💻 computer science

IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

Le papier présente IrisFP, un cadre novateur de marquage numérique de modèles basé sur des exemples adversariaux qui améliore l'unicité et la robustesse en générant des empreintes composites situées à l'intersection de multiples frontières de décision et en évaluant leur pouvoir discriminatif.

Auteurs originaux : Ziye Geng, Guang Yang, Yihang Chen, Changqing Luo

Publié 2026-03-27

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Ziye Geng, Guang Yang, Yihang Chen, Changqing Luo

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🕵️‍♂️ Le Problème : Comment prouver qu'une œuvre est la vôtre ?

Imaginez que vous êtes un chef cuisinier célèbre qui a créé une recette secrète (un modèle d'intelligence artificielle). Un jour, vous découvrez qu'un autre restaurant copie votre recette, la modifie un peu (en changeant l'assaisonnement ou en retirant un ingrédient) et la vend comme sienne.

Comment prouver que c'est bien votre recette ?

Si vous demandez au voleur de vous montrer ses ingrédients, il dira "non, c'est secret".
Si vous goûtez le plat final, il a peut-être un goût très proche du vôtre, mais pas exactement le même.

Dans le monde de l'IA, c'est pareil. Les chercheurs ont essayé de créer des "empreintes digitales" numériques pour les modèles d'IA. L'idée est de donner un petit "test" (une image légèrement modifiée) au modèle. Si le modèle réagit d'une manière très spécifique, c'est qu'il est bien le vôtre.

Le souci : Les voleurs sont malins. S'ils changent un peu leur modèle (en le "réajustant" ou en le "simplifiant"), les anciennes empreintes digitales ne fonctionnent plus. C'est comme si vous changiez de serrure : l'ancienne clé ne s'ouvre plus.

💡 La Solution : IrisFP (L'Empreinte Iris)

Les auteurs de cet article proposent une nouvelle méthode appelée IrisFP. Le nom fait référence à l'iris de l'œil, unique et complexe. Voici comment ça marche, avec des analogies simples :

1. Au lieu d'un seul mur, visez le coin de la pièce 🏠

Les anciennes méthodes plaçaient leur "empreinte" juste à côté d'une seule frontière (comme un mur entre la cuisine et le salon). Si le voleur déplace ce mur de quelques centimètres, l'empreinte ne fonctionne plus.

IrisFP, lui, place son empreinte au carrefour de plusieurs murs (le coin où se rejoignent la cuisine, le salon et la chambre).

Pourquoi ? Si le voleur déplace un mur, l'empreinte est toujours proche des autres murs. Elle reste "collée" au centre de la confusion.
L'analogie : Imaginez que vous posez un objet lourd au centre d'une table. Si vous bougez la table d'un côté, l'objet reste stable. Si vous le posez au bord, il tombe dès que la table bouge. IrisFP pose l'empreinte au centre de la stabilité.

2. Une empreinte en "groupe" plutôt qu'une seule photo 📸

Les anciennes méthodes utilisaient une seule image pour faire le test. Si le voleur changeait un tout petit peu son modèle, cette unique image pouvait échouer.

IrisFP crée une empreinte composite. C'est comme si vous ne preniez pas une seule photo de votre visage, mais un album de 5 photos prises sous des angles légèrement différents, avec des expressions variées.

Même si le voleur modifie son modèle, il est très difficile pour lui de tromper les 5 photos en même temps.
Si le modèle voleur réussit à tromper 4 photos sur 5, c'est suspect. S'il trompe toutes les 5, c'est probablement votre modèle.

3. Le tri sélectif : Garder les meilleures clés 🔑

Parfois, on crée trop d'empreintes et certaines sont mauvaises (elles ne distinguent pas bien le vrai du faux). IrisFP utilise un filtre intelligent.

Il teste ses empreintes sur des modèles "pirates" (ceux qu'on a créés pour simuler un vol) et sur des modèles "innocents" (créés de zéro par d'autres).
Il ne garde que les empreintes qui font une différence énorme entre les deux groupes.
Ensuite, il donne à chaque empreinte sa propre règle de décision. Certaines ont besoin de 3/5 réponses correctes pour être validées, d'autres en veulent 4/5. C'est comme un système de sécurité sur mesure.

🚀 Le Résultat : Pourquoi c'est génial ?

Grâce à cette méthode, IrisFP est comme un super-détective :

Il est plus difficile à tromper (Robustesse) : Même si le voleur modifie son modèle (en le "réajustant" ou en le "simplifiant"), l'empreinte résiste car elle est bien ancrée au centre de la complexité du modèle.
Il ne se trompe pas souvent (Unicité) : Il ne confond pas un innocent avec un voleur, car il utilise un groupe de tests variés qui réagissent différemment selon l'identité exacte du modèle.

En résumé

Imaginez que vous voulez marquer votre voiture pour qu'on ne puisse pas la voler.

Les anciennes méthodes : Vous mettez une petite étiquette sur la portière. Si le voleur change la portière, l'étiquette disparaît.
IrisFP : Vous gravez un code secret complexe dans le moteur, le châssis et les pneus, et vous créez un système qui vérifie si ces trois éléments réagissent ensemble d'une manière unique. Même si le voleur change une pièce, le système global crie : "C'est ma voiture !"

C'est cette combinaison de positionnement stratégique (le carrefour), de multiplicité (le groupe de tests) et d'intelligence (le tri sélectif) qui rend IrisFP si puissant pour protéger la propriété intellectuelle des intelligences artificielles.

1. Problématique

La protection de la propriété intellectuelle (PI) des réseaux de neurones profonds (DNN) est un enjeu majeur, notamment face aux risques de vol et d'utilisation non autorisée. L'approche actuelle de l'empreinte digitale de modèle (model fingerprinting) basée sur des exemples adverses vise à générer des paires entrée-sortie spécifiques qui révèlent l'identité du modèle protégé.

Cependant, les méthodes existantes souffrent d'un compromis fondamental (trade-off) entre unicité et robustesse :

Unicité faible : Les méthodes qui placent les empreintes profondément à l'intérieur des régions de classes cibles (loin des frontières de décision) résistent bien aux modifications du modèle, mais elles sont moins sensibles aux spécificités du modèle, ce qui réduit leur capacité à distinguer le modèle protégé d'un modèle entraîné indépendamment.
Robustesse faible : Les méthodes qui placent les empreintes près d'une seule frontière de décision sont très spécifiques au modèle (haute unicité), mais elles sont extrêmement vulnérables aux attaques de modification (comme le fine-tuning ou l'élagage) qui déplacent ces frontières, rendant l'empreinte invalide.

Le défi est donc de concevoir une méthode capable d'atteindre simultanément une haute unicité et une haute robustesse.

2. Méthodologie : IrisFP

IrisFP propose un cadre novateur qui surmonte ce compromis en exploitant les caractéristiques multi-frontières, les comportements multi-échantillons et une évaluation de la puissance discriminative. Le processus se déroule en trois phases principales pour la génération d'empreintes, suivi d'une vérification en deux étapes.

A. Génération des Empreintes (3 Phases)

Initialisation des "Graines" d'Empreintes (Phase I) :
- Contrairement aux méthodes traditionnelles qui ciblent une seule frontière, IrisFP place les graines d'empreintes à l'intersection de toutes les frontières de décision du modèle protégé.
- Principe : Un échantillon situé à l'intersection de multiples frontières possède une marge de prédiction plus grande (un écart de confiance important entre la classe prédite et la seconde meilleure classe) tout en restant proche des limites de décision.
- Avantage : Cela augmente la robustesse (car l'échantillon n'est pas profondément ancré dans une classe, il résiste mieux aux déplacements de frontières) sans sacrifier l'unicité (car il reste sensible aux spécificités du modèle).
- Optimisation : On minimise la divergence KL entre la sortie du modèle et une distribution de probabilité biaisée vers une classe cible, tout en régularisant la perturbation.
Génération d'Empreintes à Échantillons Composites (Phase II) :
- Pour renforcer l'unicité, chaque graine est étendue en un échantillon composite composé de la graine originale et de plusieurs variantes ( $T$ variantes).
- Ces variantes sont générées en appliquant des perturbations subtiles et diversifiées pour induire des réponses variées du modèle protégé.
- Logique : Les modèles indépendamment entraînés, même avec des architectures similaires, ont des frontières de décision différentes et échouent à reproduire ce motif de comportement complexe et cohérent sur l'ensemble des variantes, créant ainsi un écart comportemental significatif.
Raffinement et Sélection des Empreintes (Phase III) :
- Toutes les empreintes générées ne sont pas également discriminantes. IrisFP utilise une stratégie de raffinement basée sur des métriques statistiques.
- Ensembles de référence : Utilisation d'un ensemble de modèles "piratés" (modifiés) et d'un ensemble de modèles "indépendants".
- Sélection : Calcul de la taille de l'effet de Cohen ( $d$ ) pour mesurer la séparation statistique entre les taux de correspondance des modèles piratés et indépendants. Seules les $K$ meilleures empreintes (les plus discriminantes) sont conservées.
- Seuils Spécifiques : Chaque empreinte retenue se voit attribuer un seuil de vérification spécifique ( $\theta_i$ ), calculé dynamiquement en fonction de ses statistiques de correspondance, plutôt que d'utiliser un seuil global fixe.

B. Processus de Vérification de Propriété

La vérification s'effectue en deux étapes :

Appariement de Propriété : Pour chaque empreinte composite, on calcule le taux de correspondance (combien de variantes sont correctement prédites par le modèle suspect) et on le compare au seuil spécifique de cette empreinte.
Agrégation de Décision : Les résultats de toutes les empreintes sont agrégés pour produire un score final. Si ce score dépasse un seuil global $\alpha$ , le modèle est considéré comme piraté.

3. Contributions Clés

Positionnement Multi-Frontières : Déplacement de la stratégie de "frontière unique" vers l'intersection de multiples frontières, augmentant la marge de prédiction et la robustesse sans perdre l'unicité.
Empreintes Composites : Introduction d'empreintes constituées de plusieurs échantillons (graine + variantes) pour exploiter les motifs de comportement collectifs et améliorer la discrimination.
Raffinement Statistique et Seuils Adaptatifs : Mécanisme de sélection des meilleures empreintes via la taille de l'effet de Cohen et attribution de seuils de décision personnalisés pour chaque empreinte, optimisant ainsi la fiabilité de la vérification.

4. Résultats Expérimentaux

Les auteurs ont évalué IrisFP sur cinq jeux de données (CIFAR-10, CIFAR-100, Fashion-MNIST, MNIST, Tiny-ImageNet) et trois architectures (ResNet-18, MobileNet-V2, ViT-B/16), en comparaison avec quatre méthodes de l'état de l'art (IPGuard, UAP, ADV-TRA, AKH).

Performance Globale (AUC) : IrisFP surpasse systématiquement les méthodes de référence, atteignant des AUC (Area Under the Curve) supérieurs à 0.90 sur la plupart des configurations, contre souvent moins de 0.80 pour les autres méthodes.
Robustesse aux Attaques : IrisFP démontre une robustesse exceptionnelle contre six types d'attaques de modification (Fine-tuning, Pruning, Knowledge Distillation, Adversarial Training, Prune-then-tune, Noise Injection). Il maintient des taux de vrais positifs (TPR) élevés même après des attaques agressives.
Unicité : Contrairement aux méthodes robustes qui ont souvent une faible unicité (taux de faux positifs élevés), IrisFP maintient un taux de vrais négatifs (TNR) élevé, prouvant sa capacité à ne pas confondre des modèles indépendants avec le modèle protégé.
Études Ablatives : Les expériences montrent que chaque composant (graines multi-frontières, échantillons composites, sélection, seuils spécifiques) contribue de manière complémentaire à la performance finale.

5. Signification et Impact

IrisFP résout un problème fondamental dans la protection de la PI des DNN : l'impossibilité apparente d'avoir à la fois une empreinte robuste et unique. En exploitant la géométrie complexe des frontières de décision (l'intersection) et en passant d'une approche mono-échantillon à une approche composite, IrisFP offre une solution fiable pour la vérification de propriété dans des scénarios réels où les modèles peuvent être modifiés ou piratés.

Cette avancée est cruciale pour le déploiement commercial de modèles d'IA, permettant aux propriétaires de modèles de prouver leur propriété intellectuelle avec une haute confiance, même face à des adversaires sophistiqués tentant d'effacer les traces de propriété via des techniques de modification de modèle.