技術要約: FIT-Print

問題提起

本論文は、オープンソースのディープラーニングモデルの知的財産権（IPR）を保護するために用いられる既存のモデル・フィンガープリント技術における重大な脆弱性に対処している。モデル・フィンガープリントは、モデルのパラメータを変更することなく所有権を検証する非侵襲的な手法を提供するが、著者らは、既存の手法が根本的に**虚偽主張攻撃（false claim attacks）**に対して脆弱であることを示している。

これらの攻撃において、悪意のある開発者は、独立した第三者のモデルに対して不正に所有権を主張することができる。著者らは、この脆弱性が既存のフィンガープリント手法の非標的的（untargeted）な性質に起因することを特定している。既存のアプローチ（ビット単位およびリスト単位の両方）は、通常、任意のテストサンプルの出力に基づいてモデルの類似性を評価する。この非標的的なアプローチは、広大な「フィンガープリント空間」を生み出し、攻撃者が「転移可能」なサンプル（具体的には、高い信頼度で正しい分類結果をもたらす「容易な」サンプル）を作成することを可能にする。その結果、多様で独立したモデル間で同様の出力が得られ、独立したモデルがソースモデルの再利用版であると誤判定され、誤報や不正な所有権主張を招くことになる。

手法: FIT-Print

この脆弱性を軽減するために、著者らは、所有権の検証を受動的な特徴抽出から能動的なシグネチャ整合（active signature alignment）へと移行させる新しいパラダイムであるFIT-Print（False-claIm-resistant Targeted model fingerPrinting：虚偽主張耐性を持つ標的型モデル・フィンガープリント）を提案する。

コア・インサイト

任意の出力を比較する代わりに、FIT-Printは、特定の、事前定義されたターゲット・フィンガープリント（例：特定のバイナリベクトルや画像パターン）に一致するようにテストサンプルを最適化することで、フィンガープリント空間を制限する。この標的型のアプローチにより、攻撃者が独立したモデルに対して検証基準を満たす転移可能なサンプルを見つけ出す確率を大幅に減少させることができる。

フレームワークのパイプライン

FIT-Printフレームワークは、以下の2つのステージで動作する。

1. テストサンプルの抽出: モデル開発者は、初期のテスト画像に対する摂動を最適化し、ソースモデル $M_o$ 上の写像関数 $f(\cdot)$ の出力が、事前定義されたターゲット・フィンガープリント $F$ に密接に一致するようにする。これは、生成されたフィンガープリントベクトルとターゲットとの距離を最小化しつつ、摂動の大きさを正則化する最適化問題として定式化される。伝搬性（conferrability）（フィンガープリントが再利用されたモデルに転移する能力）を高めるため、サンプル生成プロセスにおいて「拡張モデル」（ファインチューニングやプルーニングなどによって作成されたもの）を利用する。
2. 所有権の検証: 疑わしいモデル $M_s$ を検証する際、システムは最適化されたテストサンプルを用いてフィンガリントを抽出し、登録されたターゲット・フィンガープリント $F$ と比較する。抽出されたフィンガープリントと $F$ の間のビット誤り率（BER）が計算された閾値 $\tau$ を下回る場合に、検証は成功となる。

提案手法

FIT-Printパラダイムに基づき、著者らは2つのブラックボックス手法を開発した。

• FIT-ModelDiff (Bit-wise): この手法は、フィンガープリントをビット単位で抽出する。これは、摂動を加えたサンプルとその無摂動（benign）な対応物との間のロジットのコサイン類似度を測定する**決定距離ベクトル（Decision Distance Vector: DDV）**を利用する。バイアスパラメータに対する距離の符号が、フィンガープリントのビットを決定する。
• FIT-LIME (List-wise): この手法は、フィンガープリントを完全なリストとして抽出する。これは、特徴量寄与度スコアを生成するためにLIME（Local Interpretable Model-agnostic Explanations）を活用する。この手法は、マスクされたサンプルに対するモデル出力のエントロピーを計算し、重要度スコアベクトルを導出することで、フィンガープリントとする。

主な貢献

1. 脆弱性の分析: 本論文は、既存のモデル・フィンガープリント手法がその非標的的な性質ゆえに虚偽主張攻撃に対して脆弱であることを正式に明らかにし、攻撃者が独立したモデルに対して所有権を偽って主張するための転移可能なサンプルを構築できることを実証した。
2. 新しいパラダイム: 特定のリファレンス・シグネチャを使用してフィンガープリント空間を制限し、虚偽主張に対抗する、標的型フィンガープリントの新しいパラダイムであるFIT-Printを導入した。
3. アルゴリズム設計: ビット単位およびリスト単位のアプローチをそれぞれ代表する、2つの具体的なブラックボックス手法、FIT-ModelDiffとFIT-LIMEを設計した。
4. 包括的な評価: 著者らは、ベンチマークデータセット（Flowers102, SDogs120）およびモデル（MobileNetV2, ResNet18, ViTなど）を用いて、有効性、伝搬性、および攻撃耐性を検証するための広範な実験を行った。

実験結果

評価の結果、FIT-Printは既存の最先端手法（IPGuard, MetaV, ModelDiff, Zest, SAC, ModelGiFを含む）と比較して優れた性能を示すことが実証された。

• 防御の成功: FIT-Printは、虚偽主張攻撃に対して100%の防御成功率を達成し、悪意のある開発者による不正な所有権主張の試みを効果的に無効化する。
• 誤報の排除: 独立したモデルに対する**誤検知率（false positive rate）は0.0%**であり、独立したモデルが再利用されたと誤認されることはない。
• 所有権の検証: FIT-Printは、コピー、ファインチューニング、プルーニング、モデル抽出、および転移学習を含む、多様なモデル再利用技術に対して100%の所有権検証率を維持する。
• 堅牢性: 本フレームワークは、攻撃者がターゲット・フィンガープリントの部分的な知識を持っている場合でも、「上書き（overwriting）」（攻撃者がフィンガープリントを上書きしようとする試み）や「アンラーニング（unlearning）」（攻撃者がフィンガープリントを削除しようとする試み）を含む適応的攻撃に対して効果的であることが示されている。
• 汎用性: 手法は、異なるモデルアーキテクチャ（CNN、Transformer）およびデータ形式（画像、GPT-2やBERTのようなテキスト生成モデル）にわたって効果的であることが示されている。

意義と主張

本論文は、非標的的な検証という根本的な欠陥に対処することにより、FIT-Printがモデル・フィンガープリントに対する新しい視点を提供すると主張している。フィンガープリントを検証可能な標的型シグネチャへと変えることで、本フレームワークは、オープンソースのエコシステムにおけるモデルの知的財産権を保護するための堅牢なメカニズムを提供する。

著者らは、本手法がモデルのパラメータや構造を変更する必要がない（ブラックボックス設定である）ことから、実世界の展開において実用的であることを強調している。また、第三者によるフィンガープリント登録に関する成熟した法的規定の欠如や、ディープニューラルネットワークの堅牢性に関する形式的な証明の困難さといった潜在的な限界も認めている。しかし、このような検証システムの普及には、信頼できる登録機関（知的財産局やAI規制当局など）の設立が予見される必要事項であると断じている。最終的に、FIT-Printは、虚偽の所有権主張のリスクを排除することで、より安全で信頼できるモデルの共有と取引を促進することを目指している。