[논문 리뷰] Watermarking Pre-trained Language Models with Backdooring

C. Gu, Chengsong Huang외 3명|arXiv (Cornell University)|2022. 10. 14.

Advanced Neural Network Applications인용 수 11

한 줄 요약

이 논문은 사전 훈련된 언어 모델(PLMs)에 백도어 트리거를 어휘 임베딩 레이어에 통합함으로써, 다양한 후행 작업에서의 피지컬 훈련 후에도 강력한 소유권 검증이 가능한 다중 작업 학습 프레임워크를 제안한다. 이 방법은 수성 수준의 90% 이상의 워터마크 추출 성공률를 달성하며, 흔한 단어 조합을 트리거로 사용하여 탐지 가능성을 낮춘다.

ABSTRACT

Large pre-trained language models (PLMs) have proven to be a crucial component of modern natural language processing systems. PLMs typically need to be fine-tuned on task-specific downstream datasets, which makes it hard to claim the ownership of PLMs and protect the developer's intellectual property due to the catastrophic forgetting phenomenon. We show that PLMs can be watermarked with a multi-task learning framework by embedding backdoors triggered by specific inputs defined by the owners, and those watermarks are hard to remove even though the watermarked PLMs are fine-tuned on multiple downstream tasks. In addition to using some rare words as triggers, we also show that the combination of common words can be used as backdoor triggers to avoid them being easily detected. Extensive experiments on multiple datasets demonstrate that the embedded watermarks can be robustly extracted with a high success rate and less influenced by the follow-up fine-tuning.

연구 동기 및 목표

• 사용자 지정된 후행 작업에서 자주 미세조정되는 사전 훈련된 언어 모델(PLMs)의 지적 재산권 보호 문제를 해결하기 위해.
• 미세조정 과정에서 치명적인 기억 상실이 발생하더라도 효과적으로 유지되는 지속 가능한 워터마크를 PLMs에 통합하기 위해.
• 대상 작업에 대한 사전 지식 없이도 여러 후행 작업에서 작동하는 블랙박스 워터마킹 방법을 개발하기 위해.
• 희귀어가 아닌 흔한 단어 조합을 사용하여 백도어 트리거의 탐지 가능성을 줄이기 위해.
• 학습률 및 배치 크기와 같은 다양한 미세조정 하이퍼파라미터에 대해 워터마크의 강건성을 확보하기 위해.

제안 방법

• 다중 작업 학습 프레임워크를 사용하여 어휘 임베딩 레이어에 백도어 트리거를 삽입함으로써 PLMs에 워터마크를 통합한다.
• 희귀어 또는 흔한 단어의 조합을 백도어 트리거로 사용하여 특정 모델 예측(예: 감성 분석의 경우 '긍정', NLI의 경우 '모순')을 유도한다.
• 정제된 입력에 트리거를 삽입하고 레이블을 대상 클래스로 재설정한 오염된 데이터셋에서 모델을 훈련시킨다.
• 블랙박스 환경에서 워터마크의 강건성과 추출 정확도를 향상시키기 위해 지식 정복(WLM-KD)을 적용한다.
• 빈도-확률 분석을 통해 트리거의 탐지 가능성을 평가하여, 흔한 단어 조합이 희귀어보다 탐지 가능성이 낮음을 확인한다.
• 학습률, 배치 크기와 같은 미세조정 하이퍼파라미터를 다양하게 설정하여 워터마크 추출 성공률(WESR)과 정확도(ACCU)를 측정함으로써 워터마크의 강건성을 평가한다.

실험 결과

연구 질문

• RQ1 사전 훈련된 언어 모델에 백도어 워터마크를 삽입할 수 있는가? 이 워터마크는 미세조정 후에도 다양한 후행 작업에서 효과적으로 유지되는가?
• RQ2 모델이 다양한 데이터셋에서 미세조정된 후 블랙박스 환경에서 워터마크 추출이 얼마나 효과적으로 이루어지는가?
• RQ3 흔한 단어 조합이 PLMs에서 효과적이고 탐지되지 않는 백도어 트리거로 사용될 수 있는가?
• RQ4 학습률 및 배치 크기와 같은 미세조정 하이퍼파라미터의 변화에 대해 삽입된 워터마크의 강건성은 어느 정도인가?
• RQ5 희귀어 트리거에 비해 흔한 단어 트리거는 탐지 가능성을 얼마나 줄이는가?

주요 결과

• 모델이 AGNEWS에서 미세조정된 경우, SST2 데이터셋에서 워터마크 추출 성공률(WESR)이 95.82%에 도달하여 강력한 전이 성능를 입증한다.
• WLM-CW(M) 모델은 다양한 학습률과 배치 크기에서 높은 워터마크 강건성을 유지하며, 대부분의 설정에서 WESR가 90% 이상을 유지한다.
• 흔한 단어 조합을 트리거로 사용하면 탐지 가능성이 크게 감소한다. 클러스터링 분석 결과, 이러한 트리거는 정상 단어 분포 내에 위치해 있으며, 희귀어 트리거와 달리 이질적인 외곽선으로 나타나지 않는다.
• 학습률을 1e-3로 증가시켜도 워터마크는 강건성을 유지하지만, 이 극단적인 설정에서는 수렴 문제가 발생한다.
• IMDB에서 미세조정된 모델은 AGNEWS에서의 WESR(95.82%)에 비해 낮은 WESR(92.00%)를 보였지만, 여전히 90% 이상을 유지하여, 모델이 대상 작업과 유사할수록 워터마크 성능이 향상됨을 시사한다.
• 이 방법은 대상 작업에 대한 사전 지식 없이도 여러 후행 작업에 동시에 워터마크를 삽입할 수 있어 광범위한 적용 가능성을 입증한다.