神经网络的概率鲁棒性水印技术
内容提要
本文综述深度神经网络数字水印技术，用于模型所有权保护。研究提出嵌入水印的通用框架，并证明其经精调和参数修剪后仍可保留所有权编码。后续工作揭示水印方案存在可被规避的安全隐患，进而提出指数加权法、黑盒水印、盲水印知识产权保护框架、动态对抗水印DAWN及轻量级黑盒协议等改进方案，同时出现基于小样本数据的去水印方法。
延伸解读
水印鲁棒性与安全性的持续博弈
文章按时间线展示了神经网络水印的攻防演进：2018年提出嵌入参数规则器的通用框架，证明水印可经受精调和参数修剪；同年即发现恶意对手能绕过验证。此后指数加权法、黑盒水印、盲水印框架、动态对抗水印DAWN及轻量级黑盒协议相继出现，分别应对查询修改、模型抽取、逃避攻击和恶意主张等威胁。这表明水印方案需在鲁棒性与安全性间不断平衡。
黑盒水印的实用化进展
文章提到黑盒水印方案适用于一般分类任务，可轻松与当前学习算法结合，且对模型主要任务无明显影响，并评估了抵御广泛实际攻击的鲁棒性。后续轻量级黑盒协议通过在训练期间注入任务特定的键图像-标签对来证明所有权，兼顾安全性与强健性。这些进展降低了水印部署门槛，但文章未给出具体性能数据或适用边界。
去水印技术带来的反向风险
文章指出，基于小样本数据的去水印方法利用数据增强和特征空间中正常与扰动数据的分布对齐，能有效去除深度模型中的水印且不影响模型性能。这提醒读者：水印并非一劳永逸的所有权凭证，攻击者可能以较低数据成本移除水印。因此，评估水印方案时需同时考虑其抗去除能力，而非仅关注嵌入后的任务精度。
Q&A
深度神经网络数字水印技术主要用来解决什么问题？
该技术主要用于深度神经网络的所有权授权和知识产权保护，防止模型被盗用或未经授权使用。
嵌入深度神经网络水印的通用框架是如何工作的？
该框架通过嵌入参数规则器，在深度神经网络的训练过程中嵌入数字水印，并且经过精调和参数修剪后仍能保留所有权编码。
深度神经网络水印方案存在哪些安全隐患？
研究表明，即使水印难以删除，恶意对手仍可逃避合法所有者的验证，从而规避模型被盗的检测；此外，黑盒和白盒攻击方法也证明了水印方案的不安全性。
DAWN动态对抗水印方法有什么特点？
DAWN通过在受保护的机器学习模型的预测API中动态更改一小部分查询的响应来生成水印，以遏制模型抽取知识产权盗窃，并对两种最新的模型抽取攻击具有鲁棒性。
基于盲水印的知识产权保护框架是如何保护模型所有权的？
该框架通过将特定标签赋予普通样本并与独占标志组合生成水印，从而保护深度神经网络模型的知识产权，并成功验证了其安全性、可行性和鲁棒性，能与创建者身份建立明确联系，有效应对逃避攻击和恶意主张。
如何去除深度模型中的水印？
一种基于小样本数据的去水印方法，通过数据增强和特征空间中正常与扰动数据的分布对齐相结合，可以有效去除水印且不影响模型性能。
