UAPFinger：通过通用对抗性扰动实现的一对多深度神经网络指纹识别技术

《Expert Systems with Applications》：UAPFinger: One-to-many Deep Neural Network Fingerprinting via Universal Adversarial Perturbations

模型指纹技术旨在保护深度神经网络（DNN）的知识产权，但现有方法依赖特定模型查询集，无法同时保护多个模型且易受泄露攻击。本文提出UAPFinger方法，利用通用对抗扰动（UAPs）生成独立于具体模型的通用查询集，通过检测可疑模型的误引导率和标签偏移实现多模型指纹识别。实验表明，该方法在CIFAR-10和TinyImageNet数据集上有效抵御模型微调、剪枝等篡改攻击，且具有更强的泛化能力和抗泄露性。

　　随着深度神经网络（Deep Neural Networks, DNNs）在社会各个领域的广泛应用，其设计与实现通常需要大量的计算资源和数据支持。由于这些模型的训练成本高昂，它们不仅是技术成果，更是商业价值的核心资产。然而，随着技术的发展，这些模型也面临着知识产权保护的挑战。近年来，研究者们提出了一些方法，如模型指纹技术（Model Fingerprinting），旨在通过特定的标记手段来识别和保护DNN模型。现有的模型指纹技术大多针对单一模型，需要为每个模型构建专门的查询集，以实现有效的身份识别。这种方法存在明显的局限性，不仅需要大量资源来维护多个查询集，而且一旦查询集泄露，还可能导致模型识别能力下降，甚至被攻击者利用进行对抗性训练，绕过保护机制。

针对上述问题，本文提出了一种全新的模型指纹识别方法，称为UAPFinger，其核心思想是利用通用对抗性扰动（Universal Adversarial Perturbations, UAPs）的特性，构建一个通用的查询集，从而实现对多个模型的统一保护。这种方法无需为每个模型单独设计查询集，而是通过在随机查询集上添加UAPs，来刻画模型的整体决策边界。通过比较模型在这些查询上的误引导率和标签偏移程度，可以实现对模型身份的有效识别。这种方法的优势在于，它不仅减少了模型保护所需的资源和复杂度，还提高了模型指纹识别的泛化能力，即使在查询集泄露的情况下，也能保持较高的识别效果。

本文的研究背景可以追溯到深度学习技术在多个关键行业中的广泛应用。例如，在自动驾驶、智能工业和智慧医疗等领域，DNN模型已经成为不可或缺的技术支撑。然而，这些模型的训练和部署过程往往伴随着高昂的成本，包括数据采集、模型设计和计算资源的投入。这些投入使得DNN模型成为企业和研究机构的重要资产，同时也使其成为攻击者的目标。攻击者可以通过模型窃取攻击（Model Stealing Attacks）获取模型的副本，并对其进行微调或剪枝，以提供类似的服务，从而损害原始模型所有者的利益。因此，如何有效地保护DNN模型的知识产权，成为当前研究的一个重要方向。

模型指纹技术作为一种非侵入性的保护手段，正在逐渐受到研究者的关注。与模型水印技术不同，模型指纹技术不依赖于对模型结构或参数的直接修改，而是通过分析模型的内在特性来实现身份识别。这种技术的关键在于，如何从模型中提取具有独特性的特征，并确保这些特征在模型被篡改后仍然能够被识别。然而，当前的模型指纹技术存在一些不足，主要体现在其对模型的依赖性较强，以及泛化能力有限。例如，大多数方法需要为每个模型构建专门的查询集，以确保其在不同模型之间的识别能力。这不仅增加了保护成本，还可能导致模型指纹识别的不稳定性，特别是在面对模型修改攻击时。

为了克服这些局限性，本文提出了一种基于UAPs的模型指纹识别方法，UAPFinger。该方法的核心在于利用UAPs的跨模型误导特性，构建一个适用于多个模型的通用查询集。通过将UAPs添加到随机选择的查询集上，可以有效刻画模型的整体决策边界，而无需针对每个模型单独设计查询集。此外，UAPFinger还引入了标签偏移组件，用于识别模型在面对不同查询时的响应差异，从而确保指纹的唯一性和识别的准确性。这一设计使得UAPFinger能够在不依赖特定模型的情况下，实现对多个模型的有效保护。

实验部分表明，UAPFinger在多个数据集上表现出良好的性能。例如，在CIFAR-10和TinyImageNet数据集上，该方法能够有效识别不同模型，并在面对模型修改攻击时保持较高的鲁棒性。实验结果进一步验证了UAPFinger在保护多个模型时的优势，特别是在面对查询集泄露的情况下，其性能不会受到显著影响。这些结果表明，UAPFinger不仅能够降低模型保护的成本，还能够提高模型指纹识别的稳定性和安全性。

本文的主要贡献可以总结为以下三个方面。首先，我们提出了一种基于UAPs的通用查询集构建方法，使得一个查询集可以同时用于多个模型的保护，从而显著降低了模型保护的复杂性和资源消耗。其次，我们设计了一个标签偏移组件，该组件能够有效区分不同模型在面对相同查询时的响应差异，确保模型指纹的唯一性和识别的准确性。最后，我们通过大量实验验证了UAPFinger的鲁棒性和泛化能力，证明了其在实际应用中的有效性。

在当前的研究中，模型指纹技术仍然是一个相对较新的领域，许多方法仍处于探索阶段。因此，本文提出的UAPFinger方法具有重要的理论和实践意义。它不仅提供了一种新的模型保护思路，还为未来的研究提供了方向。通过利用UAPs的跨模型误导特性，UAPFinger能够在不牺牲模型性能的前提下，实现对多个模型的有效保护。这为深度学习模型的知识产权保护提供了一种更加高效和安全的解决方案。

模型指纹技术的发展离不开对相关领域的深入研究。在这一背景下，本文对模型水印、模型指纹以及UAPs的相关工作进行了简要回顾。模型水印技术通常通过在模型的结构或参数中嵌入独特的标识信息，以验证模型的所有权。然而，这种方法往往需要对模型进行修改，可能会影响其性能。相比之下，模型指纹技术则通过分析模型的内在特征，如决策边界和标签偏移，来实现身份识别。这种方法的优势在于其非侵入性，但同时也存在对特定模型的依赖性，以及泛化能力不足的问题。

UAPs作为一种强大的对抗性扰动技术，已经被广泛应用于图像识别和分类任务中。UAPs的跨模型误导特性使得它们成为模型指纹识别的理想工具。通过在随机查询集上添加UAPs，可以有效地刻画模型的整体决策边界，而无需为每个模型单独设计查询集。这一特性使得UAPFinger能够实现对多个模型的统一保护，同时保持较高的识别准确率。此外，UAPs的标签偏移特性也使得模型指纹识别更加稳定和可靠，即使在面对模型修改攻击时，也能保持较高的识别效果。

在实验设计方面，本文考虑了多种可能的攻击方式，包括模型微调、模型剪枝和模型重新训练等。通过在这些攻击方式下测试UAPFinger的性能，可以更好地评估其在实际应用中的鲁棒性。实验结果表明，UAPFinger在面对这些攻击时，能够保持较高的识别准确率，显示出其在模型保护方面的有效性。此外，本文还比较了UAPFinger与其他现有模型指纹技术的性能，结果表明，UAPFinger在多个数据集上的表现优于其他方法，特别是在面对查询集泄露的情况下，其性能更加稳定。

综上所述，本文提出的UAPFinger方法为深度学习模型的知识产权保护提供了一种新的思路。通过利用UAPs的跨模型误导特性和标签偏移特性，UAPFinger能够在不依赖特定模型的情况下，实现对多个模型的有效保护。这种方法不仅降低了模型保护的成本，还提高了模型指纹识别的鲁棒性和泛化能力。未来的研究可以进一步探索UAPFinger在不同应用场景下的表现，并结合其他技术手段，如模型水印和加密技术，以构建更加完善的模型保护体系。