WARDEN：多向背门数字水印用于嵌入式服务版权保护
内容提要
该文综述深度神经网络数字水印与版权保护研究，涵盖EmbMarker、VLPMarker、EWE等水印嵌入方法，以及数据集水印、去水印、黑盒白盒攻击、DAWN动态对抗水印和Spy-Watermark后门攻击，指出现有方案仍面临安全挑战。
延伸解读
水印技术演进：从嵌入到动态对抗
文章梳理了数字水印技术的发展脉络：早期方法如EWE（2020年2月）将水印嵌入训练任务，实现高效验证；随后EmbMarker（2023年5月）和VLPMarker（2023年11月）利用后门和正交变换提升隐蔽性；最新DAWN（2024年2月）则引入动态对抗水印，通过动态修改API响应来抵御模型抽取攻击。这一演进反映了水印技术从静态保护向动态防御的转变。
安全挑战：攻击与防御的持续博弈
文章指出水印方案面临多重安全威胁：黑盒和白盒攻击（2019年6月）证明水印可被破坏；去水印方法（2020年8月）能有效移除水印而不影响模型性能；神经网络“洗涤”算法（2020年4月）甚至能在无先验知识下移除黑盒后门水印。这些攻击手段表明，现有水印方案仍不足以提供可靠版权保护，需持续改进。
后门水印的双刃剑：保护与风险
后门机制被广泛用于水印嵌入，如EmbMarker、VLPMarker和数据集水印（2020年10月）。然而，后门本身可能被滥用：Spy-Watermark（2024年1月）就是一种新型后门攻击，利用可学习潜在空间水印作为触发器，在数据损坏和后门防御下仍保持有效。这提醒我们，后门水印在提供版权保护的同时，也可能引入新的安全漏洞。
Q&A
EmbMarker 是什么？它如何保护嵌入式服务模型的版权？
EmbMarker 是一种嵌入式数字水印方法，通过在包含触发词的文本嵌入中植入后门来保护嵌入式服务模型的版权，同时减小对原始嵌入的影响，并经过多种数据集实验验证。
VLPMarker 水印方法有什么特点？
VLPMarker 是一种安全且强大的基于后门的嵌入水印方法，利用嵌入正交转换将触发器注入到 VLPs 中，实现高质量版权验证且对模型性能影响最小。
EWE 水印技术如何实现版权验证？
EWE 是一种恒定水印嵌入技术，将水印紧密嵌入训练任务中，使模型同时学习正常输入和水印，测试时表现优异，可在 100 次以下查询内成功断言模型归属。
有哪些攻击方法可以破坏深度神经网络的水印？
黑盒和白盒攻击方法可以破坏水印，证明水印方案的不安全性；此外，神经网络“洗涤”算法能在没有先验知识的情况下移除黑盒后门水印，消除现有防御和版权保护机制使用的水印。
DAWN 动态对抗水印是如何工作的？
DAWN 通过在受保护的机器学习模型的预测 API 中动态更改一小部分查询的响应来生成水印，以遏制模型抽取知识产权盗窃，并对两种最新的模型抽取攻击具有鲁棒性。
Spy-Watermark 后门攻击是什么？它有什么优势？
Spy-Watermark 是一种新型后门攻击方法，引入可学习的图像潜在空间中嵌入的水印作为触发器，通过多个防崩溃操作增强触发器对数据损坏的韧性，在面对数据崩溃和后门防御时仍然有效。在 CIFAR10、GTSRB 和 ImageNet 数据集上，其鲁棒性和隐秘性超过了十种最先进方法。
