神经网络水印的信息容量再审：上限估计及其它
内容提要
本文综述深度神经网络数字水印技术，用于模型知识产权保护与所有权验证，涵盖嵌入参数规则器、潜在水印、护照验证、盲水印、可逆水印等方案，并探讨抵御精调、剪枝、后门移除及伪造攻击的稳健性。
延伸解读
水印技术演进：从嵌入到对抗
文章梳理了2017至2023年间神经网络水印的发展脉络。早期研究（2017-2018）聚焦于在模型参数中嵌入水印以验证所有权，并确保其能抵抗精调和剪枝。随后，研究转向揭示水印的脆弱性，例如2018年9月的工作表明攻击者可绕过验证，2020年4月的“洗涤”算法甚至能移除黑盒后门水印。这反映了水印与攻击技术持续对抗的演进过程。
水印稳健性：攻击与防御的博弈
文章多次提及水印面临的攻击类型，包括精调、剪枝、后门移除和伪造攻击。为应对这些威胁，研究者提出了多种防御机制：例如“潜在水印”通过休眠状态抵御后门检测和移除；基于护照的方案在护照被伪造时恶化模型性能；盲水印框架则通过独占标志应对恶意主张。这些方案旨在提升水印在恶意环境下的可靠性。
应用场景：从模型保护到数据溯源
水印技术的应用不限于模型知识产权保护。文章提到，2021年9月的研究利用水印保护用户图像数据在训练中的未经授权使用，通过线性颜色变换将水印嵌入分类器，使第三方能验证数据是否被滥用。此外，可逆水印被用于模型完整性认证，在提取水印后可完全恢复模型参数，并检测非法修改。这显示了水印在数据溯源和完整性验证方面的潜力。
Q&A
深度神经网络水印的主要用途是什么？
深度神经网络水印主要用于模型知识产权保护和所有权验证，防止未经授权的使用和盗用。
有哪些常见的深度神经网络水印方案？
常见的方案包括嵌入参数规则器、潜在水印、护照验证、盲水印和可逆水印等。
深度神经网络水印需要抵御哪些攻击？
需要抵御精调、剪枝、后门移除以及伪造攻击等。
什么是潜在水印？
潜在水印是一种通过训练使水印在未激活前处于休眠状态的方法，能有效抵御后门检测、后门移除和替身模型攻击。
可逆水印如何用于模型完整性认证？
可逆水印利用剪枝理论构建主机序列，通过直方图移位嵌入水印，提取后能完全恢复模型参数，并可验证模型是否被非法修改。
基于护照的所有权验证方案有什么特点？
该方案利用护照设计和训练模型，伪造护照会导致模型推理性能严重恶化，既能抵御网络修改又能避免歧义攻击。
