💻 computer science

IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

Il paper propone IrisFP, un nuovo framework di fingerprinting basato su esempi avversariali che migliora l'unicità e la robustezza della verifica della proprietà intellettuale dei modelli sfruttando le caratteristiche multi-confine, il comportamento multi-campione e una valutazione statistica del potere discriminatorio per generare impronte digitali composite.

Autori originali: Ziye Geng, Guang Yang, Yihang Chen, Changqing Luo

Pubblicato 2026-03-27

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Ziye Geng, Guang Yang, Yihang Chen, Changqing Luo

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🕵️‍♂️ Il Problema: Come riconoscere un falso?

Immagina di essere un artista che ha dipinto un capolavoro digitale (un modello di Intelligenza Artificiale). Vuoi proteggerlo, ma c'è un ladro che lo ruba, lo modifica un po' (magari lo "sgraffia" o ne cambia i colori) e lo vende come suo. Come fai a dimostrare che è il tuo?

Nel mondo dell'IA, gli scienziati usano le "impronte digitali". Invece di lasciare un segno visibile, creano dei trabocchetti invisibili: immagini speciali che, se mostrate al tuo modello, fanno fare una cosa molto specifica. Se il ladro ha il tuo modello, farà la stessa cosa. Se ha un modello diverso, farà una cosa sbagliata.

Il problema dei vecchi metodi:
Fino ad ora, queste "impronte" erano come dei segnali posizionati su un singolo confine di una città.

Se il ladro spostava i confini della città (modificando il modello), il segnale spariva e il ladro scappava.
Se il segnale era messo troppo in profondità nella città (lontano dai confini), era sicuro dai cambiamenti, ma diventava così generico che anche i modelli dei ladri lo riconoscevano (quindi non era unico).

Bisognava trovare un modo per avere un segnale che fosse sia unico (solo il tuo modello lo vede) sia robusto (resiste anche se il ladro modifica il modello).

💡 La Soluzione: IrisFP (L'Impronta Iris)

Gli autori hanno inventato IrisFP. Immagina che invece di mettere un segnale su un solo confine, lo metti esattamente nel punto esatto dove si incontrano tutti i confini della città.

Ecco come funziona, passo dopo passo, con delle analogie:

1. Il Punto di Incontro (La "Soglia" Perfetta)

Immagina una stanza piena di porte. Ogni porta porta a una stanza diversa (una classe di oggetti, come "gatto", "cane", "auto").

I vecchi metodi mettevano l'impronta digitale vicino a una sola porta. Se il ladro spostava quella porta, l'impronta non funzionava più.
IrisFP mette l'impronta esattamente al centro del corridoio, dove tutte le porte si incontrano.
- Perché è meglio? Se il ladro sposta una porta, l'impronta è ancora vicina alle altre. È come stare al centro di un incrocio: se chiudono una strada, sei ancora vicino alle altre tre. Questo rende l'impronta robusta (resiste ai cambiamenti).
- Inoltre, proprio perché sei al centro, solo il tuo modello sa esattamente come muoversi in quel punto caotico. Gli altri modelli, che hanno mappe diverse, si perdono. Questo la rende unica.

2. Il Gruppo di Spie (L'Impronta Composita)

Invece di inviare una sola "spia" (un'immagine) per verificare il ladro, IrisFP invia un squadra di 5 spie (un "composito").

Immagina di non mandare un solo agente segreto, ma una piccola squadra. Ognuno di loro ha un piccolo dettaglio diverso, ma tutti sono addestrati per reagire allo stesso modo solo se vedono il tuo modello.
Se il ladro ha il tuo modello, tutta la squadra reagirà in modo coordinato.
Se il ladro ha un modello falso, la squadra si confonderà e reagirà in modo disordinato.
Questo aumenta la sicurezza: non basta ingannare una spia, bisogna ingannare l'intera squadra.

3. Il Controllo di Qualità (Il Filtro Intelligente)

Non tutte le spie sono brave. Alcune potrebbero essere troppo facili da ingannare o troppo confuse.

IrisFP crea centinaia di queste squadre, poi le mette alla prova contro "modelle ladri" e "modelli innocenti".
Tiene solo le squadre che sono perfette: quelle che distinguono chiaramente il vero dal falso.
Assegna a ogni squadra un livello di sicurezza personalizzato. Alcune squadre sono così brave che basta un piccolo indizio per dire "è un ladro", altre richiedono prove più forti. È come avere diversi tipi di serrature: alcune si aprono con una chiave semplice, altre richiedono una combinazione complessa, ma tutte sono sicure per il loro scopo.

🏆 I Risultati: Perché è un gioco da ragazzi?

Gli scienziati hanno provato IrisFP su molti modelli diversi (dai piccoli ai giganteschi) e contro ladri molto astuti (che cancellavano parti del modello, lo addestravano di nuovo, o gli insegnavano trucchi).

I vecchi metodi: O erano facili da ingannare (poca robustezza) o venivano confusi con altri modelli (poca unicità).
IrisFP: Ha vinto su tutti i fronti. È riuscito a dire "Questo è il mio modello!" con una precisione altissima, anche quando il ladro aveva cercato di cancellare le tracce.

In sintesi

IrisFP è come un sistema di sicurezza che non si basa su un singolo lucchetto fragile, ma su una rete di spie posizionate al centro di un incrocio complesso.

Si posizionano al punto più difficile da modificare (l'incrocio di tutti i confini).
Lavorano in squadra per non farsi ingannare.
Vengono selezionate solo quelle più intelligenti e affidabili.

Il risultato? Un modo infallibile per dire: "Questo modello è mio, anche se qualcuno ha provato a travestirlo".

1. Il Problema

La protezione della proprietà intellettuale (IP) delle Reti Neurali Profonde (DNN) è una sfida critica. Una tecnica promettente è il fingerprinting basato su esempi avversariali, che genera coppie input-output (impronte digitali) con comportamenti specifici del modello per verificare la proprietà.

Tuttavia, le metodi esistenti affrontano un compromesso fondamentale (trade-off) tra due metriche cruciali:

Unicità (Uniqueness): La capacità di distinguere il modello protetto da modelli indipendentemente addestrati (basso tasso di falsi positivi).
Robustezza (Robustness): La capacità di mantenere la validità dell'impronta anche dopo modifiche al modello (es. fine-tuning, pruning, distillation).

I metodi attuali tendono a posizionare le impronte vicino a un singolo confine decisionale (per l'unicità) o profondamente all'interno della classe target (per la robustezza). Questo approccio binario porta spesso a soluzioni che eccellono in una metrica ma falliscono nell'altra. Ad esempio, posizionare le impronte vicino ai confini le rende sensibili alle modifiche del modello (bassa robustezza), mentre posizionarle lontano dai confini le rende meno specifiche (bassa unicità).

2. Metodologia: IrisFP

Il paper propone IrisFP, un nuovo framework che risolve questo compromesso sfruttando tre innovazioni chiave: caratteristiche multi-confine, comportamenti multi-campione e valutazione della potenza discriminatoria.

Il processo si articola in tre fasi principali per la generazione delle impronte e due fasi per la verifica:

A. Generazione delle Impronte (Fingerprint Generation)

Inizializzazione dei Semi (Phase I):
- Invece di spingere un campione verso un singolo confine decisionale, IrisFP posiziona i "semi" dell'impronta vicino all'intersezione di tutti i confini decisionali del modello protetto.
- Tecnicamente, si ottimizza una distribuzione di probabilità distorta dove la classe target ha una probabilità leggermente superiore ( $1/C + \tau$ ) e le altre classi hanno probabilità quasi uniformi.
- Vantaggio: Questo posizionamento aumenta il prediction margin (il divario di confidenza tra la prima e la seconda classe prevista) senza immergere il campione troppo profondamente nella regione della classe target. Ciò garantisce che il modello protetto risponda in modo specifico, ma che il campione rimanga vicino ai confini, rendendolo resistente alle modifiche che spostano i confini stessi.
Generazione di Impronte Composte (Phase II):
- Per aumentare l'unicità, ogni seme viene esteso in un'impronta composta da più campioni (composite-sample fingerprint).
- Vengono applicate perturbazioni sottili e diversificate al seme per generare $T$ varianti.
- Ogni variante è progettata per elicita risposte diverse dal modello protetto, mentre i modelli indipendenti tendono a produrre previsioni coerenti con l'input originale. Questo crea un "divario comportamentale" collettivo che aumenta la capacità discriminatoria.
Raffinamento delle Impronte (Phase III):
- Non tutte le impronte generate sono ugualmente efficaci. IrisFP utilizza un set di modelli di riferimento (pirati e indipendenti) per valutare la potenza discriminatoria di ogni impronta composta.
- Si calcola l'effetto Cohen's d per misurare la separazione statistica tra le risposte dei modelli pirati e quelli indipendenti.
- Vengono selezionate le top- $K$ impronte con il valore $d$ più alto.
- A ciascuna impronta selezionata viene assegnata una soglia specifica ( $\theta_i$ ) calcolata statisticamente, invece di usare una soglia globale fissa, adattandosi alla variabilità di ciascuna impronta.

B. Verifica della Proprietà (Ownership Verification)

Il processo di verifica su un modello sospetto ( $f_t$ ) avviene in due passaggi:

Matching: Si calcola il tasso di corrispondenza per ogni impronta composta confrontando le uscite del modello sospetto con le attese. Si confronta questo tasso con la soglia specifica $\theta_i$ dell'impronta.
Aggregazione delle Decisioni: Le decisioni binarie (corrispondenza/senza corrispondenza) di tutte le $K$ impronte vengono aggregate. Se la proporzione di corrispondenze supera una soglia globale $\alpha$ , il modello è considerato piratato.

3. Contributi Chiave

Posizionamento Strategico Multi-Confine: Spostare le impronte all'intersezione dei confini decisionali aumenta la robustezza (maggior margine di previsione) senza sacrificare l'unicità, superando il limite dei metodi precedenti che mirano a un singolo confine.
Impronte Composte (Composite-Sample Fingerprints): L'uso di gruppi di campioni (seme + varianti) sfrutta i pattern comportamentali collettivi, rendendo molto più difficile per un modello non protetto replicare il comportamento specifico del modello target.
Valutazione Statistica e Soglie Adattive: L'introduzione di metriche di separabilità statistica (Cohen's d) e soglie specifiche per ogni impronta permette di filtrare le impronte deboli e adattare i criteri di verifica, massimizzando l'affidabilità.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su cinque dataset (CIFAR-10, CIFAR-100, Fashion-MNIST, MNIST, Tiny-ImageNet) e tre architetture di modelli (ResNet-18, MobileNet-V2, ViT-B/16).

Prestazioni Generali (AUC): IrisFP ha costantemente superato gli stati dell'arte (IPGuard, UAP, ADV-TRA, AKH). Ad esempio, su CIFAR-100 con ResNet-18, IrisFP ha raggiunto un AUC di 0.916, superando il miglior baseline di circa il 13.7%.
Robustezza agli Attacchi: IrisFP ha dimostrato una robustezza superiore contro sei tipi di attacchi di modifica del modello (Fine-tuning, Pruning, Knowledge Distillation, Adversarial Training, Prune-then-tune, Noise Injection). Ha mantenuto AUC elevati (spesso >0.95) anche dopo attacchi aggressivi, dove altri metodi fallivano drasticamente.
Unicità e Robustezza Simultanea: A differenza dei baselines che mostravano un compromesso (alta robustezza ma bassa unicità, o viceversa), IrisFP ha ottenuto contemporaneamente alti TNR (True Negative Rate) e alti TPR (True Positive Rate), risolvendo il problema fondamentale identificato nella letteratura precedente.
Ablation Study: Le analisi hanno confermato che ogni componente (semi multi-confine, impronte composte, selezione e soglie adattive) contribuisce in modo complementare alle prestazioni finali.

5. Significato e Impatto

IrisFP rappresenta un passo avanti significativo nella protezione della proprietà intellettuale delle DNN. Dimostra che è possibile progettare impronte digitali che non sono solo robuste alle modifiche del modello, ma anche altamente uniche nel distinguere il modello originale da quelli indipendenti.

La capacità di funzionare efficacemente su modelli complessi come i Transformer (ViT) e di resistere a una vasta gamma di tecniche di rimozione delle impronte rende IrisFP una soluzione pratica e affidabile per scenari reali di verifica della proprietà intellettuale, offrendo un nuovo paradigma che sfrutta la geometria dei confini decisionali multipli piuttosto che singoli.