[论文解读] Deep Intellectual Property Protection: A Survey

Yuchen Sun, Tianpeng Liu+7 more|arXiv (Cornell University)|Apr 28, 2023

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本综述对深度神经网络（DNNs）中的深度知识产权（IP）保护进行了全面分析，重点聚焦于水印与指纹技术。该研究提出统一的分类体系，对超过190种方法在保真度、鲁棒性、容量和效率等方面进行了评估，并识别出在现实应用中保护DNN免受盗窃和盗版的关键挑战与未来研究方向。

ABSTRACT

Deep Neural Networks (DNNs), from AlexNet to ResNet to ChatGPT, have made revolutionary progress in recent years, and are widely used in various fields. The high performance of DNNs requires a huge amount of high-quality data, expensive computing hardware, and excellent DNN architectures that are costly to obtain. Therefore, trained DNNs are becoming valuable assets and must be considered the Intellectual Property (IP) of the legitimate owner who created them, in order to protect trained DNN models from illegal reproduction, stealing, redistribution, or abuse. Although being a new emerging and interdisciplinary field, numerous DNN model IP protection methods have been proposed. Given this period of rapid evolution, the goal of this paper is to provide a comprehensive survey of two mainstream DNN IP protection methods: deep watermarking and deep fingerprinting, with a proposed taxonomy. More than 190 research contributions are included in this survey, covering many aspects of Deep IP Protection: problem definition, main threats and challenges, merits and demerits of deep watermarking and deep fingerprinting methods, evaluation metrics, and performance discussion. We finish the survey by identifying promising directions for future research.

研究动机与目标

• 为应对日益增长的对高价值、训练成本高昂的DNN模型遭受非法窃取、分发和滥用的保护需求。
• 系统性地、全面地综述深度水印与指纹技术这两种主流DNN IP保护方法。
• 建立统一的分类体系与评估框架，用于在鲁棒性、保真度、容量和效率等关键指标上比较现有方法。
• 识别DNN IP保护中的关键挑战与开放性问题，包括缺乏标准化评估、对复杂模型与学习范式的支持有限等。
• 倡导采用集成的技术、法律与政策解决方案，包括安全处理管道、可信公证机制与标准化，以实现可信且可执行的DNN IP保护。

提出的方法

• 基于嵌入位置（输入、模型参数、输出）与识别机制，提出一种对深度水印与指纹技术进行分类的结构化分类体系。
• 从多个维度回顾了超过190项研究贡献：问题定义、威胁模型、技术优势与局限、评估指标，以及在各类攻击下的性能表现。
• 分析关键性能指标之间的权衡，如模型准确率（保真度）、抗移除攻击能力（鲁棒性）、嵌入容量与计算效率。
• 提出多维度评估基准框架，倡导采用标准化数据集、评估指标与攻击集合，以实现公平且可复现的比较。
• 探索超越基本版权验证的高级功能，如用于授权模型修改的半脆弱水印与完整性验证。
• 提出安全处理管道组件，包括主动防御、自动化侵权检测、可信公证平台，以及利用灾难性遗忘实现的分发链追踪。

实验结果

研究问题

• RQ1 如何在关键性能维度上对深度水印与指纹技术进行系统性分类与比较？
• RQ2 在防止DNN模型被盗版、窃取与未经授权分发方面，面临的主要威胁与挑战是什么？
• RQ3 为何缺乏标准化评估标准是制约DNN IP保护研究进展与实际部署的瓶颈？
• RQ4 如何将DNN IP保护扩展至图像分类之外的复杂任务，如目标检测、图像生成（GANs、扩散模型）与强化学习？
• RQ5 为确保现实系统中长期可信、可执行的DNN IP保护，需要哪些技术、法律与政策框架？

主要发现

• 已调研超过190项DNN IP保护研究，揭示了方法上的显著多样性，但缺乏一致的评估标准。
• 深度水印是侵入式方法，需修改模型；而指纹技术是非侵入式方法，利用决策边界等固有模型特性作为标识。
• 抗移除攻击的鲁棒性仍是关键挑战，目前尚无统一的基准或评估协议被广泛采纳于各研究中。
• 大多数现有方法集中于图像分类任务；仅有少数研究涉及目标检测、图像生成或多模态学习等复杂任务。
• 未来方向包括开发用于授权定制的半脆弱水印、用于侵权检测的安全处理管道，以及可信公证平台。
• 标准化、遵循Kerckhoffs原则，以及法律框架，是确保DNN IP保护方案长期安全与可执行性的关键。