功能隐藏将目标检测模型转变为秘密监控器

《Journal of Visual Communication and Image Representation》：Function hiding turns an object detection model into a secret monitor

　　

摘要 在许多受监控的环境中，部署敏感的深度神经网络会带来安全风险。功能隐藏通过将敏感功能隐藏在无害的封面模型中来应对这一挑战。在现有方法中，输出隐藏是一种很有前景的范式。然而，现有的输出隐藏方法由于依赖固定的输出投影和反对称密钥，存在适应性差和密钥空间有限的问题。为了克服这些局限性，我们提出了一种新颖的框架，引入了一个直接在logits上工作的可训练解码模块。与手工设计的解码不同，我们的自适应机制将秘密信息分布在完整的logits空间中，提供了一个庞大的参数空间，从而增强了适应性和密钥空间。在一个新型隐蔽监控场景中，我们以SSD和YOLO作为封面模型，证明了我们的方法的灵活性和有效性。实验结果证实，我们的方法克服了先前的缺陷，实现了秘密功能的有效隐藏，并保持了封面模型的性能。

引言 数据隐藏是一种利用封面媒介中冗余性的隐蔽通信技术。根据封面媒介的类型，其方法可以分为图像、视频、音频和文本等传统封面媒介。传统数据隐藏通常采用手工设计的算法，通过修改封面媒介来嵌入秘密数据。近年来，基于深度学习的方法不断涌现。这些方法主要遵循两种范式：一种是利用深度神经网络（DNN）的编码器-解码器结构，将数据嵌入并提取自传统封面媒介；另一种是利用DNN本身固有的高参数冗余性，将模型本身视为一种新型的封面媒介。与传统方法相比，基于深度学习的方法能够实现更高的适应性、语义嵌入和更高的不可感知性，将隐写系统的思路从确定性规则转变为数据驱动学习，为超越具体数据、延伸至模型功能等抽象实体的新研究方向铺平了道路。

受数据隐藏启发，一些研究探讨了同样的原理能否用于隐藏不仅仅是数据，而是DNN的敏感功能（例如特殊物体检测）。直接在受监控环境中激活或传输此类模型会因其显著功能而带来安全风险。然而，将数据隐藏应用于在DNN参数中隐藏功能是不切实际的，因为传统封面媒介缺乏足够的容量来承载现代模型。因此，必须超越将DNN视为单纯载体的思路，利用其固有特性（如参数冗余性、功能可塑性）来嵌入新功能。与隐藏数据不同，隐藏数据与其封面没有内在关联，而不同的DNN功能通常共享内在相似性。给定敏感功能与封面功能之间存在非空交集时，只需要将不相交部分添加到封面模型中。与暴露多个合法输出的多任务学习不同，功能隐藏将秘密能力隐藏在单个公共任务接口内。隐藏后，模型在功能上与真实的单任务模型无法区分，但其隐藏功能可在需要时可靠恢复，从而解决了在不可信环境中部署敏感模型的安全问题。

基于上述理由，现有的功能隐藏方法可按其操作范式分类。模型划分将秘密模型嵌入封面模型的参数中，通过密钥恢复，适用于模型传输被监控的场景，但要求秘密模型不大于封面模型。输入激活切换根据输入将单一模型转换为执行封面或秘密功能，适用于秘密功能激活本身被监控的场景，但不可避免地会降低封面任务性能。输出隐藏仅将秘密输出隐藏在主要输出中，同时规避了这两种局限性，适用于两种场景，从而为未来研究确立了更有前景的范式。表1详细比较了这些范式。

尽管输出隐藏方法具有优势，但Li等人提出的输出隐藏方法，特别是其KP-CTE变体，存在两个局限性。第一个局限性是适应性差。KP-CTE直接对主要任务的最终softmax输出进行投影。然而，当主要任务输出是sigmoid激活而不是softmax时，这种投影方案可能完全无效，如第4节所示。根本原因在于，对于softmax，输出满足归一化约束，迫使模型为非目标类别分配非零概率，这种残余概率质量为嵌入秘密信息提供了载体。相比之下，对于sigmoid，训练目标独立地将非目标类别的输出抑制趋近于零，这与隐藏的需求天然冲突，因为秘密信息必须分布在多个类别（包括非目标类别）中，以避免被真实类别的输出所主导。第二个局限性是密钥空间有限。在Li等人的工作中，预设密钥构建为反对称伪随机序列，包含数量相等的+1和-1元素。因此，可能的密钥总数为组合数，其中K为主要分类任务的类别数。当K较小时，如果已知构造方法，密钥可能通过合理努力被猜测到。其根本原因在于解码过程依赖固定的手工设计算法而非自适应方法。尽管我们的分析聚焦于作为主要公开输出隐藏基线的KP-CTE，但有限的适应性和密钥空间源于手工设计的输出投影和固定密钥恢复，这是当前范式的特征而非单一方法的特征。这些观察促使我们用可学习的自适应替代方案取代手工设计的解码过程，应用于其他中间表示，下文将详细说明。

在本工作中，我们提出了一种基于输出隐藏范式的新颖功能隐藏框架。受NLP中适配器调优启发，我们引入了一个直接在主要模型架构内logits输出上工作的可训练解码模块。训练期间，秘密功能的正则化项被纳入主要任务的损失函数。具体而言，封面模型在主要损失和正则化项上联合优化，而解码模块仅在正则化项上优化。这种设计鼓励封面模型将秘密功能输出直接编码进主要任务的logits中。同时，解码模块学会准确提取隐藏的信息。隐藏后，封面模型功能正常，而秘密结果只能通过解码模块恢复。在logits空间上操作为信息嵌入提供了比最终输出空间更大的灵活性。此外，解码模块庞大的参数空间使得即使攻击者知道其架构，也极难恢复其功能。因此，我们的方法解决了上述两个局限性，提供了比先前工作更灵活、更安全、更自适应的功能隐藏方案。

为展示我们方法的适应性，我们采用标准目标检测模型作为封面模型，并将其主要输出中隐藏特定目标的检测结果。一旦部署，封面模型使开发者能够对目标进行实时隐蔽监控。我们通过大量实验验证了我们的框架，使用SSD-VGG16和YOLOv8作为封面模型。在YOLOv8变体中，我们选择YOLOv8n，因为它是该系列中最紧凑的成员，因此是对容量受限隐藏能力的严格测试，同时仍能代表边缘端常见部署的轻量级检测器。结合SSD-VGG16，它也涵盖了现代YOLO检测器特有的基于sigmoid的分类设置。更大规模的YOLO留待未来研究；在YOLOv8n上的成功表明该方法并非依赖于过量的模型容量。本文的主要贡献总结如下：
（1）我们引入了一种新颖的输出隐藏范式用于功能隐藏，将隐藏从最终激活输出转移到中间预激活表示。
（2）我们提出了一种与封面模型联合训练的可训练解码模块，取代了先前手工设计的解码，从而实现了隐藏信号的自适应恢复。
（3）我们在两种具有不同分类输出机制的代表性目标检测器上验证了我们的框架，并进行了全面实验以展示其在这些设置下的有效性和适应性。

数据隐藏 传统数据隐藏技术主要基于手工设计的算法，直接修改封面媒介。文本是早期用于数据隐藏的最早类型封面媒介之一。对于文本数据隐藏，Liu等人提出的方法结合了哈希函数和不可感知的字符替换技术。图像由于在嵌入容量和感知隐蔽性之间的良好平衡，已成为数据隐藏中主要的封面媒介。

应用场景 为展示我们方法的实用性，我们提出了图2所示的真实世界场景，涉及两个交互智能体：模型开发者与模型用户。他们的目标和能力讨论如下：
（1）模型开发者 目标：模型开发者旨在在多个公共空间隐蔽监控特定目标，而无直接合法访问权限。为此，他/她向 unwitting用户分发了一个封面目标检测模型（通过我们的方法构建）。

设置 标准目标检测数据集 包含负样本的标准目标检测数据集用于开发模型的封面功能。为支持严格评估，我们选择PASCAL VOC 2012数据集作为该数据集，并将其以80-10-10的比例划分为训练集、验证集和测试集。

机密数据集 机密目标是一种特定的狗品种。我们从公共图像分享平台收集候选图像并人工筛选，以便

结论 在本文中，我们提出了一种基于logits的、可训练的解码框架用于功能隐藏，克服了先前输出隐藏方法的适应性和密钥空间局限性。我们的方法在保持封面功能性能的同时，实现了秘密结果的可靠提取，即使在基于sigmoid的模型（如YOLOv8）上先前的方法失效的场景中也是如此。然而，本研究聚焦于单一机密目标和受控数据集，尚未提供全面的

CRediT作者贡献声明 Zhihan Kong：撰写–审阅与编辑，撰写–初稿，方法论，调查研究。Li Li：撰写–审阅与编辑，概念化。Xinpeng Zhang：概念化。

利益冲突声明 作者声明不存在已知的竞争性财务利益或个人关系，这些关系可能对本论文报告的工作产生影响。

致谢 本工作得到国家自然科学基金资助（批准号62302286）。

Zhihan Kong | Li Li | Xinpeng Zhang