[论文解读] Dual Student Networks for Data-Free Model Stealing

James Beetham, Navid Kardan+2 more|arXiv (Cornell University)|Sep 18, 2023

Domain Adaptation and Few-Shot LearningComputer Science被引用 3

一句话总结

本文提出Dual Student Networks，一种无需训练数据的模型盗取方法，通过训练两个学生模型来模仿目标模型，利用其分歧指导生成器生成多样且难以分类的样本。通过将两个学生模型的梯度作为目标模型梯度的代理，该方法实现了比以往无数据方法更精确的梯度估计和更高的学生模型准确率，同时在迁移式对抗攻击中也表现出更优的代理性能。

ABSTRACT

Existing data-free model stealing methods use a generator to produce samples in order to train a student model to match the target model outputs. To this end, the two main challenges are estimating gradients of the target model without access to its parameters, and generating a diverse set of training samples that thoroughly explores the input space. We propose a Dual Student method where two students are symmetrically trained in order to provide the generator a criterion to generate samples that the two students disagree on. On one hand, disagreement on a sample implies at least one student has classified the sample incorrectly when compared to the target model. This incentive towards disagreement implicitly encourages the generator to explore more diverse regions of the input space. On the other hand, our method utilizes gradients of student models to indirectly estimate gradients of the target model. We show that this novel training objective for the generator network is equivalent to optimizing a lower bound on the generator's loss if we had access to the target model gradients. We show that our new optimization framework provides more accurate gradient estimation of the target model and better accuracies on benchmark classification datasets. Additionally, our approach balances improved query efficiency with training computation cost. Finally, we demonstrate that our method serves as a better proxy model for transfer-based adversarial attacks than existing data-free model stealing methods.

研究动机与目标

• 解决无数据模型盗取的挑战，即无法访问训练数据或模型权重。
• 在不直接访问目标模型参数或梯度的情况下，提升目标模型梯度估计的准确性。
• 增强生成训练样本的多样性与代表性，以优化学生模型蒸馏效果。
• 开发一种比现有无数据方法更有效的迁移式对抗攻击代理模型。
• 在保持高性能的同时，减少对合成数据集或预训练模型的依赖。

提出的方法

• 两个学生模型对称训练，以匹配目标模型在生成样本上的输出。
• 生成器训练为生成使两个学生模型产生分歧的样本，从而隐式聚焦于困难、边界类样本。
• 学生模型之间的分歧表明至少一个学生相对于目标模型是错误的，从而引导生成器向更具挑战性的输入区域逼近。
• 利用两个学生模型的梯度来估计目标模型的梯度，避免依赖显式的梯度估计技术。
• 生成器的目标被证明等价于优化真实目标模型梯度损失的下界，从而实现无需查询的直接优化。
• 该方法将标准的学生-目标模型最小最大目标替换为双学生代理，提升了学生模型与目标模型梯度之间的对齐程度。

实验结果

研究问题

• RQ1 并行训练两个学生模型是否能提升无数据模型盗取中生成样本的质量与多样性？
• RQ2 利用两个学生模型的梯度是否能比现有无数据方法更准确地逼近目标模型的梯度？
• RQ3 两个学生模型之间的分歧是否能作为有效信号，引导生成器聚焦于困难的边界样本？
• RQ4 与最先进无数据模型盗取基线相比，该方法在准确率与查询效率方面表现如何？
• RQ5 通过该方法训练的学生模型在多大程度上可作为迁移式对抗攻击的更优代理？

主要发现

• Dual Student方法在CIFAR-10上达到比DFME和DFMS-HL更高的学生模型准确率，无目标FGSM攻击成功率达62.35%，高于DFME的56.84%。
• 在PGD攻击下，该方法实现91.04%的无目标攻击成功率，甚至优于同一目标模型的白盒攻击（无目标设置下为96.78%）。
• 该方法减少了对合成数据集或预训练模型的依赖，支持从零开始训练，无需外部数据或模型。
• 生成器的目标在理论上等价于优化目标模型梯度损失的下界，从而实现无需查询的直接优化。
• 该方法在保持训练计算成本平衡的同时提升了查询效率，具备实际部署的可行性。
• 通过该方法生成的学生模型作为迁移式对抗攻击的代理模型表现更优，尤其在FGSM攻击下，其性能优于基于真实数据训练的白盒模型和代理模型。