🤖 AI

FIT-Print: Towards False-claim-resistant Model Ownership Verification via Targeted Fingerprint

이 논문은 다양한 재사용 기법에 대해 100%의 소유권 검증 정확도를 유지하면서도, 허위 주장 공격을 효과적으로 무력화하고 독립적인 모델에 대한 오경보를 제거하는 표적 모델 핑거프린팅 프레임워크인 FIT-Print을 소개한다.

원저자: Shuo Shao, Haozhe Zhu, Yiming Li, Hongwei Yao, Tianwei Zhang, Zhan Qin

게시일 2026-06-09

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Shuo Shao, Haozhe Zhu, Yiming Li, Hongwei Yao, Tianwei Zhang, Zhan Qin

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

개요: 디지털 "지문"의 문제점

당신이 수년간 공들여 개발한 비밀스럽고 맛있는 레시피(딥러닝 모델)를 가진 요리사라고 상상해 보세요. 당신은 다른 사람들이 배울 수 있도록 이 레시피를 세상에 공유하기로 결정했습니다. 하지만 누군가 당신의 레시피를 훔쳐서 살짝 수정한 뒤, 마치 자신의 것인 양 팔아치울까 봐 걱정이 됩니다.

이를 막기 위해, 당신은 "이 요리는 정확히 나의 비밀 레시피와 똑같은 맛이 난다!"라는 것을 증명할 방법이 필요합니다.

AI의 세계에서 이 증거를 **모델 지문(Model Fingerprinting)**이라고 부릅니다. 이는 나중에 당신의 레시피를 식별할 수 있도록 레시피에 고유한 표식을 남기는 것과 같습니다.

기존 방식의 결함:
이 논문은 기존의 지문 방식이 눈을 가리고 하는 맛 테스트와 같다고 주장합니다.

현재 작동 방식: 검증가(verifier)에게 당신의 레시피에서 무작위로 한 숟가락의 수프를 주고, 용의자의 레시피에서 무작위로 한 숟가락을 줍니다. 만약 두 맛이 비슷하다면, 검증가는 용의자가 당신의 레시피를 훔쳤다고 가정합니다.
허점: 영리한 도둑은 전체 냄비의 맛은 완전히 다르더라도, 우연히 당신의 무작위 수프 맛과 똑같이 느껴지는 "가짜" 수프 한 숟가락을 만들어낼 수 있습니다. 이들은 도둑질을 하지 않았음에도 불구하고, 검증가가 자신을 범인으로 오해하도록 속일 수 있습니다. 이를 **"허위 주장 공격(False Claim Attack)"**이라고 합니다 합니다.

해결책: FIT-Print (대상 지정형 지문)

저자들은 새로운 시스템인 FIT-Print를 소개합니다. FIT-Print는 단순히 눈을 가리고 하는 맛 테스트 대신, **대상 지정형 시그니처(Targeted Signature)**를 사용합니다.

비유: 비밀스러운 악수
단순히 "이 수프가 내 것과 맛이 비슷한가?"라고 묻는 대신, "이 수프가 내가 발명한 바로 이 특정한, 복잡한 풍미 패턴과 정확히 일치하는가?"라고 묻는 것과 같습니다.

대상(The Target): 당신은 특정 "대상 지문"(비밀스러운 악수나 특정 로고와 같은 것)을 만듭니다.
최적화(The Optimization): 당신은 단순히 무작위로 수프 샘플을 뽑지 않습니다. 당신의 냄비에서 요리했을 때 정확히 그 특정 풍미 패턴을 만들어내도록 수학적으로 재료(테스트 샘플)를 미세하게 조정합니다.
테스트(The Test): 용의자의 냄비를 확인할 때, 당신은 이렇게 묻습니다. "당신의 수프가 그 정확히 똑같은 특정 풍미 패턴을 만들어내는가?"

이것이 도둑을 막는 이유:

기존 방식: 무작위 샘플이 우연히 내 것과 비슷한 맛을 내도록 만들기는 쉽습니다.
새로운 방식 (FIT-Print): 도둑이 완전히 다른 레시피를 요리하면서도, 당신의 특정하고 복잡하게 정의된 풍미 패턴을 우연히 똑같이 만들어내는 것은 매우 어렵습니다. 도둑이 속임수를 쓸 수 있는 "공간"이 거의 제로에 가깝게 줄어듭니다.

구현 방법 (두 가지 방법)

이 논문은 이 "대상 지정형 시그니처"를 만드는 두 가지 구체적인 방법을 제안합니다.

FIT-ModelDiff ("비트 단위" 탐정):
- 이 방식은 모델의 출력을 아주 작은 조각 하나하나(마치 단어의 개별 철자를 확인하듯) 살펴봅니다.
- 일반적인 이미지와 약간 수정된 이미지에 모델이 어떻게 반응하는지 사이의 거리를 측정합니다.
- 이러한 반응들이 당신의 시그니처 역할을 하는 특정 이진 코드(1과 -1로 이루어진 문자열)와 일치하도록 강제합니다.
FIT-LIME ("특징 맵" 탐정):
- 이 방식은 전체 그림을 한꺼번에 봅니다.
- LIME(이미지의 어떤 부분이 결정에 가장 중요한지를 강조하는 기술)을 사용합니다.
- 중요도를 나타내는 "히트 맵(heat map)"을 생성하고, 이 맵이 당신의 대상 시그니처와 정확히 일치하도록 강제합니다.

결과: 효과가 있었는가?

저자들은 다음을 포함한 다양한 시나리오에 대해 시스템을 테스트했습니다:

복제(Copying): 단순히 코드를 복사하는 경우.
미세 조정(Fine-tuning): 누군가 당신의 모델을 가져가서 조금 더 학습시키는 경우.
가지치기(Pruning): 누군가 모델을 작게 만들기 위해 일부를 잘라내는 경우.
추출(Extraction): 누군가 질문을 던져 모델을 재구축하려고 시도하는 경우.

성적표:

허위 주장에 대한 방어: 도둑이 자신이 소유하지 않은 모델의 소유권을 주장하려 했을 때, FIT-Print는 100%의 확률로 잡아냈습니다. 허위 경보율은 **0%**였습니다.
실제 소유자 보호: 실제 소유자가 훔치거나 재사용된 자신의 모델을 확인할 때, FIT-Print는 100%의 확률로 이를 확인해주었습니다.
공격에 대한 저항력: 도둑들이 지문을 깨뜨리기 위해 모델을 특별히 학습시키는 등 "영리하게" 행동하더라도, FIT-Print는 여전히 견고함을 유지했습니다.

"레이블 전용(Label-Only)" 시나리오

이 논문은 검증가가 최종 답변(예: "이것은 개이다")만 볼 수 있고 내부의 확신 점수(confidence scores)는 볼 수 없는 더 어려운 상황에서도 테스트를 진행했습니다. 이 제한된 관점에서도 FIT-Print는 완벽하게 작동하여, 실제 소유자와 허위 주장자를 구분해 냈습니다.

요약

이 논문은 기존의 AI 지문 방식이 너무 느슨하여 영리한 도둑에게 속을 수 있다고 주장합니다. FIT-Print는 일반적인 유사성을 찾는 대신, AI가 매우 구체적이고 미리 정의된 "시그니처"를 생성하도록 강제함으로써 이 문제를 해결합니다. 이는 도둑이 자신이 만들지 않은 모델의 소유권을 위조하는 것을 수학적으로 거의 불가능하게 만드는 동시에, 실제 소유자가 자신의 권리를 쉽게 증명할 수 있도록 해줍니다.

저자들은 이 방식이 다양한 유형의 모델(텍스트 생성기 등)과 크기에서도 작동함을 보여줌으로써, AI 저작권의 미래를 위한 유연한 솔루션임을 입증했습니다.

기술 요약: FIT-Print

문제 정의

본 논문은 오픈 소스 딥러닝 모델의 지식재산권(IPR)을 보호하기 위해 사용되는 기존 모델 핑거프린팅 기술의 치명적인 취약점을 다룹니다. 모델 핑거프린팅은 모델 파라미터를 수정하지 않고도 소유권을 검증할 수 있는 비침습적 방법을 제공하지만, 저자들은 기존 방식들이 근본적으로 **허위 주장 공격(false claim attacks)**에 취약하다는 점을 입증했습니다.

이러한 공격에서 악의적인 개발자는 독립적인 제3자 모델에 대해 허위로 소유권을 주장할 수 있습니다. 저자들은 이러한 취약성이 기존 핑거프린팅 방식의 **비표적성(untargeted nature)**에서 기인한다는 것을 확인했습니다. 기존 방식(비트 단위 및 리스트 단위 모두)은 일반적으로 임의의 테스트 샘플 출력에 기반하여 모델 유사성을 평가합니다. 이러한 비표적 방식은 매우 넓은 "핑거프린트 공간"을 생성하며, 이로 인해 공격자는 다양한 독립 모델 간에도 유사한 출력을 생성할 수 있는 "전이 가능한(transferable)" 샘플(구체적으로, 높은 신뢰도의 정답 분류를 유도하는 '쉬운' 샘플)을 설계할 수 있게 됩니다. 결과적으로, 독립적인 모델이 원본 모델의 재사용 버전으로 오인되어 허위 경보와 허위 소유권 주장이 발생할 수 있습니다.

방법론: FIT-Print

이러한 취약성을 완화하기 위해, 저자들은 수동적인 특징 추출에서 **능동적인 시그니처 정렬(active signature alignment)**로 패러다임을 전환하는 새로운 방식인 FIT-Print(False-claIm-resistant Targeted model fingerPrinting)를 제안합니다.

핵심 통찰

임의의 출력을 비교하는 대신, FIT-Print는 테스트 샘플을 최적화하여 출력이 특정한 사전 정의된 타겟 핑거프린트(예: 특정 이진 벡터 또는 이미지 패턴)와 일치하도록 제한합니다. 이러한 표적 접근 방식은 공격자가 독립 모델에 대해 검증 기준을 충족하는 전이 가능한 샘플을 찾아낼 확률을 크게 낮춥니다.

프레임워크 파이프라인

FIT-Print 프레임워크는 두 단계로 작동합니다:

테스트 샘플 추출: 모델 개발자는 초기 테스트 이미지에 대한 섭동(perturbation)을 최적화하여, 매핑 함수 $f(\cdot)$ 의 출력값이 사전 정의된 타겟 핑거프린트 $F$ 와 밀접하게 일치하도록 합니다. 이는 생성된 핑거프린트 벡터와 타겟 사이의 거리를 최소화하면서 섭동의 크기를 정규화하는 최적화 문제로 공식화됩니다. 전이성(conferrability)(재사용된 모델로 핑거프린트가 전이되는 능력)을 높이기 위해, 샘플 생성 과정에서 "증강된 모델들"(파인튜닝, 프루닝 등을 통해 생성됨)을 활용한 최적화를 수행합니다.
소유권 검증: 의심스러운 모델 $M_s$ 를 검증할 때, 시스템은 최적화된 테스트 샘플을 사용하여 핑거프린트를 추출하고 이를 등록된 타겟 핑거프린트 $F$ 와 비교합니다. 추출된 핑거프린트와 $F$ 사이의 비트 에러율(Bit Error Rate, BER)이 계산된 임계값 $\tau$ 보다 낮으면 검증에 성공한 것으로 간주합니다.

제안된 방법들

FIT-Print 패러다임을 바탕으로, 저자들은 두 가지 블랙박스 방식을 개발했습니다:

FIT-ModelDiff (비트 단위): 이 방식은 비트 단위로 핑거프린트를 추출합니다. 이는 섭동된 샘플의 로짓(logits)과 그에 대응하는 정상(benign) 샘플의 로짓 사이의 코사인 유사도를 측정하는 **결정 거리 벡터(Decision Distance Vector, DDV)**를 활용합니다. 편향(bias) 파라미터에 대한 거리의 부호가 핑거프린트 비트를 결정합니다.
FIT-LIME (리스트 단위): 이 방식은 전체 리스트로서 핑거프린트를 추출합니다. 이는 LIME(Local Interpretable Model-agnostic Explanations)을 활용하여 특징 기여도 점수를 생성합니다. 이 방법은 마스킹된 샘플에 대한 모델 출력의 엔트로피를 계산하여 중요도 점수 벡터를 도출하며, 이것이 핑거프린트 역할을 합니다.

주요 기여

취약성 분석: 본 논문은 기존 모델 핑거프린팅 방식이 비표적성으로 인해 허위 주장 공격에 취약함을 공식적으로 밝히고, 공격자가 독립 모델에 대해 소유권을 허위로 주장하기 위해 전이 가능한 샘플을 구성할 수 있음을 입증했습니다.
새로운 패러다임: 특정 참조 시그니처를 사용하여 핑거프린트 공간을 제한하고 허위 주장에 대응하는 표적 핑거프린팅 패러다임인 FIT-Print를 도입했습니다.
알고리즘 설계: 비트 단위 및 리스트 단위 접근 방식을 각각 대표하는 두 가지 블랙박스 방법인 FIT-ModelDiff와 FIT-LIME을 설계했습니다.
포괄적 평가: 벤치마크 데이터셋(Flowers102, SDogs120)과 모델(MobileNetV2, ResNet18, ViT 등)에 대해 광범한 실험을 수행하여 효과성, 전이성 및 공격에 대한 저항성을 검증했습니다.

실험 결과

평가 결과, FIT-Print는 기존의 최첨단 방식들(IPGuard, MetaV, ModelDiff, Zest, SAC, ModelGiF 포함)에 비해 우수한 성능을 보였습니다:

방어 성공: FIT-Print는 허위 주장 공격에 대해 100%의 방어 성공률을 달encing하여, 악의적인 개발자의 허위 소유권 주장 시도를 효과적으로 무력화했습니다.
허위 경보 제거: 독립 모델에 대해 **0.0%의 오탐율(false positive rate)**을 달성하였으며, 이는 독립적인 모델이 재사용된 것으로 잘못 식별되지 않음을 의미합니다.
소유권 검증: 복사, 파인튜닝, 프루닝, 모델 추출 및 전이 학습을 포함한 다양한 모델 재사용 기법에 대해 100%의 소유권 검증율을 유지합니다.
강건성: 공격자가 타겟 핑거프린트에 대한 부분적인 지식을 가지고 있는 경우에도 "덮어쓰기(overwriting, 공격자가 핑거프린트를 덮어쓰려 함)" 및 "언러닝(unlearning, 공격자가 핑거프린트를 제거하려 함)"과 같은 적응형 공격에 대해 효과적인 성능을 유지합니다.
일반화 가능성: 제안된 방법은 다양한 모델 아키텍처(CNN, Transformer)와 데이터 형식(이미지, GPT-2 및 BERT와 같은 텍릭 생성 모델) 전반에서 효과적임이 입증되었습니다.

의의 및 주장

본 논문은 비표적 검증이라는 근본적인 결함을 해결함으로써 FIT-Print가 모델 핑거프린팅에 대한 새로운 관점을 제공한다고 주장합니다. 핑거프린트를 검증 가능한 표적 시그니처로 변환함으로써, 이 프레임워크는 오픈 소스 생태계에서 모델 IPR을 보호하기 위한 강력한 메커니즘을 제공합니다.

저자들은 이 방식이 모델의 파라미터나 구조를 수정할 필요가 없는 블랙박스 설정이므로 실제 배포에 실용적이라고 강조합니다. 또한 제3자 핑거프린트 등록에 관한 성숙한 법적 규정의 부재와 딥 뉴럴 네트워크에 대한 강건성의 공식적 증명의 어려움과 같은 잠로한 한계를 인정합니다. 그러나 이들은 신뢰할 수 있는 등록 기관(예: 지식재산권 사무소 또는 AI 규제 기관)의 설립이 이러한 검증 시스템의 광범적인 채택을 위한 가시적인 필수 요소가 될 것이라고 봅니다. 궁극적으로 FIT-Print는 허위 소유권 주장의 위험을 제거함으로써 더욱 안전하고 신뢰할 수 있는 모델 공유 및 거래를 촉진하는 것을 목표로 합니다.