🤖 machine learning

COPYCOP: Ownership Verification for Graph Neural Networks

本論文は、異なるアーキテクチャ、重み、または埋め込み次元を持つ2つのモデルが独立して訓練されたのか、それとも一方が悪意のある模倣品なのかを検出することでグラフニューラルネットワークの所有権を検証する理論的保証を備えた堅牢なアルゴリズム「CopyCop」を導入し、14のデータセットにおいて既存の透かしおよび指紋認証手法を上回る性能を示す。

原著者： Rahul Nandakumar, Deepayan Chakrabarti

公開日 2026-05-08

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Rahul Nandakumar, Deepayan Chakrabarti

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたが秘密のシグネチャーソースを開発した名シェフだと想像してください。このソースをレストランにサービスとして提供します。彼らは材料のリスト（グラフ）を送り、あなたは独自の風味プロファイル（埋め込み）を返します。それを使って彼らは自分たちの料理を作ることができます。

問題は？ずる賢い競合他社があなたのレシピを盗もうとするかもしれないことです。彼らは台所に忍び込む必要はありません。あなたのソースを千回注文し、味見をして、その後、全く同じ味がする自分たちのバージョンを作ろうとすればよいのです。捕まらないようにするため、ソースの色を変えたり、別のボウルで提供したり、わずかに希釈したりして、それがコピーだと気づかれないようにするかもしれません。

これがCOPYCOPが解決する問題です。これは、これらのコピーシェフ（あるいは技術の世界では「代理」AI モデル）が盗みを隠そうとしても、彼らを捕まえるように設計された新しい「法科学ツール」です。

仕組みを簡単な概念に分解して説明します。

1. 従来の方法は機能しなかった

以前、人々は二つの方法で泥棒を捕まえようとしましたが、どちらも欠点がありました。

「透かし」方式：シェフがソースに小さく目に見えないキラキラした輝き（グリッター）を密かに加えます。競合他社のソースにその輝きがあれば、捕まります。
- 欠点：泥棒はソースを注文し、味見をして、その輝きなしで風味を再現するだけです。秘密の輝きは完全に無視されます。
「指紋」方式：シェフは被害者のソースの質感と容疑者のソースの質感を比較します。
- 欠点：泥棒がソースを別の形のボウルに入れたり、温度を変えたりすると、味が同じでも質感は異なります。従来のツールは、本当の変化と偽装の区別ができませんでした。

2. COPYCOP の解決策：「静止点」を見つける

COPYCOP は全く異なるアプローチを取ります。ソースそのもの（出力）を見るのではなく、ソースを突いたときにどのように反応するかを見ます。

生地（AI モデル）の塊を持っていると想像してください。ある方向に優しく押すと、つぶれて形が変わるかもしれません。しかし、生地には特定の場所があり、そこを押しても何も起こりません。生地は動きません。これらを**「静止点」**と呼びます。

魔法の洞察：この論文は、これらの「静止点」がレシピの DNA のようなものであることを証明しています。泥棒がボウル、温度、ソースの色を変えても（変換しても）、これらの「静止点」の位置は全く同じのままです。
テスト：
1. COPYCOP は被害者シェフ（元のモデル）に、自分の生地の中の「静止点」を見つけるよう求めます。
2. 次に、容疑者シェフ（問題のモデル）に、自分の生地の中の「静止点」を見つけるよう求めます。
3. 判決：容疑者の「静止点」が被害者のものと完全に一致すれば、容疑者はコピー犯です。点が異なる場所にある場合、容疑者は偶然に似た味のソースを作った独立したシェフである可能性が高いです。

3. なぜ泥棒を捕まえるのにこれほど優れているのか

この論文は、COPYCOP が非常に堅牢であると主張しています。その理由は以下の通りです。

偽装を無視する：泥棒がソースを回転させたり、拡大縮小したり、ボウルの寸法を変えたりしても、「静止点」は動かないままです。
台所を見る必要がない：泥棒の秘密のレシピ（重み付けやアーキテクチャ）を見る必要はありません。鍋から出てくるものだけを見ればよいのです。
隠そうとしても機能する：泥棒はこれらの点を簡単に偽造できません。そうするためには、あらゆる可能な「押し」に対する被害者の反応を完璧に模倣しなければなりませんが、実際にレシピを盗まない限り、数学的に不可能です。

4. 結果

研究者たちは、この「法科学ツール」を 14 種類の異なるデータ（ソーシャルネットワーク、分子、財務記録など）と 5 種類の異なる AI モデルでテストしました。

精度：泥棒がモデルを回転させたり、拡大縮小したり、歪ませたりしようとしても、コピー犯をほぼ 100% の確率で正しく特定しました。
比較：泥棒が単に秘密の輝きを無視したときに失敗した従来の「透かし」方式を圧倒しました。また、回転などの単純な変化に混乱した従来の「指紋」方式も凌駕しました。

まとめ

COPYCOP を想像してください。これは容疑者の服（変えられるもの）や声（偽装できるもの）を見ない探偵です。代わりに、探偵は容疑者に床の特定の目に見えない場所に立ってもらうよう求めます。彼らがどんな格好をしていようと、元の所有者と同じ目に見えない場所に立っていれば、コピー犯であることに変わりありません。別の場所に立っていれば、無罪です。

この方法により、AI モデルの所有者は、泥棒が盗まれた作品を完全に偽装しようとしても、所有権を証明し、泥棒を捕まえることができます。

技術的サマリー：COPYCOP – グラフニューラルネットワークの所有権検証

1. 問題定義

本論文は、「埋め込み即サービス（Embeddings-as-a-Service）」として展開されるグラフニューラルネットワーク（GNN）における「所有権検証」という重要な課題に取り組んでいる。この設定において、被害モデル $M$ は下流タスクのためのノード埋め込みを提供する。敵対者は、多数のグラフに対して $M$ をクエリし、入力 - 出力ペアを収集して、これらの埋め込みを模倣する代理モデル $Z$ を訓練することにより、「モデル抽出攻撃」を実行できる。

核心的な課題は、候補となる GNN $Z$ が独立して訓練されたものか、それとも $M$ から派生した代理モデルかを区別することである。これは、敵対者が代理モデルの出力埋め込みに対して様々な「変換」（回転、スケーリング、置換、または埋め込み次元の変更など）を適用し、異なるアーキテクチャや重みを使用できるという事実によって複雑化している。既存の手法はこれらの条件下では失敗する：

ウォーターマーキング： 被害モデルに特殊な信号（例えばバックドア）を埋め込む手法は、通常のクエリデータに基づいて訓練される敵対者がこれらの特定のウォーターマークされた振る舞いを再現する必要がないため、脆弱である。
フィンガープリンティング： 既存の埋め込みベースのフィンガープリントは、しばしば直接的な類似性比較に依存しており、下流の有用性を保ちながら埋め込み空間を変化させる線形または非線形の変換によって容易に破られる。

2. 手法：COPYCOP

COPYCOP は、被害モデルを変更しない「フィンガープリンティング手法」を提案する。代わりに、埋め込み関数の「停留点」に依存し、これらを内在的かつ変換不変のフィンガープリントとして利用する。

核心概念：
ノードの埋め込み $h_i(X)$ は、グラフ構造とノード特徴の関数である。「停留点」は、ノード特徴 $x_i$ を方向 $w$ に摂動しても埋め込みの一次変化が生じない（すなわち、方向微分 $\nabla_w h_i(X) = 0$ となる）ようなタプル $(G, X, i, w)$ として定義される。

理論的基盤：

不変性： 代理モデル $Z$ が $h'_i = \phi(h_i)$ という埋め込みを出力する場合（ここで $\phi$ は局所的に可逆な変換であり、仮定 3.4 を満たす）、 $h_i$ の停留点は $h'_i$ の停留点ともなる。これは、 $h_i$ の勾配がゼロであれば、 $\phi(h_i)$ の勾配もゼロでなければならないからである（補題 3.6）。
一意性： 著者は、独立して訓練されたモデルが異なる局所最適解に収束すると仮定しており、つまりそれらの停留点の集合 $S(M)$ と $S(I)$ は実質的に互いに排他的であると仮定する（仮定 3.7）。

アルゴリズム（一般の場合）：
正確な停留点が存在しない、または一般の場合（再構成誤差や微分不可能性のため）に計算不可能である可能性があるため、COPYCOP は近似指標 $\beta_F$ を使用する：

サンプリング： アルゴリズムは、被害モデルの停留点 $S(M)$ からタプルをサンプリングし、クエリ空間上のランダム分布からもサンプリングする。
指標の計算： 候補モデル $Z$ について、特徴が摂動された際の埋め込み変化の正規化された大きさを表す $q_Z(t)$ を計算する。次に、停留点近傍での期待される $q_Z$ とランダムな点でのそれとの比率である $\beta_Z$ を計算する。
判定：
- $Z$ が被害モデルまたはその代理モデルである場合、 $M$ の停留点が $Z$ に対しても「停留」したままとなるため、 $\beta_Z$ は小さい（0 に近い）。
- $Z$ が独立したモデルである場合、 $Z$ は $M$ の停留点を共有しないため、 $\beta_Z$ は著しく大きくなる。
- アルゴリズムは、 $\hat{\beta}_Z \leq \theta$ の場合に $Z$ を代理モデルとして分類する（アルゴリズム 2）。

実装の詳細：

停留点のサンプリング： この手法は、モデルへの勾配アクセスを必要としない最適化ソルバーを用いて、正規化された方向微分を最小化し、かつ現実的なデータ分布の近くに留まるように正則化された特徴ベクトル $X$ を探索する。
頑健性： この手法はアーキテクチャに依存せず、埋め込み次元の変化にも対応する。新しいクエリグラフを動的に生成することで、漏洩が将来の検証を侵害するのを防ぐ。

3. 主要な貢献

新規フィンガープリンティング機構： COPYCOP は、広範な敵対的変換（回転、スケーリング、次元変化）に対して頑健であり、異なる GNN アーキテクチャ間でも機能する、GNN 埋め込みのための初のフィンガープリンティング手法である。
理論的保証： 本論文は、変換関数と停留点分布に関する妥当な仮定の下で、高い確率で代理モデルを独立モデルから区別できることを示す形式的な証明（定理 3.8 および 3.15）を提供する。
ウォーターマーキング不要： 先行研究とは異なり、COPYCOP は被害モデルの訓練プロセスを変更する必要がなく、パフォーマンスの低下を回避し、特殊な入力を無視する抽出攻撃に対する脆弱性を排除する。
ランダム化フィンガープリント： フィンガープリントはランダム化されており、再生成可能であるため、漏洩したクエリが検証システムを永続的に侵害することはない。

4. 実験結果

著者は、COPYCOP を 14 のデータセット（分子、引用、ソーシャルネットワークなどを含む）および 5 つの GNN アーキテクチャ（GCN、GIN、GraphSage、ARMA、MixHop）で評価した。

モデル抽出の精度： COPYCOP は、モデル抽出を通じて訓練された代理モデルを検出する際、完璧またはほぼ完璧な曲線下面積（AUC）スコアを達成した（例：GCN で AUC=1.00、MixHop で 0.99）。これは、ウォーターマーキング手法である PreGIP（アーキテクチャ全体で 17〜48% 上回った）およびフィンガープリンティング手法である GrOVe を大幅に上回った。PreGIP の性能は、代理モデルが通常のデータのみで訓練された場合、偶にランダムな推測以下に低下することがあった。
変換への頑健性： COPYCOP は、回転、スケーリング、および高次元への射影に対して頑健であり（誤り率 0%）、極端な非線形変換（例えば指数関数）下では性能がわずかに低下したものの、PreGIP や GrOVe よりもはるかに優れていた。特に、GrOVe は埋め込み次元が変更された場合、完全に失敗した。
敵対的攻撃：
- プルーニング： COPYCOP は、40% の重みプルーニングまで頑健であった（GIN については 70% まで安定）。
- 微調整： 代理モデルが少量のラベル付きデータセットで微調整された後でも、検出精度は安定したままだった。
効率性： この手法は、ほぼ最大限の AUC に達するために 20〜40 の停留点のみを必要とする。

5. 意義と主張

本論文は、COPYCOP が GNN 即サービスのセキュリティにおける根本的なギャップを解決すると主張している。停留点の数学的不変性を活用することで、敵対者がモデル窃盗を隠蔽するために使用する「表面的な」変化を耐え抜く、信頼性の高い所有権検証メカニズムを提供する。

著者は、彼らのアプローチが仮定において「控えめ」（例えば、変換の局所的な可逆性のみを要求）である一方、経験的パフォーマンスにおいて「強力」であると強調している。彼らは、変換分布に関する仮定のさらなる検証の必要性や、非常に大規模なグラフや高次元の埋め込みに対する停留点探索の計算コストといった限界を認めている。しかし、既存のウォーターマーキングおよびフィンガープリンティング手法が失敗する場面で、COPYCOP が実用的かつ頑健で、理論的に裏付けられた解決策を提供すると主張している。