🤖 AI

Fingerprinting Deep Neural Networks for Ownership Protection: An Analytical Approach

Il paper propone AnaFP, uno schema analitico che risolve il problema teorico della distanza ottimale tra le impronte digitali e il confine decisionale nelle reti neurali profonde, garantendo sia la robustezza che l'unicità per una protezione della proprietà intellettuale superiore rispetto ai metodi esistenti.

Autori originali: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

Pubblicato 2026-03-24

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di aver creato un capolavoro digitale: una Intelligenza Artificiale (una "macchina intelligente") che riconosce i gatti dalle foto o traduce lingue. È il tuo lavoro, la tua proprietà intellettuale.

Purtroppo, c'è un ladro che ruba il tuo modello, lo modifica un po' (magari lo "pulisce" o lo riaddestra leggermente per nascondere le tracce) e lo rivende come suo, offrendolo come servizio a pagamento. Come fai a dimostrare che il modello è tuo senza doverlo smontare pezzo per pezzo?

È qui che entra in gioco il paper AnaFP.

Ecco la spiegazione semplice, con qualche metafora per renderla chiara.

1. Il Problema: La "Firma" sul Confine

Per proteggere il tuo modello, gli scienziati usano una tecnica chiamata impronta digitale (fingerprinting).
Immagina che il tuo modello sia una grande stanza con un muro invisibile al centro (il "confine decisionale"). Da una parte del muro ci sono i "gatti", dall'altra i "cani".

Come funzionano le vecchie impronte digitali: I metodi precedenti creavano un "trucco" (un'immagine modificata di poco) che spingeva il modello a sbagliare e dire "è un cane" quando era un gatto.
Il dilemma: Dove devi mettere questo trucco?
- Se lo metti troppo vicino al muro, è unico per il tuo modello (nessun altro modello lo riconosce), ma è fragile: se il ladro sposta anche di un millimetro il muro, il trucco smette di funzionare.
- Se lo metti troppo lontano dal muro, è robusto (resiste ai cambiamenti del ladro), ma diventa generico: anche altri modelli potrebbero reagire allo stesso modo, quindi non puoi provare che è il tuo modello.

I metodi precedenti cercavano questo punto "perfetto" a caso, come se stessero tirando a indovinare al buio.

2. La Soluzione: AnaFP (L'Approccio Matematico)

Gli autori di questo paper, AnaFP, dicono: "Basta indovinare! Calcoliamo esattamente dove mettere il trucco".

Hanno creato una formula matematica che definisce una zona sicura (un intervallo) dove il trucco deve stare. Immagina di dover parcheggiare un'auto in un garage:

C'è un limite inferiore (non puoi andare troppo vicino al muro di fondo, altrimenti si rompe se il muro si muove).
C'è un limite superiore (non puoi andare troppo vicino all'ingresso, altrimenti un'auto di un altro garage potrebbe entrare per sbaglio).

AnaFP calcola matematicamente questi due limiti per ogni singolo trucco.

3. Come funziona in pratica (I 4 Passaggi)

Ecco come costruiscono l'impronta digitale passo dopo passo:

Scegliere i "Punti di Riferimento" (Anchors):
Prendono delle immagini su cui il loro modello è sicurissimo al 100% (es. "Questo è un gatto, ne sono certo"). Sono come punti fermi su una mappa.
Trovare il "Bordo" (Boundary):
Creano una versione modificata di quell'immagine che fa esitare il modello, portandolo proprio sul confine tra "gatto" e "cane". È il punto più vicino possibile dove il modello inizia a confondersi.
Calcolare la "Forza di Allungamento" (Stretch Factor):
Qui arriva la magia. Invece di fermarsi al bordo, spingono l'immagine un po' oltre, ma non troppo.
- Usano una formula per dire: "Devo spingerlo abbastanza lontano da resistere se il ladro modifica il modello (Robustezza), ma non così tanto che anche un modello diverso reagisca (Unicità)".
- Poiché non possono testare tutti i ladri possibili (ce ne sono infiniti), usano dei modelli "surrogato" (dei finti ladri e dei finti modelli indipendenti) per simulare la situazione e trovare il punto perfetto.
Creare l'Impronta:
Prendono l'immagine, la modificano con la "spinta" calcolata matematicamente e la salvano. Questa è la loro impronta digitale.

4. Il Test: Chi è il Ladro?

Quando il proprietario sospetta che qualcuno abbia rubato il suo modello, usa queste impronte digitali per fare un test:

Invia l'immagine "truccata" al modello sospetto.
Se il modello sospetto risponde esattamente come previsto (es. "È un cane!"), allora è molto probabile che sia una copia del modello originale.
Se risponde in modo diverso, è probabilmente un modello fatto da zero da qualcun altro.

Perché è importante?

Prima, si basavano sull'intuito ("proviamo a spostarlo di 0.1 millimetri e vediamo"). Se sbagliavano, l'impronta non funzionava.
Con AnaFP, hanno una garanzia teorica. Sanno matematicamente che l'impronta che stanno creando resisterà ai tentativi di furto (come la rimozione di parti del modello o il riaddestramento) e che sarà unica per il loro modello.

In sintesi:
AnaFP è come un serratura intelligente che non si basa sulla fortuna, ma su un calcolo preciso. Ti dice esattamente quanto deve essere forte la chiave (l'impronta) per aprire la tua porta (il modello) senza che un ladro possa cambiarla o che un vicino possa aprirla per sbaglio. È un modo molto più sicuro e scientifico per proteggere il lavoro degli sviluppatori di Intelligenza Artificiale.

1. Il Problema

Con la crescente diffusione dei Deep Neural Networks (DNN) in scenari reali, la pirateria dei modelli rappresenta una minaccia significativa per la proprietà intellettuale (IP). Gli attaccanti possono rubare un modello, applicare modifiche per preservarne le prestazioni (come fine-tuning, pruning, o knowledge distillation) per eludere il rilevamento, e ridistribuirlo come servizio black-box.

Le tecniche esistenti di protezione della proprietà si dividono principalmente in:

Watermarking: Inserisce pattern identificativi nei parametri del modello, ma può introdurre vulnerabilità di sicurezza o degradare le prestazioni.
Fingerprinting (basato su esempi avversariali): Sfrutta le caratteristiche intrinseche del modello (i confini decisionali) per generare firme uniche senza modificare il modello.

La sfida fondamentale: Esiste un compromesso critico tra due proprietà essenziali per un'impronta digitale efficace:

Robustezza: L'impronta deve resistere alle modifiche del modello pirata. Questo richiede di posizionare l'impronta lontano dal confine decisionale.
Unicità: L'impronta deve distinguere il modello protetto da modelli addestrati indipendentemente. Questo richiede di posizionare l'impronta vicino al confine decisionale (dove le differenze tra modelli sono massime).

Le opere precedenti risolvono questo problema utilizzando euristiche empiriche per determinare la distanza tra l'impronta e il confine, senza alcuna guida teorica, portando spesso a violare una delle due proprietà.

2. Metodologia: AnaFP

Gli autori propongono AnaFP (Analytical adversarial-example-based FingerPrinting), uno schema che costruisce le impronte digitali sotto guida teorica rigorosa. Il processo si articola in quattro fasi principali:

A. Selezione di Ancore ad Alta Fiducia

Vengono selezionati campioni dal dataset di addestramento originale (ancore) che il modello protetto classifica con alta confidenza (margini di logit elevati). Questi campioni servono come base stabile per garantire l'unicità, poiché modelli indipendenti tendono a classificarli correttamente con alta probabilità.

B. Calcolo di Perturbazioni Minime Decisionali

Per ogni ancora, viene calcolata la perturbazione minima ( $\delta^*$ ) necessaria per far cambiare al modello protetto la sua previsione (portando il punto sul confine decisionale). Questo viene risolto come un problema di ottimizzazione (usando l'attacco C&W $\ell_2$ ).

C. Ricerca del Fattore di Stiro (Stretch Factor) Teorico

Questa è la novità principale. Invece di usare un fattore di stiro $\tau$ fisso o euristico, AnaFP lo determina analiticamente:

Formalizzazione dei vincoli: Vengono definiti matematicamente un limite inferiore ( $\tau_{lower}$ $τ_{l o w er}$ ) per la robustezza e un limite superiore ( $\tau_{upper}$ $τ_{u pp er}$ ) per l'unicità.
- $\tau > \tau_{lower}$ : Garantisce che anche dopo le modifiche del modello pirata, l'impronta mantenga la previsione corretta.
- $\tau < \tau_{upper}$ : Garantisce che i modelli indipendenti non classifichino erroneamente l'impronta.
Stima dei parametri: Poiché l'insieme di tutti i possibili modelli pirata e indipendenti è infinito, AnaFP approssima questi insiemi utilizzando due pool di modelli surrogati (un pool pirata e un pool indipendente).
Rilassamento Quantile: Per evitare limiti troppo conservativi (che renderebbero impossibile la generazione di impronte), i parametri vengono stimati utilizzando distribuzioni quantili (es. il 50° percentile) invece dei valori estremi.
Ricerca a Griglia: Poiché il limite inferiore dipende dal fattore di stiro stesso (dipendenza circolare), viene utilizzata una strategia di grid search sull'intervallo ammissibile per trovare il valore di $\tau$ più fattibile che massimizzi il margine di sicurezza rispetto a entrambi i limiti.

D. Costruzione e Verifica

Le impronte finali sono generate scalando la perturbazione minima con il fattore di stiro ottimale ( $\tau^*$ ). Durante la verifica, il proprietario del modello interroga il modello sospetto con le impronte; se il tasso di corrispondenza supera una soglia, il modello è considerato pirata.

3. Contributi Chiave

Approccio Analitico: Prima soluzione teorica per determinare la distanza ottimale tra impronta e confine decisionale, risolvendo il compromesso robustezza-unicità tramite limiti matematici derivati.
Gestione della Dipendenza Circolare: Introduzione di una strategia di ricerca a griglia per risolvere la dipendenza circolare tra il limite inferiore di robustezza e il fattore di stiro.
Strategia di Rilassamento: Uso di stime basate sui quantili sui pool di modelli surrogati per bilanciare rigore teorico e fattibilità pratica, evitando limiti troppo restrittivi.
Generalità: Il metodo è stato validato su diverse architetture (CNN, MLP, GNN) e dataset, dimostrando efficacia anche su dati non euclidei (grafici).

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su modelli CNN (CIFAR-10/100), MLP (MNIST) e GNN (PROTEINS), confrontando AnaFP con sei metodi baselines (UAP, IPGuard, MarginFinger, AKH, GMFIP, ADV-TRA).

Prestazioni Generali: AnaFP ha ottenuto l'Area Under the Curve (AUC) più alta in tutti i casi testati (es. 0.957 su CIFAR-10, 0.926 su PROTEINS), superando significativamente i metodi esistenti.
Robustezza agli Attacchi: AnaFP ha mantenuto prestazioni elevate (AUC > 0.97) contro attacchi di fine-tuning, adversarial training, e combinazioni complesse (es. Prune-KD). Anche contro la Knowledge Distillation (notoriamente difficile), AnaFP ha mantenuto un AUC superiore a 0.75, battendo tutte le controparti.
Sensibilità ai Parametri: L'analisi di sensibilità ha mostrato che il metodo è robusto rispetto alla dimensione e alla diversità dei pool di modelli surrogati, e che i risultati si stabilizzano con una scelta ragionevole delle soglie dei quantili.
Efficienza: Sebbene AnaFP richieda più memoria GPU (fino a 40 GB per modelli grandi come ViT) rispetto ai metodi più leggeri, il tempo di esecuzione è gestibile e bilanciato grazie alla parallelizzazione.

5. Significato e Impatto

Il lavoro di AnaFP rappresenta un passo avanti fondamentale nella protezione della proprietà intellettuale dei modelli AI. Spostando la generazione delle impronte da un approccio euristico a uno analitico e teoricamente fondato, risolve l'incertezza sulla posizione ottimale delle impronte digitali.

Questo approccio:

Fornisce garanzie teoriche sulla capacità di distinguere i modelli pirata da quelli indipendenti.
È resiliente a una vasta gamma di tecniche di offuscamento del modello.
È applicabile a diverse modalità di dati (immagini, vettori, grafi), rendendolo uno strumento versatile per l'industria e la ricerca.
Promuove un ecosistema AI più sicuro e affidabile, scoraggiando il furto di modelli e incoraggiando un uso responsabile dell'IP.

In sintesi, AnaFP trasforma la sfida della "distanza dal confine" da un problema di tuning empirico in un problema di ottimizzazione matematica risolvibile, offrendo una soluzione superiore e più affidabile per la verifica della proprietà dei DNN.