16%의 유지율을 보였는데, 이는 그들이 분포 외부에 있기 때문이다.
• REFIT와 비교해도 WILD는 더 뛰어난 성능을 보였으며, REFIT는 정교한 학습률 튜닝이 필요하고도 여전히 높은 워터마크 유지율이나 정확도 손실 문제를 겪는다.
• 훈련 데이터의 40%를 사용할 경우, WILD는 정확도 저하가 거의 없으며, 콘텐츠 기반 워터마크의 경우 CIFAR-10에서 정확도 하락률이 단 0.5%에 불과하지만, 워터마크를 완전히 제거한다.
• 최적화 전략 중에서, 레이블 스무딩(JS)과 교차 엔트로피(CE)는 지식 디스틸레이션(DN)보다 성능 저하가 적었으며, 특히 관련 없는 워터마크에 대해 더욱 두드러졌다.