Resumen Técnico: Neural Honeytrace

Planteamiento del Problema

Los ataques de extracción de modelos (MEAs, por sus siglas en inglés) representan una amenaza significativa para la propiedad intelectual de los proveedores de Aprendizaje Automático como Servicio (MLaaS). Actores malintencionados pueden reconstruir la funcionalidad de un modelo víctima mediante consultas con entradas cuidadosamente diseñadas, robando efectivamente el modelo sin necesidad de acceso a sus datos de entrenamiento. Si bien el marcaje de agua de modelos (model watermarking) ha surgido como un mecanismo de defensa primordial —permitiendo a los propietarios afirmar la propiedad mediante la activación de marcas de agua activables en modelos robados—, los enfoques existentes enfrentan limitaciones críticas:

1. Falta de Flexibilidad: La mayoría de los métodos requieren un reentrenamiento extensivo del modelo para incrustar las marcas de agua, lo que los hace inadecuados para escenarios de post-despliegue o para modelos donde el reentrenamiento es inviable.
2. Vulnerabilidad ante Ataques Adaptativos: Las marcas de agua existentes suelen fallar ante atacantes adaptativos que emplean mecanismos de recuperación (por ejemplo, suavizado, recuperación de etiquetas) para eludir las defensas.
3. Alta Sobrecarga de Consultas: Los métodos actuales a menudo requieren un número prohibitivamente grande de consultas para verificar estadísticamente la propiedad, especialmente cuando la tasa de éxito de la marca de agua (WSR) es baja bajo ataque.

Metodología: Neural Honeytrace

Los autores proponen Neural Honeytrace, un marco de trabajo de marcaje de agua plug-and-play y libre de entrenamiento. La metodología se fundamenta en un análisis de la teoría de la información sobre la transmisión de la marca de agua.

1. Fundamento Teórico

El artículo redefine el marcaje de agua como un problema de transmisión de mensajes.

• Insight 1 (Efecto de Cola Larga Inverso): A diferencia de las puertas traseras (backdoors) tradicionales que dependen de la activación de disparadores discretos, Neural Honeytrace aprovecha el "effecto de cola larga" del aprendizaje de puertas traseras en reversa. Establece una relación suave y probabilística entre la similitud de una consulta de entrada con una marca de agua y la probabilidad de salida del modelo. Esto permite que la marca de agua sea "transferida" a un modelo sustituto sin que el disparador esté presente explícitamente en los datos de entrenamiento de dicho sustituto.
• Insight 2 (Capacidad del Canal): Los autores modelan el proceso de extracción como un canal de comunicación. Argumentan que los métodos existentes fallan ante ataques adaptativos porque la tasa de la fuente (la información requerida tanto para las etiquetas de la tarea como para las marcas de agua) excede la capacidad del canal. En configuraciones de etiquetas duras (hard-label), la capacidad del canal es consumida totalmente por las etiquetas de la tarea ($R_{label} = H(X)$), dejando sin espacio para información adicional de la marca de agua ($R_{wm}$), lo que conduce a errores de transmisión inevitables.

2. El Marco de Trabajo

Neural Honeytrace opera en cuatro pasos sin modificar el entrenamiento del modelo original:

1. Generación de la Marca de Agua: El defensor mantiene un grupo de muestras compuestas de distribución interna (por ejemplo, imágenes benignas combinadas) como marcas de agua.
2. Extracción de Características y Cálculo de Similitud: Al recibir una consulta, el modelo objetivo extrae características. El sistema calcula la similitud ($s$) entre la consulta y las marcas de agua registradas utilizando la última capa de características del modelo.
3. Incrustación de Similitud (Mezcla de Logits): El sistema incrusta la información de similitud en los logits de salida mediante la interpolación de los logits originales con los logits de referencia de la clase de la marca de agua objetivo. Esto se realiza mediante una función de mezcla: $l_{mix} = (1 - s^\alpha) \cdot l_{ori} + s^\alpha \cdot l_{ref}$.
4. Transmisión de Múltiples Pasos (Cambio de Etiquetas): Para superar las limitaciones de la capacidad del canal, el marco emplea una estrategia de múltiples pasos. Basándose en la similitud calculada, se construye una matriz de cambio de etiquetas guiada por probabilidad. Para un conjunto de consultas, las etiquetas se cambian a la clase objetivo con una probabilidad dependiente de la puntuación de similitud. Esto distribuye la información de la marca de agua a través de la distribución de etiquetas de un gran lote de muestras, aumentando efectivamente la capacidad del canal ($C^* = N \cdot C$) para asegurar una transmisión confiable incluso bajo ataques adaptativos.

Contribuciones Clave

1. Marco Libre de Entrenamiento: Neural Honeytrace es el primer marco plug-and-play que incrusta marcas de agua activables sin reentrenar el modelo, permitiendo la aplicación y modificación fluida en post-despliegue.
2. Modelo de Información Teórica: El artículo establece un modelo formal de transmisión de marcas de agua utilizando la teoría de la información, identificando el cuello de botella de la capacidad del canal como la causa raíz del fallo en escenarios de ataque adaptativo.
3. Estrategia Robusta de Múltiples Pasos: Al pasar de la activación de un disparador de un solo paso al cambio de etiquetas probabilístico de múltiples pasos basado en la similitud de características, el método logra robustez contra ataques adaptativos (como Smoothing, D-DAE, p-Bayes) manteniendo la utilidad del modelo.

Resultados Experimentales

Los autores evaluaron Neural Honeytrace en cuatro conjuntos de datos (CIFAR-10, CIFAR-100, Caltech-256, CUB-200) contra diversas estrategias de ataque, incluyendo ataques ingenuos y adaptativos (Smoothing, S4L, D-DAE, p-Bayes, Top-1).

• Tasa de Éxito de la Marca de Agua (WSR): Neural Honeytrace superó consistentemente a los modelos de referencia (DAWN, EWE, Composite, MEA-Defender) en los peores escenarios. Por ejemplo, en CUB-200, mientras que la WSR mínima de MEA-Defender cayó al 4.00% bajo ataques adaptativos, Neural Honeytrace mantuvo una WSR mínima del 25.60%.
• Eficiencia de Consultas: Debido a la mayor WSR, la cantidad de consultas requeridas para la verificación de la propiedad (vía prueba t) se redujo drásticamente. En los peores escenarios, Neural Honeytrace requirió solo el 2% de las consultas necesarias para los métodos existentes (por ejemplo, reduciendo el requisito de ~193,000 consultas para MEA-Defender a ~1,857 para Neural Honeytrace en Caltech-256).
• Utilidad del Modelo: El marco incurrió en cero costo de entrenamiento. En la fase de inferencia, introdujo una sobrecarga computacional mínima, la cual se volvió insignificante a medida que la complejidad de los datos aumentaba.
• Robustez: El método se mantuvo efectivo contra ataques de extracción de modelos libres de datos y fue resistente a las técnicas de detección (BTI) y eliminación (CLP) de puertas traseras.

Significado y Reivindicaciones

El artículo afirma que Neural Honeytrace proporciona una solución flexible y robusta al problema de la extracción de modelos. Su principal significancia radica en:

• Viabilidad de Post-Despliegue: Al eliminar la necesidad de reentrenamiento, resuelve el problema de flexibilidad inherente a los esquemas de marcaje de agua actuales, haciéndolo aplicable a modelos pre-entrenados y servicios en vivo.
• Rigor Teórico: Va más allá de las defensas heurísticas al proporcionar una explicación de la teoría de la información sobre por qué fallan los métodos anteriores y cómo superar los límites de la capacidad del canal.
• Eficiencia Práctica: Reduce significativamente la barrera para que los propietarios de modelos afirmen su propiedad, disminuyendo el costo de verificación de cientos de miles de consultas a unos pocos miles manejables, incluso frente a atacantes adaptativos sofisticados.

Los autores concluyen que Neural Honeytrace ofrece un mecanismo de defensa "fluido" que equilibra la disponibilidad del modelo con derechos de propiedad fuertes y verificables, abordando las brechas críticas de flexibilidad y robustez encontradas en la técnica previa.