[论文解读] Defending against Model Stealing via Verifying Embedded External Features

Yiming Li, Linghui Zhu+4 more|arXiv (Cornell University)|Dec 6, 2021

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本文提出了一种新型防御方法，通过在少量训练样本上应用风格迁移，将外部特征嵌入受害者模型，从而抵御模型窃取攻击；随后利用元分类器验证是否存在这些特征，以确认所有权。该方法能有效检测各类窃取攻击——包括多阶段攻击——同时保持模型准确率，且在CIFAR-10和ImageNet上的所有测试攻击中，p值均低于10⁻⁵。

ABSTRACT

Obtaining a well-trained model involves expensive data collection and training procedures, therefore the model is a valuable intellectual property. Recent studies revealed that adversaries can `steal' deployed models even when they have no training samples and can not get access to the model parameters or structures. Currently, there were some defense methods to alleviate this threat, mostly by increasing the cost of model stealing. In this paper, we explore the defense from another angle by verifying whether a suspicious model contains the knowledge of defender-specified \\emph{external features}. Specifically, we embed the external features by tempering a few training samples with style transfer. We then train a meta-classifier to determine whether a model is stolen from the victim. This approach is inspired by the understanding that the stolen models should contain the knowledge of features learned by the victim model. We examine our method on both CIFAR-10 and ImageNet datasets. Experimental results demonstrate that our method is effective in detecting different types of model stealing simultaneously, even if the stolen model is obtained via a multi-stage stealing process. The codes for reproducing main results are available at Github (https://github.com/zlh-thu/StealingVerification).

研究动机与目标

• 为应对日益严峻的模型窃取威胁，即攻击者在无权重或训练数据访问权限的情况下克隆已部署模型。
• 克服现有基于验证的防御方法的局限性，这些方法依赖于数据集固有特征，可能导致因特征相似性而产生误报。
• 开发一种防御机制，通过向受害者模型中嵌入独特、外部的特征，实现可靠的产权验证。
• 确保该防御在多阶段窃取攻击下依然有效，且不降低模型在良性输入上的性能。

提出的方法

• 通过在少量训练图像上应用风格迁移，将外部特征嵌入受害者模型，同时保留其原始标签。
• 在受害者模型的预测结果上训练元分类器，以检测可疑模型是否表现出学习到嵌入风格特征的行为。
• 利用元分类器根据模型对风格化测试图像的响应，区分合法模型与被窃取模型。
• 选择具有显著纹理和图案的风格化图像，以在模型窃取过程中最大化特征可转移性与检测灵敏度。
• 在CIFAR-10和ImageNet数据集上，针对多种攻击类型（包括仅查询、标签查询和零样本窃取）验证该方法。
• 采用统计假设检验（p值）评估检测性能，p值越低，表明窃取证据越强。

实验结果

研究问题

• RQ1 基于验证嵌入外部特征的防御机制，能否在多种攻击类型下可靠检测模型窃取？
• RQ2 该方法在检测多阶段模型窃取攻击方面效果如何，即被窃取模型通过一系列可能不同的攻击方法逐步生成？
• RQ3 在少数训练样本中使用风格迁移嵌入特征，是否能在不降低模型在标准输入上准确率的前提下实现检测？
• RQ4 与依赖数据集固有特征的现有基于验证的防御方法相比，该方法在误报率方面表现如何，尤其在这一指标上？
• RQ5 当被窃取模型经过微调或蒸馏自代理模型时，元分类器是否仍能有效区分其与良性模型？

主要发现

• 该方法在CIFAR-10上所有测试的模型窃取攻击中均达到p值 < 10⁻⁵，表明检测具有强有力的统计证据支持。
• 在ImageNet上，该方法保持了高水平的检测性能，所有攻击类型下的p值均低于10⁻⁴，证明其在大规模数据集上的鲁棒性。
• 即使在多阶段攻击场景下，该方法依然有效，所有测试情形中p值均 ≤ 0.01。
• 与基线方法相比，元分类器显著提升了检测性能，在所有攻击设置中将p值降低了数量级。
• 使用风格迁移进行特征嵌入比基于补丁的后门方法（如BadNets）更有效，因为深度神经网络对纹理和风格特征更为敏感。
• 该方法保持了原始模型在良性样本上的准确率，因为嵌入特征仅应用于少量训练图像，且未更改其标签。