[论文解读] Responsible Disclosure of Generative Models Using Scalable Fingerprinting

Ning Yu, Vladislav Skripniuk+3 more|arXiv (Cornell University)|Dec 16, 2020

Generative Adversarial Networks and Image Synthesis参考文献 77被引用 21

一句话总结

该论文提出了一种可扩展、高效的深度生成模型指纹机制，通过可训练的自动编码和滤波调制，在 GAN 生成器中嵌入唯一的 128 位指纹，实现负责任的披露。该方法在对生成质量影响极小的情况下，实现了近乎完美的检测准确率（>99.1%）和归属识别，支持超过 10^38 种不同的模型，且能有效抵抗影子模型攻击。

ABSTRACT

Over the past years, deep generative models have achieved a new level of performance. Generated data has become difficult, if not impossible, to be distinguished from real data. While there are plenty of use cases that benefit from this technology, there are also strong concerns on how this new technology can be misused to generate deep fakes and enable misinformation at scale. Unfortunately, current deep fake detection methods are not sustainable, as the gap between real and fake continues to close. In contrast, our work enables a responsible disclosure of such state-of-the-art generative models, that allows model inventors to fingerprint their models, so that the generated samples containing a fingerprint can be accurately detected and attributed to a source. Our technique achieves this by an efficient and scalable ad-hoc generation of a large population of models with distinct fingerprints. Our recommended operation point uses a 128-bit fingerprint which in principle results in more than $10^{38}$ identifiable models. Experiments show that our method fulfills key properties of a fingerprinting mechanism and achieves effectiveness in deep fake detection and attribution. Code and models are available at https://github.com/ningyu1991/ScalableGANFingerprints .

研究动机与目标

• 为应对深度生成模型被滥用于生成难以检测的深度伪造内容和虚假信息所带来的日益增长的风险。
• 使模型发明者能够通过在生成输出中嵌入唯一且可检测的指纹，追溯其模型的滥用行为。
• 开发一种可扩展且高效的机制，支持数百万甚至数十亿个具有唯一指纹的模型实例的部署，同时不损害生成质量。
• 确保指纹机制在面对对抗性攻击（如影子模型反演攻击）时依然安全可靠。
• 提供一种主动的、可扩展的模型归属解决方案，在开放世界和大规模场景下，优于基于学习的检测方法。

提出的方法

• 将指纹自动编码器集成到 GAN 框架中，其中编码器将 128 位指纹嵌入生成器的滤波器中。
• 通过指纹嵌入调制生成器中的每个卷积滤波器，实现动态、实例特定的模型生成。
• 通过对抗性损失和指纹特异性重建损失，联合训练生成器与指纹自动编码器，以保持生成质量。
• 在训练过程中采用实时随机指纹采样，确保在整个指纹空间中具备良好的泛化能力。
• 使用解码网络从生成图像中提取并验证指纹，通过数据库查找实现源模型归属。
• 通过稳健的训练和设计，使指纹机制对联合扰动和影子模型攻击具备免疫能力。

实验结果

研究问题

• RQ1 能否设计一种可扩展的指纹机制，以极小的生成质量损失，唯一标识数十亿个生成模型实例？
• RQ2 在包含未见过的 GAN 源的开放世界条件下，该指纹方法在检测和归属深度伪造样本方面的有效性如何？
• RQ3 该指纹机制能否抵抗复杂的影子模型攻击，这些攻击试图提取或伪造指纹？
• RQ4 与基于学习的深度伪造检测器相比，该指纹方法在泛化能力和可扩展性方面表现如何？
• RQ5 在唯一性、检测准确率和安全性之间取得平衡时，最优的指纹长度是多少？

主要发现

• 所提方法在所有测试场景下均实现了 99.1% 或以上的指纹检测准确率，包括最多包含 100 个未见 GAN 源的开放世界场景。
• 该方法保持了近乎完美的生成保真度，与原始 GAN 相比，图像质量退化可忽略不计。
• 系统通过使用 128 位指纹支持超过 10^38 种不同的模型实例，可实现工业级的可扩展部署。
• 指纹机制对影子模型攻击具有鲁棒性，能够保护嵌入指纹的存在性和数值的机密性。
• 在开放世界检测中，即使在测试 100 个此前未见过的 GAN 源时，该方法仍实现了 100% 的准确率，而基线学习方法显著下降。
• 在可扩展性和泛化能力方面，该方法优于最先进的基于学习的检测器，尤其在开放世界和大规模 N 设置下表现更优。