[论文解读] Are You Stealing My Model? Sample Correlation for Fingerprinting Deep Neural Networks

Jiyang Guan, Jian Liang+1 more|arXiv (Cornell University)|Oct 21, 2022

Adversarial Robustness in Machine Learning被引用 10

一句话总结

本文提出SAC，一种新颖的模型指纹识别方法，利用样本相关性检测深度神经网络的盗用行为。通过利用被错误分类的正常样本或CutMix增强样本，计算源模型与可疑模型之间的相关性差异，SAC在多种攻击场景下实现了最先进水平的AUC性能（最高达1.0），包括对抗性训练和迁移学习，且无需训练替代模型或生成对抗性样本。

ABSTRACT

An off-the-shelf model as a commercial service could be stolen by model stealing attacks, posing great threats to the rights of the model owner. Model fingerprinting aims to verify whether a suspect model is stolen from the victim model, which gains more and more attention nowadays. Previous methods always leverage the transferable adversarial examples as the model fingerprint, which is sensitive to adversarial defense or transfer learning scenarios. To address this issue, we consider the pairwise relationship between samples instead and propose a novel yet simple model stealing detection method based on SAmple Correlation (SAC). Specifically, we present SAC-w that selects wrongly classified normal samples as model inputs and calculates the mean correlation among their model outputs. To reduce the training time, we further develop SAC-m that selects CutMix Augmented samples as model inputs, without the need for training the surrogate models or generating adversarial examples. Extensive results validate that SAC successfully defends against various model stealing attacks, even including adversarial training or transfer learning, and detects the stolen models with the best performance in terms of AUC across different datasets and model architectures. The codes are available at https://github.com/guanjiyang/SAC.

研究动机与目标

• 解决现有模型指纹识别方法依赖对抗性样本且在对抗性训练或迁移学习下失效的局限性。
• 开发一种鲁棒的模型所有权验证技术，不干扰模型训练过程且不降低性能。
• 通过消除对替代模型训练或对抗性样本生成的需求，显著降低指纹识别的时间与计算成本。
• 实现在多种架构和数据集上（包括迁移学习和对抗性微调等复杂场景）对模型盗用攻击的有效检测。

提出的方法

• 提出样本相关性（SAC）作为基于源模型与可疑模型之间样本对输出相关性的新型指纹识别指标。
• 引入SAC-w，利用源模型中被错误分类的正常样本作为输入，计算相关性差异，避免依赖对抗性样本。
• 开发SAC-m，使用CutMix增强样本作为输入，消除对训练替代模型或生成对抗性样本的需求。
• 采用余弦相似度作为相关性函数，以最大化被盗与非被盗模型之间的差异。
• 通过计算选定样本在模型输出中的平均相关性形成指纹，将该相关性差异作为检测信号。
• 在不修改模型训练过程的前提下应用该方法，保持原始准确率，支持事后部署。

实验结果

研究问题

• RQ1 模型输出之间的样本相关性能否作为检测被盗深度神经网络的鲁棒且可迁移的指纹？
• RQ2 在对抗性训练和迁移学习场景下，SAC-w的表现如何，而此前基于对抗性样本的方法在此类场景中已失效？
• RQ3 CutMix增强样本能否有效替代对抗性样本用于指纹识别，同时降低计算成本？
• RQ4 输入样本的选择（如被错误分类样本与正常样本）如何影响检测性能与样本效率？
• RQ5 不同相关性函数（如余弦相似度与高斯RBF）的选择对检测鲁棒性与AUC性能有何影响？

主要发现

• SAC在大多数模型架构和数据集上均实现了完美的AUC值1.0，包括在对抗性训练和迁移学习条件下。
• SAC-m将指纹识别时间缩短至仅4.45秒，比CAE方法快5,738倍，展现出显著的效率优势。
• 仅使用50个被错误分类的样本，SAC-w即可实现AUC > 0.99，表明在少样本设置下仍具备强大性能。
• 在防御者数据有限的情况下，SAC-m在准确率与效率方面均优于SAC-w及其他基线方法。
• 余弦相似度作为相关性函数能产生被盗与非被盗模型之间最大的差异，是最优选择。
• 该方法在剪枝、微调及模型提取攻击下依然保持鲁棒性，所有评估攻击下的AUC值均稳定高于0.99。