[论文解读] Fraternal Twins: Unifying Attacks on Machine Learning and Digital Watermarking

Erwin Quiring, Daniel J. Arp+1 more|arXiv (Cornell University)|Mar 16, 2017

Adversarial Robustness in Machine Learning参考文献 58被引用 5

一句话总结

本文通过揭示机器学习与数字水印技术在概念上的相似性——即通过最小扰动跨越决策边界——提出了一种统一的黑箱攻击框架。它表明，数字水印中的防御机制（如有状态检测）可有效缓解机器学习中的模型提取攻击，而机器学习中的加固技术（如分类器多样性）亦可抵御水印中的预言机攻击，从而实现安全机制在两个领域的跨领域迁移。

ABSTRACT

Machine learning is increasingly used in security-critical applications, such as autonomous driving, face recognition and malware detection. Most learning methods, however, have not been designed with security in mind and thus are vulnerable to different types of attacks. This problem has motivated the research field of adversarial machine learning that is concerned with attacking and defending learning methods. Concurrently, a different line of research has tackled a very similar problem: In digital watermarking information are embedded in a signal in the presence of an adversary. As a consequence, this research field has also extensively studied techniques for attacking and defending watermarking methods. The two research communities have worked in parallel so far, unnoticeably developing similar attack and defense strategies. This paper is a first effort to bring these communities together. To this end, we present a unified notation of black-box attacks against machine learning and watermarking that reveals the similarity of both settings. To demonstrate the efficacy of this unified view, we apply concepts from watermarking to machine learning and vice versa. We show that countermeasures from watermarking can mitigate recent model-extraction attacks and, similarly, that techniques for hardening machine learning can fend off oracle attacks against watermarks. Our work provides a conceptual link between two research fields and thereby opens novel directions for improving the security of both, machine learning and digital watermarking.

研究动机与目标

• 识别并形式化机器学习与数字水印中黑箱攻击之间的概念相似性。
• 弥合两个研究社区之间的鸿沟，这些社区在孤立状态下发展出了相似的攻击与防御策略。
• 实现机器学习与数字水印之间安全机制（尤其是防御措施）的迁移。
• 通过实证案例研究，证明跨领域防御迁移的实际有效性。
• 提出新的研究方向，包括借鉴水印竞赛模式设立对抗性机器学习竞赛。

提出的方法

• 提出一种统一的黑箱攻击符号表示法，抽象出领域特定细节，聚焦于通过最小输入扰动跨越决策边界。
• 将机器学习逃避攻击与水印破坏建模为具有共享结构特性的对抗性扰动问题。
• 将数字水印中的有状态检测机制应用于防御决策树的模型提取攻击。
• 将机器学习中的分类器多样性技术适配至水印系统，以增强其对预言机攻击的抗性。
• 在基准数据集（如Wine Quality、Orange Juice）上进行实证评估，测量在不同查询访问条件下的攻击成功率。
• 采用具有受控覆盖查询率的树提取算法，模拟模型提取攻击并评估防御机制的鲁棒性。

实验结果

研究问题

• RQ1 机器学习与数字水印中的黑箱攻击在多大程度上具有共同的底层结构？
• RQ2 为数字水印开发的防御机制是否能有效缓解机器学习中的模型提取攻击？
• RQ3 能否将对抗性机器学习中的技术（如分类器多样性）应用于增强水印系统对预言机攻击的抵抗力？
• RQ4 这种统一视角对在两个领域中设计新型联合防御机制有何启示？
• RQ5 如何通过借鉴水印竞赛模式的公开竞赛，提升机器学习在现实场景中的对抗鲁棒性？

主要发现

• 数字水印中的有状态防御机制显著降低了决策树模型提取攻击的成功率，在使用40倍更多查询时可实现高达100%的防护效果。
• 机器学习中的分类器多样性技术可降低水印系统遭受预言机攻击的成功率，例如在Wine Quality数据集上，当查询负载为5倍时，攻击成功率从0.98降至0.46。
• 统一的攻击模型表明，两个领域均依赖于最小扰动跨越决策边界，暗示存在共享的算法原理。
• 自适应再学习与线性搜索检测（如基于PCA的方法）等防御机制具有可迁移性，可进一步提升两个领域的鲁棒性。
• 本研究发现，有状态检测策略在机器学习领域仍处于未充分探索状态，为防御机制创新提供了新方向。
• 作者主张设立对抗性机器学习的公开竞赛，借鉴成功的水印竞赛（如BOWS）模式，以揭示现实世界中的漏洞并推动领域发展。