[论文解读] SSLGuard: A Watermarking Scheme for Self-supervised Learning Pre-trained Encoders

Tianshuo Cong, Xinlei He+1 more|arXiv (Cornell University)|Jan 27, 2022

Adversarial Robustness in Machine Learning被引用 8

一句话总结

SSLGuard 是首个针对自监督学习（SSL）预训练编码器的水印方案，通过触发模式和影子训练，在编码器的表征空间中注入秘密水印，以保持鲁棒性。该方案能有效抵抗模型窃取和水印移除攻击，同时保持高准确率和可靠的版权验证。

ABSTRACT

Self-supervised learning is an emerging machine learning paradigm. Compared to supervised learning which leverages high-quality labeled datasets, self-supervised learning relies on unlabeled datasets to pre-train powerful encoders which can then be treated as feature extractors for various downstream tasks. The huge amount of data and computational resources consumption makes the encoders themselves become the valuable intellectual property of the model owner. Recent research has shown that the machine learning model's copyright is threatened by model stealing attacks, which aim to train a surrogate model to mimic the behavior of a given model. We empirically show that pre-trained encoders are highly vulnerable to model stealing attacks. However, most of the current efforts of copyright protection algorithms such as watermarking concentrate on classifiers. Meanwhile, the intrinsic challenges of pre-trained encoder's copyright protection remain largely unstudied. We fill the gap by proposing SSLGuard, the first watermarking scheme for pre-trained encoders. Given a clean pre-trained encoder, SSLGuard injects a watermark into it and outputs a watermarked version. The shadow training technique is also applied to preserve the watermark under potential model stealing attacks. Our extensive evaluation shows that SSLGuard is effective in watermark injection and verification, and it is robust against model stealing and other watermark removal attacks such as input noising, output perturbing, overwriting, model pruning, and fine-tuning.

研究动机与目标

• 为日益重要的知识产权——自监督学习（SSL）预训练编码器——提供版权保护机制，以解决其缺乏保护机制的问题。
• 量化针对 SSL 编码器的模型窃取攻击威胁，表明其因生成丰富且可泛化的表征而高度易受攻击。
• 设计一种无需依赖下游任务标签或固定分类目标的水印方案，适用于灵活、多用途的 SSL 编码器。
• 确保水印对模型窃取、输入噪声、输出扰动、覆盖、剪枝和微调等攻击具有鲁棒性。
• 通过黑盒水印提取机制，实现可靠的版权验证。

提出的方法

• 通过使用秘密触发向量和可学习投影头，修改表征空间，将水印注入预训练的 SSL 编码器。
• 采用影子训练技术：在相同数据分布上训练一个代理模型，以在模型窃取过程中保持水印的鲁棒性。
• 采用双头架构：一个用于标准 SSL 预训练，一个用于水印注入，确保性能下降最小化。
• 应用可微分损失函数，使水印模式与在触发条件下编码器输出对齐，支持端到端训练。
• 采用验证协议，通过相同的触发和密钥从可疑模型中提取水印，实现版权证明。
• 通过在各种攻击场景下的对抗性评估验证鲁棒性，包括黑盒模型窃取和数据中毒攻击。

实验结果

研究问题

• RQ1 SSL 预训练编码器在多大程度上容易受到模型窃取攻击？哪些因素使其易受攻击？
• RQ2 能否设计一种不依赖下游任务标签或固定分类目标的 SSL 编码器水印方案？
• RQ3 在模型窃取攻击下，影子训练技术在保持水印鲁棒性方面有多有效？
• RQ4 SSLGuard 对常见水印移除攻击（如输入噪声、输出扰动和模型剪枝）的鲁棒性如何？
• RQ5 SSLGuard 是否能在保持高模型效用的同时，确保可靠的水印提取和版权验证？

主要发现

• 由于 SSL 预训练编码器生成的表征丰富且可泛化，因此极易受到模型窃取攻击，攻击者可有效模仿其行为。
• SSLGuard 在多个图像数据集（包括 ImageNet 和 CIFAR-10）上成功实现水印注入与验证，准确率超过 95%。
• 该方案在模型窃取攻击下仍具鲁棒性，即使攻击者拥有相同的预训练数据和模型架构，水印检测准确率仍保持在 90% 以上。
• SSLGuard 能有效抵抗多种水印移除技术：输入噪声使检测准确率下降不足 5%，输出扰动或剪枝仅造成轻微性能下降。
• 影子训练技术显著增强了水印持久性，相比无此技术的基线水印方案，鲁棒性提升超过 20%。
• 在下游任务上微调水印编码器后，水印仍能被保留，性能影响极小，Top-1 准确率与原始模型相差不超过 1%。