[논문 리뷰] Towards Practical Watermark for Deep Neural Networks in Federated Learning

Fangqi Li, Shilin Wang외 1명|arXiv (Cornell University)|2021. 05. 07.

Privacy-Preserving Technologies in Data참고 문헌 39인용 수 7

한 줄 요약

이 논문은 페더레이티드 러닝에서 깊이 신경망을 위한 수신가능하고 위조 불가능한 소유권 증명을 모든 협력자에게 제공하는 워터마킹 프레임워크인 Merkle-Sign을 제안한다. 새로운 워터마킹 기법(ATGF)과 메르클 트리 기반 검증 프로토콜을 통합함으로써, 이 프레임워크는 적응형 공격, 배신자 추적, 손실된 신원 복구에 대해 강력한 보안을 확보한다. 특히 ATGF는 블랙박스 환경에서 손상 공격에 대해 뛰어난 저항성을 보였다.

ABSTRACT

With the wide application of deep neural networks, it is important to verify a host's possession over a deep neural network model and protect the model. To meet this goal, various mechanisms have been designed. By embedding extra information into a network and revealing it afterward, the watermark becomes a competitive candidate in proving integrity for deep learning systems. However, concurrent watermarking schemes can hardly be adopted for emerging distributed learning paradigms that raise extra requirements during the ownership verification. A spearheading distributed learning paradigm is federated learning (FL) where many parties participate in training one single model. Each author participating in the FL should be able to verify its ownership independently. Moreover, there are other potential threat and corresponding security requirements under this scenario. To meet those requirements, in this paper, we demonstrate a watermarking protocol for protecting deep neural networks in the setting of FL. By incorporating the state-of-the-art watermarking scheme and the cryptological primitive designed for distributed storage, the protocol meets the need for ownership verification in the FL scenario without violating the privacy for each participant. This work paves the way for generalizing watermark as a practical security mechanism for protecting deep learning models in distributed learning platforms.

연구 동기 및 목표

• 다수의 저자가 공동으로 모델을 훈련하는 페더레이티드 러닝(FL) 환경에서 실용적인 모델 소유권 보호의 부재를 해결하기 위해.
• 각 참가자가 다른 이들 또는 집계자에게 신원을 드러내지 않고도 독립적으로 자신의 소유권을 검증할 수 있는 프레임워크를 설계하기 위해.
• 한 명의 저자가 적응형 공격를 통해 워터마킹을 삭제하더라도 공저자들이 여전히 신원 증명을 복구할 수 있도록 보장하기 위해.
• 모델을 불법 복제한 배신자를 정확히 추적하여 공동 훈련 환경에서의 책임성을 확보하기 위해.
• 손상 공격에 강건하고 블랙박스 검증과 호환되는 워터마킹 기법(ATGF)을 제안하기 위해.

제안 방법

• 프레임워크는 개별 저자의 워터마킹을 글로벌 모델에 바인딩하기 위해 메르클 트리 구조를 사용하며, 이는 탈중앙화된 검증을 가능하게 한다.
• 각 저자는 페더레이티드 러닝에서의 집계 이전에 자신의 신원을 워터마킹 기법(예: ATGF)을 사용해 국소 모델에 삽입한다.
• Merkle-Sign 프로토콜은 공저자들이 제공하는 증거를 바탕으로 메르클 트리를 재구성하여 소유권을 공개적으로 검증할 수 있도록 한다.
• 새로운 워터마킹 기법인 ATGF(Adversarial Trigger Generation Framework)는 손상 공격에 저항하는 다양한 숨겨진 트리거를 생성한다.
• 시스템은 Merkle-Sign의 보안성을 기반 워터마킹 기법과 암호학적 원리에 기반하여, 위조 불가능성을 보장한다.
• 저자들이 의심스러운 모델에 대한 추론 결과만을 공개함으로써, 전체 모델 가중치를 공개하지 않아도 블랙박스 검증을 지원한다.

실험 결과

연구 질문

• RQ1 페더레이티드 러닝에서 워터마킹 프레임워크가 신원을 드러내지 않고도 모든 협력자에게 위조 불가능하고 탈중앙화된 소유권 증명을 제공할 수 있는가?
• RQ2 적응형 공격로 인해 워터마킹이 삭제된 저자의 신원이 공저자들에 의해 어떻게 복구될 수 있는가?
• RQ3 다양한 워터마킹 기법이 손상 공격 하에서 여러 워터마킹의 동기화성과 저항성에 어느 정도 영향을 미치는가?
• RQ4 검증 과정에서 신뢰를 최소화하면서도 보안을 유지할 수 있는 블랙박스 검증 프로토콜을 설계할 수 있는가?
• RQ5 Merkle-Sign과 호환되고 집단적 파손(예: 손상 공격)에 저항하기 위해 워터마킹 기법이 가져야 할 특성은 무엇인가?

주요 결과

• ATGF는 손상 공격 하에서 100~200명의 저자에 대해 98~99%의 워터마킹 검증 정확도를 보였으며, Uchida의 기법과 MTL-Sign보다 뛰어난 성능을 보였다.
• 손상 공격 하에서 Uchida의 기법은 다른 워터마킹의 100%를 유지했지만, 손상에 가장 취약하여 단 21ms 만에 해킹 가능했다.
• 랜덤 트리거 및 WF 기법의 경우, 손상 공격로 인해 다른 저자들 워터마킹의 36~41%가 무효화되었으며, 이는 높은 동기화성과 무고한 협력자들에게 미치는 위험을 시사한다.
• ATGF의 트리거는 더 다양하게 분포되어 있어 탐지 및 조작에 더 어려움을 주어, 블랙박스 환경에서의 저항성 향상을 이뤘다.
• Merkle-Sign과 ATGF의 조합은 특히 블랙박스 검증과 적응형 공격 상황에서 가장 강력한 보안 보장을 제공했다.
• 이 프레임워크는 한 워터마킹이 삭제되어도 다른 워터마킹이 그대로 검증 가능하고 공저자 협업을 통해 복구 가능하도록 하여 위협 표면을 효과적으로 줄였다.