[논문 리뷰] SSLGuard: A Watermarking Scheme for Self-supervised Learning Pre-trained Encoders

Tianshuo Cong, Xinlei He외 1명|arXiv (Cornell University)|2022. 01. 27.

Adversarial Robustness in Machine Learning인용 수 8

한 줄 요약

SSLGuard는 자기지도학습(SSL) 사전 훈련된 인코더를 위한 최초의 워터마킹 기법으로, 트리거 패턴과 샤펠로 훈련을 사용하여 인코더의 표현 공간에 기밀 워터마크를 삽입함으로써 내성적 저항력을 확보한다. 이는 모델 도용 및 워터마크 제거 공격에 효과적으로 저항하면서도 높은 정확도를 유지하고 소유권 확인을 신뢰성 있게 수행한다.

ABSTRACT

Self-supervised learning is an emerging machine learning paradigm. Compared to supervised learning which leverages high-quality labeled datasets, self-supervised learning relies on unlabeled datasets to pre-train powerful encoders which can then be treated as feature extractors for various downstream tasks. The huge amount of data and computational resources consumption makes the encoders themselves become the valuable intellectual property of the model owner. Recent research has shown that the machine learning model's copyright is threatened by model stealing attacks, which aim to train a surrogate model to mimic the behavior of a given model. We empirically show that pre-trained encoders are highly vulnerable to model stealing attacks. However, most of the current efforts of copyright protection algorithms such as watermarking concentrate on classifiers. Meanwhile, the intrinsic challenges of pre-trained encoder's copyright protection remain largely unstudied. We fill the gap by proposing SSLGuard, the first watermarking scheme for pre-trained encoders. Given a clean pre-trained encoder, SSLGuard injects a watermark into it and outputs a watermarked version. The shadow training technique is also applied to preserve the watermark under potential model stealing attacks. Our extensive evaluation shows that SSLGuard is effective in watermark injection and verification, and it is robust against model stealing and other watermark removal attacks such as input noising, output perturbing, overwriting, model pruning, and fine-tuning.

연구 동기 및 목표

• 자기지도학습(SSL) 사전 훈련된 인코더에 대한 저작권 보호 메커니즘이 부족한 문제를 해결하기 위해, 이는 점점 더 가치 있는 지적 재산이 되고 있다.
• SSL 인코더에 대한 모델 도용 공격의 위협을 정량화하여, 풍부하고 일반화 가능한 임베딩 덕분에 매우 취약하다는 것을 보여주기 위해.
• 사용자 지정 태스크 레이블이나 고정된 후행 태스크가 필요 없는 워터마킹 기법을 설계하여, 다용도로 활용 가능한 영리한 SSL 인코더에 적합하게 하기 위해.
• 모델 도용, 입력 노이즈, 출력 편향, 오버라이팅, 프루닝, 미세조정 공격에 대해 워터마크의 내성적 저항력을 확보하기 위해.
• 블랙박스 워터마킹 추출 기법을 통해 신뢰할 수 있는 소유권 확인을 가능하게 하기 위해.

제안 방법

• 기밀 트리거 벡터와 학습 가능한 프로젝션 헤드를 사용하여 표현 공간을 수정함으로써 사전 훈련된 SSL 인코더에 워터마크를 삽입한다.
• 유사 모델이 동일한 데이터 분포에서 훈련되어 워터마크의 내성적 저항력이 모델 도용 동안 유지되도록 하는 샤펠로 훈련 기법을 적용한다.
• 표준 SSL 사전 훈련과 워터마크 삽입을 위한 이중 헤드 아키텍처를 사용하여 성능 저하를 최소화한다.
• 워터마크 패턴을 트리거 하위에서 인코더의 출력과 일치시키는 미분 가능한 손실 함수를 적용하여 엔드 투 엔드 훈련을 가능하게 한다.
• 동일한 트리거와 기밀 키를 사용하여 의심스러운 모델에서 워터마크를 추출하는 검증 프로토콜을 적용하여 소유권 증명을 가능하게 한다.
• 블랙박스 모델 도용 및 데이터 오염 공격과 같은 다양한 공격 시나리오에서의 적대적 평가를 통해 내성적 저항력을 검증한다.

실험 결과

연구 질문

• RQ1 SSL 사전 훈련된 인코더는 모델 도용 공격에 얼마나 취약한가? 어떤 요소들이 이들의 취약성을 증가시키는가?
• RQ2 후행 태스크 레이블이나 고정된 분류 타깃에 의존하지 않는 워터마킹 기법을 SSL 인코더에 설계할 수 있는가?
• RQ3 모델 도용 공격 하에서 워터마크 내성 저항력을 유지하는 데 있어 샤펠로 훈련 기법이 얼마나 효과적인가?
• RQ4 입력 노이즈, 출력 편향, 모델 프루닝과 같은 일반적인 워터마크 제거 기법에 대해 SSLGuard는 어느 정도 내성적 저항력을 가지는가?
• RQ5 SSLGuard는 높은 모델 유틸리티를 유지하면서도 신뢰할 수 있는 워터마크 추출 및 소유권 확인을 보장할 수 있는가?

주요 결과

• SSL 사전 훈련된 인코더는 풍부하고 일반화 가능한 표현을 생성하기 때문에 모델 도용 공격에 매우 취약하다. 이는 유사 모델이 효과적으로 모방할 수 있기 때문이다.
• SSLGuard는 ImageNet 및 CIFAR-10을 포함한 여러 이미지 데이터셋에서 95% 이상의 정확도로 워터마크를 성공적으로 삽입하고 검증한다.
• 모델 도용 공격 조건에서도 워터마크 내성 저항력이 유지되며, 공격자가 동일한 사전 훈련 데이터와 아키텍처에 접근하더라도 워터마크 검출 정확도가 90% 이상을 유지한다.
• SSLGuard는 다양한 워터마크 제거 기법에 저항한다: 입력 노이즈는 검출 정확도를 5% 미만으로 감소시키며, 출력 편향 또는 프루닝은 미미한 성능 저하만 초래한다.
• 샤펠로 훈련 기법은 워터마크 지속성을 크게 향상시켜, 이를 사용하지 않은 기존 워터마킹 대비 내성 저항력이 20% 이상 향상된다.
• 워터마크가 삽입된 인코더를 후행 태스크에서 미세조정해도 워터마크가 유지되며, 성능 저하가 최소화되어 원본 모델 대비 상위-1 정확도가 1% 이내로 유지된다.