Riepilogo Tecnico: FIT-Print

Problema

Il documento affronta una vulnerabilità critica nelle tecniche esistenti di fingerprinting dei modelli utilizzate per salvaguardare i diritti di proprietà intellettuale (IPR) dei modelli di deep learning open-source. Sebbene il fingerprinting dei modelli offra un metodo non intrusivo per verificare la proprietà senza modificare i parametri del modello, gli autori dimostrano che gli attuali metodi sono fondamentalmente suscettibili di attacchi di falsa rivendicazione (false claim attacks).

In questi attacchi, sviluppatori malintenzionati possono rivendicare fraudolentemente la proprietà di modelli indipendenti di terze parti. Gli autori identificano che questa vulnerabilità deriva dalla natura non mirata (untargeted) dei metodi di fingerprinting esistenti. Gli approcci attuali (sia bit-wise che list-wise) valutano tipicamente la similarità del modello basandosi sugli output di campioni di test arbitrari. Questo approccio non mirato crea uno "spazio di fingerprint" molto ampio, consentendo agli avversari di creare campioni "trasferibili" (specificamente, campioni "facili" che producono classificazioni corrette ad alta confidenza) che generano output simili in modelli diversi e indipendenti. Di conseguenza, modelli indipendenti possono essere erroneamente giudicati come versioni riutilizzate di un modello sorgente, portando a falsi allarmi e rivendicazioni di proprietà fraudolente.

Metodologia: FIT-Print

Per mitigare questa vulnerabilità, gli autori propongono FIT-Print (False-claIm-resistant Targeted model fingerPrinting), un nuovo paradigma che sposta la verifica della proprietà dall'estrazione passiva di feature all'allineamento attivo della firma (active signature alignment).

Intuizione Centrale

Invece di confrontare output arbitrari, FIT-Print restringe lo spazio del fingerprint ottimizzando i campioni di test affinché producano output che si allineino con un target fingerprint specifico e predefinito (ad esempio, un vettore binario specifico o un pattern d'immagine). Questo approccio mirato riduce significativamente la probabilità che un avversario trovi campioni trasferibili che soddisfino i criteri di verifica per un modello indipendente.

Pipeline del Framework

Il framework FIT-Print opera in due fasi:

1. Estrazione dei Campioni di Test: Lo sviluppatore del modello ottimizza le perturbazioni su immagini di test iniziali per garantire che l'output della funzione di mappatura $f(\cdot)$ sul modello sorgente $M_o$ sia strettamente allineato con un target fingerprint $F$ predefinito. Questo è formulato come un problema di ottimizzazione che minimizza la distanza tra il vettore del fingerprint generato e il target, regolarizzando l'entità della perturbazione. Per migliorare la conferrabilità (la capacità del fingerprint di trasferirsi ai modelli riutilizzati), l'ottimizzazione utilizza un set di "modelli aumentati" (creati tramite fine-tuning, pruning, ecc.) durante il processo di generazione del campione.
2. Verifica della Proprietà: Quando si verifica un modello sospetto $M_s$, il sistema estrae il fingerprint utilizzando i campioni di test ottimizzati e lo confronta con il target fingerprint registrato $F$. La verifica ha successo se il Bit Error Rate (BER) tra il fingerprint estratto e $F$ è inferiore a una soglia calcolata $\tau$.

Metodi Proposti

Sulla base del paradigma FIT-Print, gli autori sviluppano due metodi black-box:

• FIT-ModelDiff (Bit-wise): Questo metodo estrae il fingerprint bit per bit. Utilizza il Decision Distance Vector (DDV), che misura la similarità del coseno tra i logit di un campione perturbato e il suo corrispettivo benigno. Il segno della distanza rispetto a un parametro di bias determina i bit del fingerprint.
• FIT-LIME (List-wise): Questo metodo estrae il fingerprint come una lista completa. Sfrutta LIME (Local Interpretable Model-agnostic Explanations) per generare punteggi di attribuzione delle feature. Il metodo calcola l'entropia degli output del modello su campioni mascherati per derivare un vettore di punteggio di importanza, che funge da fingerprint.

Contributi Chiave

1. Analisi della Vulnerabilità: Il documento rivela formalmente che i metodi esistenti di model fingerprinting sono vulnerabili agli attacchi di falsa rivendicazione a causa della loro natura non mirata, dimostrando che gli avversari possono costruire campioni trasferibili per rivendicare falsamente la proprietà di modelli indipendenti.
2. Nuovo Paradigma: Introduce FIT-Print, un paradigma di fingerprinting mirato che utilizza una specifica firma di riferimento per restringere lo spazio del fingerprint e contrastare le false rivendicazioni.
3. Design Algoritmico: Progetta due metodi black-box specifici, FIT-ModelDiff e FIT-LIME, che rappresentano rispettivamente gli approcci bit-wise e list-wise.
4. Valutazione Esaustiva: Gli autori conducono esperimenti estesi su dataset benchmark (Flowers102, SDogs120) e modelli (MobileNetV2, ResNet18, ViT, ecc.) per validare l'efficacia, la conferrabilità e la resistenza agli attacchi.

Risultati Sperimentali

La valutazione dimostra che FIT-Print raggiunge prestazioni superiori rispetto ai metodi state-of-the-art esistenti (inclusi IPGuard, MetaV, ModelDiff, Zest, SAC e ModelGiF):

• Successo della Difesa: FIT-Print raggiunge un tasso di successo della difesa del 100% contro gli attacchi di falsa rivendicazione, neutralizzando efficacementmente i tentativi di rivendicazione fraudolenta della proprietà da parte di sviluppatori malintenzionati.
• Eliminazione dei Falsi Allarmi: I metodi raggiungono un tasso di falsi positivi dello 0,0% sui modelli indipendenti, il che significa che nessun modello indipendente viene identificato erroneamente come riutilizzato.
• Verifica della Proprietà: FIT-Print mantiene un tasso di verifica della proprietà del 100% attraverso diverse tecniche di riutilizzo del modello, inclusi copia, fine-tuning, pruning, estrazione del modello e transfer learning.
• Robustezza: Il framework rimane efficace contro attacchi adattivi, inclusi l' "overwriting" (dove un attaccante tenta di sovrascrivere il fingerprint) e l' "unlearning" (dove un attaccante tenta di rimuovere il fingerprint), anche quando l'attaccante ha una conoscenza parziale del target fingerprint.
• Generalizzabilità: Si dimostra che i metodi sono efficaci attraverso diverse architetture di modelli (CNN, Transformer) e formati di dati (immagini, modelli di generazione testuale come GPT-2 e BERT).

Significato e Rivendicazioni

Il documento sostiene che FIT-Print offre una nuova prospettiva sul model fingerprinting affrontando il difetto fondamentale della verifica non mirata. Trasformando il fingerprint in una firma mirata e verificabile, il framework fornisce un meccanico robusto per proteggere la proprietà intellettuale dei modelli nell'ecosistema open-source.

Gli autori sottolineano che il loro approccio è pratico per l'implementazione nel mondo reale poiché non richiede modifiche ai parametri o alla struttura del modello (setting black-box). Riconoscono potenziali limitazioni, come l'attuale mancanza di disposizioni legali mature per la registrazione di fingerprint da parte di terzi e la difficoltà di fornire prove formali di robustezza per le reti neurali profonde. Tuttavia, pongono che l'istituzione di registri fidati (ad esempio, Uffici per la Proprietà Intellettuale o Regolatori dell'IA) sia una necessità prevedibile per l'adozione diffusa di tali sistemi di verifica. In definitiva, FIT-Print mira a facilitare la condivisione e il commercio di modelli più sicuri e affidabili eliminando il rischio di false rivendicazioni di proprietà.