[论文解读] Good Artists Copy, Great Artists Steal: Model Extraction Attacks Against Image Translation Generative Adversarial Networks.

Sebastian Szyller, Vasisht Duddu+2 more|arXiv (Cornell University)|Apr 26, 2021

Generative Adversarial Networks and Image Synthesis参考文献 47被引用 4

一句话总结

本文提出了针对真实世界图像转换生成对抗网络（GAN）的首个模型提取攻击，攻击者通过使用领域特定数据查询受害方的推理API，在不了解受害方模型架构的前提下，构建出功能完整的替代模型。该攻击在三项图像转换任务中均实现了高保真度，人类对受害方与替代模型输出的感知差异极小（Cohen’s d = 0.3）。

ABSTRACT

Machine learning models are typically made available to potential client users via inference APIs. Model extraction attacks occur when a malicious client uses information gleaned from queries to the inference API of a victim model $F_V$ to build a surrogate model $F_A$ that has comparable functionality. Recent research has shown successful model extraction attacks against image classification, and NLP models. In this paper, we show the first model extraction attack against real-world generative adversarial network (GAN) image translation models. We present a framework for conducting model extraction attacks against image translation models, and show that the adversary can successfully extract functional surrogate models. The adversary is not required to know $F_V$'s architecture or any other information about it beyond its intended image translation task, and queries $F_V$'s inference interface using data drawn from the same domain as the training data for $F_V$. We evaluate the effectiveness of our attacks using three different instances of two popular categories of image translation: (1) Selfie-to-Anime and (2) Monet-to-Photo (image style transfer), and (3) Super-Resolution (super resolution). Using standard performance metrics for GANs, we show that our attacks are effective in each of the three cases -- the differences between $F_V$ and $F_A$, compared to the target are in the following ranges: Selfie-to-Anime: FID $13.36-68.66$, Monet-to-Photo: FID $3.57-4.40$, and Super-Resolution: SSIM: $0.06-0.08$ and PSNR: $1.43-4.46$. Furthermore, we conducted a large scale (125 participants) user study on Selfie-to-Anime and Monet-to-Photo to show that human perception of the images produced by the victim and surrogate models can be considered equivalent, within an equivalence bound of Cohen's $d=0.3$.

研究动机与目标

• 探究模型提取攻击是否可行于真实世界图像转换生成对抗网络（GAN）。
• 开发一种框架，使攻击者仅通过查询受害方的推理API即可提取出功能完整的替代模型。
• 使用标准GAN指标与人类感知评估提取模型与原始受害模型之间的保真度。
• 确定替代模型在图像转换任务中是否在人类感知上与受害模型无法区分。

提出的方法

• 攻击者使用与受害方训练数据相同领域的输入数据查询受害方模型的推理API。
• 攻击者收集受害方模型的输入-输出对，用于训练模仿其图像转换功能的替代模型。
• 替代模型采用标准GAN训练流程进行训练，且不访问受害方的模型架构或权重。
• 该方法仅依赖对受害方推理接口的黑盒访问，因此适用于真实世界部署。
• 性能评估采用标准GAN指标：Fréchet Inception Distance（FID）、结构相似性（SSIM）和峰值信噪比（PSNR）。
• 开展了一项大规模用户研究，共125名参与者，用于评估人类对受害方与替代模型输出图像质量及相似度的感知。

实验结果

研究问题

• RQ1 仅通过API查询，黑盒模型提取攻击是否能成功重建功能完整的图像转换GAN？
• RQ2 提取的替代模型在标准GAN指标上与原始受害模型的性能接近程度如何？
• RQ3 在人类评估中，替代模型的输出与受害模型输出在感知上有多大的不可区分性？
• RQ4 该攻击在不同图像转换任务（如风格迁移与超分辨率）中的结果有何差异？

主要发现

• 模型提取攻击成功生成了能够高度复现受害方图像转换GAN功能的替代模型。
• 在自拍转动漫图像转换任务中，受害方与替代模型之间的FID值范围为13.36至68.66，表明高度相似。
• 在莫奈风格转照片的风格迁移任务中，FID值为3.57至4.40，显示出极强的性能保真度。
• 在超分辨率任务中，替代模型的SSIM差异为0.06至0.08，PSNR差异为1.43至4.46，表明重建质量极高。
• 人类感知研究表明，替代模型与受害模型生成的图像在感知上无法区分，Cohen’s d效应量为0.3，处于等效区间内。
• 该攻击在无需了解受害方模型架构或训练数据的情况下，对多种图像转换任务均有效。