计算机研究与发展

作者：钱亚冠,何念念,郭艳凯,王滨,李晖,顾钊铨,张旭鸿,吴春明,

关键词：知识产权保护, 模型窃取, 模型指纹, 生成对抗网络, 逃避算法,

随着深度神经网络在不同领域的成功应用，模型的知识产权保护成为了一个备受关注的问题.由于深度神经网络的训练需要大量计算资源、人力成本和时间成本，攻击者通过窃取目标模型参数，可低成本地构建本地替代模型.为保护模型所有者的知识产权，最近提出的模型指纹比对方法，利用模型决策边界附近的指纹样本及其指纹查验模型是否被窃取，具有不影响模型自身性能的优点.针对这类基于模型指纹的保护策略，提出了一种逃避算法，可以成功绕开这类保护策略，揭示了模型指纹保护的脆弱性.该逃避算法的核心是设计了一个指纹样本检测器——Fingerprint-GAN.利用生成对抗网络(generativeadversarialnetwork,GAN)原理，学习正常样本在隐空间的特征表示及其分布，根据指纹样本与正常样本在隐空间中特征表示的差异性，检测到指纹样本，并向目标模型所有者返回有别于预测的标签，使模型所有者的指纹比对方法失效.最后通过CIFAR-10，CIFAR-100数据集评估了逃避算法的性能，实验结果表明：算法对指纹样本的检测率分别可达95%和94%，而模型所有者的指纹比对成功率最高仅为19%，证明了模型指纹比对保护方法的不可靠性.

来源：2021年第5期

《计算机研究与发展》期刊编辑部

查看计算机研究与发展杂志2021年第5期