IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

1. El Problema

La protección de la propiedad intelectual (PI) de las Redes Neuronales Profundas (DNN) es un desafío crítico. Las técnicas de huella digital (fingerprinting) basadas en ejemplos adversarios buscan generar pares de entrada-salida que revelen la identidad de un modelo protegido.

Sin embargo, los métodos existentes enfrentan una compensación fundamental (trade-off) entre dos propiedades esenciales:

• Unicidad: La capacidad de distinguir el modelo protegido de otros modelos entrenados independientemente.
• Robustez: La capacidad de mantener la validez de la huella digital frente a ataques de modificación del modelo (como fine-tuning, poda, distilación de conocimiento o entrenamiento adversario).

Limitaciones de los enfoques actuales:

• Los métodos tradicionales suelen colocar las huellas digitales cerca de una única frontera de decisión. Esto las hace sensibles a cambios en el modelo (baja robustez).
• Para mejorar la robustez, algunos métodos colocan las huellas profundamente dentro de la región de la clase objetivo, lejos de las fronteras. Esto, sin embargo, reduce la sensibilidad a las características específicas del modelo, degradando la unicidad.
• La mayoría de los métodos generan huellas individuales sin considerar el comportamiento colectivo o la evaluación de la calidad de la huella frente a modelos piratas y modelos independientes.

2. Metodología: IrisFP

El authors proponen IrisFP, un marco novedoso que resuelve este dilema mediante el uso de características de múltiples fronteras, comportamiento de múltiples muestras y evaluación de poder discriminativo. El proceso se divide en dos etapas principales: Generación de Huellas y Verificación de Propiedad.

A. Generación de Huellas (Tres Fases)

1. Fase I: Inicialización de Semillas de Huella (Multi-Boundary):

   • En lugar de empujar una muestra hacia una sola frontera, IrisFP genera "semillas" de huella digital ubicadas cerca de la intersección de todas las fronteras de decisión del modelo protegido.
   • Mecanismo: Se optimiza una perturbación para que la distribución de probabilidad de salida del modelo se alinee con una distribución sesgada donde la clase objetivo tiene una probabilidad ligeramente superior, pero el resto de las clases comparten el resto de la probabilidad de manera casi uniforme.
   • Beneficio: Esto aumenta el margen de predicción (la brecha de confianza entre la primera y segunda clase) sin colocar la muestra profundamente dentro de una región de clase, mejorando la robustez sin sacrificar la unicidad.

2. Fase II: Generación de Huellas de Muestra Compuesta (Composite-Sample):

   • Para potenciar la unicidad, cada semilla se expande en un conjunto de variantes mediante perturbaciones mínimas y diversas.
   • Cada variante se asigna a una clase objetivo diferente (muestreada aleatoriamente), creando un patrón de comportamiento colectivo.
   • Lógica: El modelo protegido responderá de manera consistente y específica a este conjunto de variantes, mientras que los modelos independientes (incluso con arquitecturas similares) tenderán a producir respuestas inconsistentes o diferentes, ampliando la brecha de comportamiento.

3. Fase III: Refinamiento de Huellas:

   • No todas las huellas generadas son igualmente efectivas. IrisFP utiliza un conjunto de referencia de modelos piratas (derivados del modelo protegido) y modelos independientes (entrenados desde cero).
   • Selección: Se calcula el tamaño del efecto de Cohen (Cohen's d) para medir la separación estadística entre las tasas de coincidencia de los modelos piratas y los independientes. Se seleccionan las $K$ mejores huellas con mayor poder discriminativo.
   • Umbral Específico: En lugar de un umbral global, se asigna un umbral específico para cada huella ($\theta_i$), calculado como un promedio ponderado de las tasas de coincidencia de los conjuntos de referencia, considerando sus desviaciones estándar.

B. Verificación de Propiedad

El proceso de verificación sigue dos pasos:

1. Coincidencia de Propiedad: Se consulta al modelo sospechoso con cada huella compuesta. Si la tasa de coincidencia supera el umbral específico de esa huella, se marca como "coincidencia".
2. Agregación de Decisiones: Se calcula una puntuación final basada en la proporción de huellas que coinciden. Si supera un umbral global predefinido, el modelo se declara pirata.

3. Contribuciones Clave

1. Ubicación Estratégica en la Intersección: A diferencia de métodos anteriores que apuntan a una sola frontera, IrisFP posiciona las huellas en la intersección de múltiples fronteras, logrando un mayor margen de predicción y, por tanto, mayor robustez sin perder unicidad.
2. Huella Digital de Muestra Compuesta: Introduce el concepto de usar múltiples variantes de una semilla para explotar patrones de comportamiento colectivo, aumentando significativamente la capacidad de discriminación.
3. Refinamiento Estadístico y Umbrales Adaptativos: Propone un mecanismo de selección basado en la separabilidad estadística (Cohen's d) y asigna umbrales personalizados a cada huella, abordando la variabilidad en la calidad de las huellas generadas.
4. Rendimiento Superior: Demuestra experimentalmente que es posible superar la compensación tradicional entre unicidad y robustez.

4. Resultados Experimentales

Los autores evaluaron IrisFP en cinco conjuntos de datos (CIFAR-10, CIFAR-100, Fashion-MNIST, MNIST, Tiny-ImageNet) y tres arquitecturas (ResNet-18, MobileNet-V2, ViT-B/16), comparándolo con cuatro métodos de vanguardia (IPGuard, UAP, ADV-TRA, AKH).

• Precisión General (AUC): IrisFP superó consistentemente a todos los métodos baselines, logrando un AUC promedio superior a 0.90 en la mayoría de los casos (ej. 0.916 en CIFAR-100 con ResNet-18), mientras que los mejores baselines rondaban el 0.80-0.85.
• Robustez ante Ataques: IrisFP mantuvo un alto rendimiento bajo seis tipos de ataques de modificación (Fine-tuning, Poda, KD, AT, PFT, NFT). Por ejemplo, en ataques de Fine-tuning y Poda, IrisFP alcanzó AUCs cercanos a 1.0, superando drásticamente a los métodos que fallaban en estos escenarios.
• Unicidad y Robustez Simultáneas: Los gráficos TNR-FNR y TPR-FPR mostraron que IrisFP es el único método que logra altas tasas de verdaderos negativos (unicidad) y verdaderos positivos (robustez) simultáneamente.
• Estudios de Ablación: Confirmaron que cada componente (semillas multi-frontera, muestras compuestas, selección y umbrales específicos) contribuye significativamente al rendimiento final.

5. Significado e Impacto

El trabajo de IrisFP es significativo porque resuelve un problema fundamental en la protección de PI de IA: la incapacidad de los métodos existentes para ser a la vez robustos y únicos.

• Viabilidad Práctica: Al demostrar que las huellas pueden resistir ataques comunes como el fine-tuning y la poda, IrisFP ofrece una solución viable para el despliegue comercial de modelos protegidos.
• Marco General: La estrategia de utilizar la intersección de fronteras y el análisis estadístico de separabilidad puede extenderse a otros dominios de seguridad de modelos.
• Confianza en la Verificación: La introducción de umbrales específicos por huella y la selección basada en datos reales de modelos piratas e independientes aumenta la fiabilidad de la verificación de propiedad en escenarios del mundo real, reduciendo falsos positivos y negativos.

En resumen, IrisFP representa un avance sustancial en la criptografía de modelos, proporcionando un mecanismo de verificación de propiedad que es difícil de eludir y altamente preciso.