[논문 리뷰] Robust Watermarking of Neural Network with Exponential Weighting

Ryota Namba, Jun Sakuma|arXiv (Cornell University)|2019. 01. 18.

Adversarial Robustness in Machine Learning참고 문헌 20인용 수 14

한 줄 요약

이 논문은 모델 수정(예: 프루닝) 및 쿼리 수정(예: 적대적 편향)에 강건한 워터마킹을 구현하기 위해 지수 가중치를 사용하는 강건한 신경망 워터마킹 방법을 제안한다. 학습 중에 레이블 변경 키 샘플과 지수 가중치를 결합함으로써, 모든 데이터셋과 공격 유형에서 완벽한 검증(AUC = 1.0)을 달성하며, 심지어 극단적인 변조 조건에서도 모델 정확도를 유지한다.

ABSTRACT

Deep learning has been achieving top performance in many tasks. Since training of a deep learning model requires a great deal of cost, we need to treat neural network models as valuable intellectual properties. One concern in such a situation is that some malicious user might redistribute the model or provide a prediction service using the model without permission. One promising solution is digital watermarking, to embed a mechanism into the model so that the owner of the model can verify the ownership of the model externally. In this study, we present a novel attack method against watermark, query modification, and demonstrate that all of the existing watermark methods are vulnerable to either of query modification or existing attack method (model modification). To overcome this vulnerability, we present a novel watermarking method, exponential weighting. We experimentally show that our watermarking method achieves high verification performance of watermark even under a malicious attempt of unauthorized service providers, such as model modification and query modification, without sacrificing the predictive performance of the neural network model.

연구 동기 및 목표

• 블랙박스 소유권 검증에서 기존 워터마킹 기법이 모델 수정 및 쿼리 수정 공격에 취약한 점을 해결하기 위해.
• 무단 서비스 제공자가 모델이나 쿼리를 변조하더라도 높은 검증 정확도를 유지할 수 있는 워터마킹 체계를 개발하기 위해.
• 모델 성능 저하 없이 실제 적대적 조건에서도 워터마킹 검증이 신뢰성 있고 효과적으로 유지되도록 보장하기 위해.
• 구조적 변경(예: 프루닝)과 입력 수준의 조작(예: 적대적 예제)에 모두 강건한 방법을 제안하기 위해.
• 다양한 데이터셋과 공격 시나리오에서 완벽한 워터마킹 검증(AUC = 1.0)을 달성하여 기존 방법들을 능가하기 위해.

제안 방법

• 적대적 예제의 진짜 레이블을 변경하여 모델이 잘못 분류하는 '워터마크 키'가 되는 키 샘플을 생성한다.
• 각 키 샘플이 손실 함수에 기여하는 정도를 훈련 순서상의 위치에 따라 지수적으로 가중하는 방식으로 워터마킹을 통합한다.
• 지수 가중치는 초기 키 샘플이 최종 모델 파라미터에 더 큰 영향을 미치도록 하여, 모델의 피니튜닝 또는 프루닝 조건에서도 워터마크 신호가 유지됨을 보장한다.
• 키 샘플을 모델에 쿼리하여 예측 신뢰도 분포를 지수 가중치 패턴에서 유도한 임계값과 비교함으로써 워터마킹을 검증한다.
• 모델 파rameter에 대한 액세스 없이 예측 서비스와의 상호작용만으로도 작동하는 블랙박스 설정에서 작동한다.
• 쿼리 수준 공격(예: 오토에코더 기반 쿼리 수정)과 모델 수준 공격(예: 프루닝, 피니튜닝) 양쪽에 모두 강건하도록 설계되어 있다.

실험 결과

연구 질문

• RQ1 워터마킹 기법이 모델 수정 및 쿼리 수정 공격 모두에서 높은 검증 정확도를 유지할 수 있는가?
• RQ2 균일하거나 선형 가중치 방식과 비교해 지수 가중치는 워터마킹의 강건성을 어떻게 향상시키는가?
• RQ3 레이블 변경된 적대적 예제 생성 방식이 모델 정확도를 유지하면서도 워터마킹 탐지 가능성을 향상시키는가?
• RQ4 제안된 방법이 모든 공격 유형에서 여러 데이터셋에서 완벽한 검증(AUC = 1.0)을 달성할 수 있는가?
• RQ5 키 샘플의 수가 워터마킹 체계의 강건성과 검증 성능에 어떤 영향을 미치는가?

주요 결과

• 제안된 방법은 CIFAR10, CIFAR100, GTSRB, MNIST 등 모든 데이터셋에서 프루닝 및 오토에코더 기반 쿼리 수정 공격 조건에서도 AUC = 1.0을 달성한다.
• 기존 워터마킹 기법들, 즉 (Zhang et al., 2018), (Merrer et al., 2017), (Rouhani et al., 2018)은 최소한 하나의 공격 유형에서 AUC = 1.0를 달성하지 못하며, 일부는 성능 저하가 심각하게 나타난다.
• 오직 5개의 키 샘플만으로도 GTSRB에서 프루닝 조건에서도 AUC가 최소 0.85를 유지하며, 모든 베이스라인 방법들을 능가한다.
• 모델의 원래 예측 정확도가 손상되지 않으며, 어떤 조건에서도 테스트 정확도 저하가 보고되지 않았다.
• 키 샘플 수를 5개로 줄였을 때도 검증 성능이 강건하게 유지되어 강력한 신호 내성 특성을 보인다.
• 지수 가중치 메커니즘이 모델 피니튜닝 및 프루닝 과정에서 워터마크 신호를 효과적으로 유지하여, 구조적 변조에 매우 강건하다.