[논문 리뷰] MOVE: Effective and Harmless Ownership Verification via Embedded External Features

Yiming Li, Linghui Zhu외 6명|arXiv (Cornell University)|2022. 08. 04.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 몇 개의 훈련 샘플에 스타일 전이를 통해 외부 특징을 임bedding하여 도난당한 모델을 효과적이고 해로움이 없는 방식으로 탐지할 수 있도록 하는 새로운 모델 소유권 검증 방법 MOVE를 제안한다. 이 방법은 백도어 위험을 피하면서도 모델 기능을 유지하면서도 화이트박스 및_BLK박스 환경에서 기존 워터마킹 및 방어 기법보다 뛰어난 정확도로 다양한 모델 도난 공격을 식별한다.

ABSTRACT

Currently, deep neural networks (DNNs) are widely adopted in different applications. Despite its commercial values, training a well-performing DNN is resource-consuming. Accordingly, the well-trained model is valuable intellectual property for its owner. However, recent studies revealed the threats of model stealing, where the adversaries can obtain a function-similar copy of the victim model, even when they can only query the model. In this paper, we propose an effective and harmless model ownership verification (MOVE) to defend against different types of model stealing simultaneously, without introducing new security risks. In general, we conduct the ownership verification by verifying whether a suspicious model contains the knowledge of defender-specified external features. Specifically, we embed the external features by modifying a few training samples with style transfer. We then train a meta-classifier to determine whether a model is stolen from the victim. This approach is inspired by the understanding that the stolen models should contain the knowledge of features learned by the victim model. In particular, evision{we develop our MOVE method under both white-box and black-box settings and analyze its theoretical foundation to provide comprehensive model protection.} Extensive experiments on benchmark datasets verify the effectiveness of our method and its resistance to potential adaptive attacks. The codes for reproducing the main experiments of our method are available at https://github.com/THUYimingLi/MOVE.

연구 동기 및 목표

• 질의 또는 직접 접근을 통해 잘 훈련된 딥 네트워크(DNN)를 악성 대상이 복제하는 증가하는 위협을 해결하기 위해.
• 기존의 검증 기반 방어 기법이 모델 성능을 저하시키거나 숨겨진 백도어를 도입하는 한계를 극복하기 위해.
• 다양한 도난 방법을 탐지할 수 있는 효과적인 방어와 정확도를 유지하고 보안 위험을 피하는 해로움이 없는 방어를 개발하기 위해.
• 임베딩된 특징이 샘플별로 특화되고 악성 요소가 없음을 통해 워터마킹 메커니즘이 백도어 공격이나 멤버십 추론과 본질적으로 다를 수 있도록 하기 위해.
• 화이트박스 및 블랙박스 위협 모델 모두에서 포괄적인 보호를 제공하기 위해.

제안 방법

• 몇몇 훈련 샘플에 스타일 전이를 사용해 외부 특징을 임베딩하고, 원래 레이블을 유지하여 기능 저하를 방지한다.
• 타겟 모델의 예측 결과를 기반으로 메타 분류기를 훈련하여 의심스러운 모델이 임베딩된 특징의 지식을 포함하고 있는지 탐지한다.
• 가설 검증을 통해 변형된 샘플에 대한 의심스러운 모델의 행동을 원본 모델의 기대 행동과 비교하여 소유권 검증을 수행한다.
• 깨끗한 데이터로 훈련된 유해하지 않은 모델을 사용해 메타 분류기를 校정하여, 훈련 데이터의 암기보다 특징 지식을 탐지하도록 학습한다.
• 화이트박스 및 블랙박스 환경 모두에 적용하여 광범위한 적용 가능성과 적응형 공격에 대한 강건성을 확보한다.
• 스타일 전이 기반 특징의 독특함을 활용해 기존의 백도어 및 멤버십 추론 공격에 의한 탐지에 저항한다.

Figure 1: The main pipeline of our MOVE defense. In the first step, defenders will modify some images via style transfer for embedding external features. In the second step, defenders will train a meta-classifier to determine whether a suspicious model is stolen from the victim based on gradients (u

실험 결과

연구 질문

• RQ1 모델 소유권 검증 시스템은 직접 복제, distillation, 제로샷, 피니튜닝, 질의 기반 공격 등 다양한 유형의 모델 도난 공격을 탐지할 수 있는가?
• RQ2 몇 개의 레이블된 샘플에 스타일 전이를 통해 특징을 임베딩하는 방식이 모델 정확도를 유지하고 악성 백도어를 도입하지 않는가?
• RQ3 탐지 정확도와 적응형 공격에 대한 저항성 측면에서 기존 워터마킹 및 방어 기법과 비교해 본다면, 제안된 방법은 어떻게 다른가?
• RQ4 임베딩된 특징이 원래 훈련 분포에 포함되지 않은 경우에도, 특징을 학습한 모델과 학습하지 않은 모델을 구분할 수 있는가?
• RQ5 기존 워터마킹 기법을 대상으로 하는 멤버십 추론 및 백도어 분석 도구에 대해 방어가 강건한가?

주요 결과

• MOVE는 CIFAR-10 및 ImageNet 데이터셋에서 직접 복제 및 distillation 공격에 대해 거의 완벽한 탐지 성능(Δμ > 0.90)을 기록하며, p-value < 10−5를 확보한다.
• 더 복잡한 공격인 제로샷, 피니튜닝, 질의 기반 도난 공격에 대해서도 블랙박스 환경에서도 높은 탐지 성능(Δμ > 0.5)을 유지한다.
• 훈련 데이터가 아닌 테스트 데이터에서 생성한 변형 이미지를 사용할 경우 유사한 탐지 성능를 기록함으로써, 이 방법이 훈련 샘플의 암기보다 특징 지식을 탐지하고 있음을 확인한다.
• 스타일 전이 기반으로 임베딩된 트리거는 시각적으로 의미가 없고, 백도어 기반 방어 기법의 트리거와 구조적으로 다름을 지님으로써 기존의 표준 백도어 탐지 방법으로는 탐지되지 않는다.
• MOVE는 멤버십 추론 및 백도어 탐지 기법에 저항하며, 특징이 샘플별로 특화되어 있고 특정 클래스나 레이블과 연결되어 있지 않기 때문이다.
• 정상 샘플에 대한 성능 저하가 최소한이므로, 실세계 적용에 있어 해로움이 없고 실용적임을 확인한다.

(a) MOVE under the White-box Setting