基于反向验证的模型水印技术，可抵御模型提取攻击

《Knowledge-Based Systems》：Reverse verification-based model watermarking with resistance to model extraction attacks

　　摘要：随着深度学习模型在云服务中的广泛应用，模型提取攻击对知识产权保护构成了严重威胁。现有的黑箱水印方法在这种攻击下往往无法确保水印的可靠传承，同时还存在验证模糊和潜在后门风险的问题。为解决这些问题，我们提出了REMARK，这是一种基于对抗样本可转移性的强大黑箱水印框架。REMARK利用对抗扰动作为水印触发器，并采用反向验证机制，在避免有害后门行为的同时实现清晰的所有权验证。通过共同优化分类、特征对齐和水印目标，REMARK将水印与主任务紧密结合，确保在模型提取过程中水印的有效传承而不降低性能。大量实验表明，REMARK能够实现可靠且明确的验证，保持主任务性能，并且在抵御各种模型提取攻击方面始终优于现有方法。

引言：深度学习模型已被广泛应用于各个领域的实际问题解决，如计算机视觉[1]、自然语言处理[2]、语音识别[3]以及数字图像保护[4]、[5]。许多公司在云平台上部署高性能深度神经网络，并提供机器学习即服务（MLaaS）[6]。训练这类高性能模型通常需要大规模数据集、专门的模型设计以及大量的计算资源，因此它们属于极具价值的知识产权。然而，一旦部署在云平台上，这些模型不仅会被合法用户访问，还可能面临潜在攻击者的威胁。攻击者可能通过内部威胁如内部人员泄露[7]和间谍活动[8]，或外部手段如模型提取攻击[9]来窃取模型，从而从中获利并严重侵犯模型所有者的知识产权。为了保护深度学习模型的知识产权，模型水印技术应运而生，并逐渐成为主流解决方案。具体而言，水印被嵌入到模型的内部参数或行为中，可以通过白箱或黑箱方法进行验证[10]。白箱验证方法[11]依赖于对模型内部结构或参数的访问，这在实际应用场景中往往不可行。相比之下，黑箱验证方法[12]只需用特定的触发样本查询可疑模型并观察其输出即可验证所有权，因此更适用于实际应用。然而，现有的模型水印方法在面对模型提取攻击时仍面临巨大挑战[13]。攻击者可以查询受害模型，获取与主任务具有相同分布的数据样本的标签，然后利用这些带标签的数据集训练替代模型。由于替代模型与受害模型在功能上高度相似，它通常被视为被盗复制品。值得注意的是，用于模型提取攻击的数据通常与主任务具有相同的分布，但与水印任务无关[15]。因此，大多数现有水印方法无法被替代模型有效继承。换句话说，通过模型提取攻击获得的替代模型能够在很大程度上保留原始模型的功能行为，同时成功去除嵌入的水印信息[14]。为降低模型提取攻击带来的知识产权风险，近期有一些研究探索了能够抵御多种提取策略的模型水印方案。基于边界的方法[16]在一定程度上提高了水印的鲁棒性，但由于水印任务与主任务特征之间的相关性仍然较弱，因此在复杂攻击面前存在局限性。相反，MEA[17]和DeepTracer[18]将水印任务与主任务紧密结合，显著提升了模型提取攻击的防御能力。不过，这些方法通常是通过拼接、组合或修改原始数据样本来构建触发样本的。这种结构化的触发生成策略可能被攻击者模仿，使他们能够构建类似的触发样本并伪造所有权证据，从而给验证过程带来不确定性。此外，大多数现有的基于后门的水印方案依赖于通过预定义的触发模式引入特定的错误分类行为。虽然这种设计可以实现黑箱验证，但它也使得水印行为类似于恶意后门。这种人为嵌入的触发因素可能会带来潜在的安全风险。在自动驾驶等安全关键型应用中，攻击者可能利用这种由触发因素引发的错误分类来故意造成错误预测，从而导致严重的安全隐患和经济损失[19]。因此，尽管取得了进展，现有的黑箱水印方法仍然难以在模型提取攻击的情况下同时实现可靠的水印传承、明确的所有权验证以及无害的水印行为。受到对抗性攻击[20]的启发，模型往往表现出强烈的对抗样本可转移性：即使初始化权重或训练阶段不同，属于同一架构家族或执行类似特征提取任务的模型也往往会受到相同的对抗扰动影响。基于这一观察，我们发现了对抗性可转移性与模型提取攻击之间的潜在联系，因为两者都依赖于来自相同任务分布的数据，并且具有相似的特征提取过程。在上述关于对抗性可转移性与模型提取之间关系的基础上，我们将这一现象作为反向验证策略的基础。具体来说，如果水印相关行为是通过与模型所学表示紧密相关的对抗扰动嵌入的，那么这些行为有望在模型提取过程中得以保留，并反映在提取出的模型的响应中。这一观察为黑箱环境下的强大所有权验证提供了自然依据，也促使我们利用对抗扰动作为可转移但难以伪造的水印载体；据此，我们提出了REMARK（Reverse MARK），这是一种基于对抗触发器的强大黑箱水印框架。REMARK并非通过将触发样本强制归入预定义的目标类别来验证所有权，而是利用对抗扰动作为水印触发器，这些触发器会误导干净模型，但会被加了水印的模型纠正为原始的语义标签。这种反向验证机制在干净模型和加水印模型之间建立了独特的行为特征，解决了传统目标标签后门水印方法的局限性，同时避免了故意注入有害的错误分类行为。此外，由于对抗触发器是通过模型依赖的优化而非明确的规则式模式生成的，它们本质上更难以被模仿，从而降低了触发器伪造的风险，提高了所有权验证的可靠性。此外，我们还设计了多个损失函数，将水印任务与主任务紧密结合。首先，分类损失引导良性样本和触发样本趋向正确的标签，确保无害性的同时，在触发输入上使加水印模型与未加水印模型产生不同的预测行为。其次，特征对齐损失使触发样本的表示与其对应的良性样本对齐，增强水印任务与主任务之间的相关性。最后，水印损失限制触发样本的特征向量接近同一类别的特征向量，同时远离目标类别的分布。通过这种联合设计，即使是通过模型提取得到的被盗模型，也必然会学会嵌入的水印以及主任务，从而在提取攻击下实现有效的水印传承。本文的主要贡献总结如下：•我们提出了REMARK，这是一种黑箱模型水印框架，它摒弃了传统的目标标签触发器验证方式，而是利用对抗触发器和反向验证来区分加水印模型与干净模型。•我们设计了包含分类、对齐和水印约束的联合优化目标，促使水印行为与主任务保持关联，从而提高其向提取出的替代模型转移的能力。•我们在多个数据集、模型架构、模型提取攻击和移除攻击条件下系统地评估了所提出的方法，结果表明它在保持主任务性能的同时能够实现可靠的验证。

章节摘录：模型提取攻击：攻击者利用基于云的模型提供的API获取查询数据的预测标签，然后利用这些带标签的样本指导本地训练替代模型[21]。这类方法有效地利用了目标模型针对特定数据分布所学到的隐含知识，使攻击者无需获取模型参数就能复制其高性能[22]。然而，在实践中，诸如限制API查询的数量或频率之类的防御措施……

威胁模型：攻击者无法获取模型的确切参数、专有训练数据或私人触发器集，但可能了解任务领域，收集公共数据或同一领域的数据，选择任意的替代架构，并采用不同的黑箱提取策略。这一假设符合实际的黑箱场景，并已在以往的研究中被广泛采用[34]、[41]、[42]。在这种设定下，攻击者可以使用公开可用的模型来构建替代模型……

实验设置：数据集。我们在三个数据集上评估REMARK：CIFAR10、CIFAR100[45]和ImageNet100[46]。模型架构。对于加水印模型，我们采用了ResNet18[47]、DenseNet121[48]和EfficientNet-B0[49]。对于替代模型，我们使用了ResNet18、VGG16[43]、MobileNetV2[50]和ShuffleNetV2[51]。比较的水印方法。从抵御对抗性模型窃取攻击的鲁棒性角度，我们全面比较了所提出的方法与几种最先进的水印方法……

潜在局限与未来工作：尽管我们的方法在所有权验证方面取得了良好的性能，但它仍然存在一些局限。本研究主要聚焦于图像分类模型，其在更复杂场景中的应用，如跨模态检索、视觉语言模型以及大型基础模型，还有待探索。此外，虽然REMARK已经在各种提取和移除攻击下进行了评估，但还需要考虑针对反向验证的更具适应性的攻击。

结论：在本文中，我们提出了一种强大的黑箱模型水印框架REMARK，旨在解决现有方法在验证模糊性、危害性以及对抗模型提取攻击的鲁棒性方面的不足。通过利用对抗触发器设计及反向验证机制，REMARK实现了明确、无害且强大的所有权验证。与传统依赖引入恶意错误分类的后门水印方法不同，REMARK……