IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

1. 문제 정의 (Problem Statement)

딥러닝 모델의 지적재산권 (IP) 보호를 위해 **적대적 예시 (Adversarial Example)**를 활용한 모델 지문 (Fingerprinting) 기법이 주목받고 있습니다. 기존 방법들은 보호된 모델이 특정 입력에 대해 고유한 반응을 보이도록 약간의 교란 (perturbation) 을 가해 지문을 생성합니다.

그러나 기존 접근법에는 다음과 같은 근본적인 딜레마가 존재합니다:

• 유일성 (Uniqueness) vs. 견고성 (Robustness) 의 상충 관계:
  • 유일성 확보: 지문을 결정 경계 (Decision Boundary) 근처에 위치시키면 모델 고유의 민감한 반응을 포착할 수 있어 유일성이 높아집니다. 하지만 이는 모델 수정 공격 (파인튜닝, 가지치기 등) 에 매우 취약하여, 경계가 이동하면 지문이 무효화될 수 있습니다.
  • 견고성 확보: 지문을 목표 클래스 영역 깊숙한 곳 (경계에서 멀리 떨어진 곳) 에 위치시키면 모델 수정에 강인해집니다. 하지만 이는 모델 고유의 경계 특성을 반영하지 못해 유일성이 떨어지고, 독립적으로 훈련된 모델과 구별하기 어려워집니다.
• 기존 연구들은 단일 결정 경계 근처의 지문을 생성하거나, 위 두 가지 특성 중 하나만 강조하여 동시에 높은 유일성과 견고성을 확보하는 데 실패했습니다.

2. 제안 방법: IrisFP (Methodology)

저자들은 IrisFP라는 새로운 지문 생성 프레임워크를 제안합니다. 이는 다중 경계 특성 (Multi-boundary characteristics), 다중 샘플 행동 (Multi-sample behaviors), 지문 판별력 평가를 결합하여 유일성과 견고성을 동시에 극대화합니다.

2.1. 핵심 설계 철학

기존의 단일 경계 접근법과 달리, IrisFP 는 모든 결정 경계의 교차점 (Intersection of all decision boundaries) 근처에 지문을 배치합니다.

• 이유: 교차점 근처의 샘플은 특정 클래스에 대한 예측 확률은 높지만, 나머지 클래스들에 대한 확률 분포가 균일하게 퍼져 있어 **예측 마진 (Prediction Margin)**이 커집니다. 이는 모델 수정이 발생하더라도 예측이 쉽게 뒤바뀌지 않도록 하여 견고성을 높이고, 동시에 모델 고유의 민감한 경계 특성을 유지하여 유일성을 보장합니다.

2.2. 3 단계 지문 생성 프로세스

1. Phase I: 지문 시드 초기화 (Initializing Fingerprint Seeds)
   • 보호된 모델의 모든 클래스 결정 경계 교차점 근처에 위치하도록 적대적 샘플 (시드) 을 생성합니다.
   • 목표 클래스에 대한 확률을 약간 높이고 나머지는 균등하게 분포시키는 편향된 확률 분포를 정의하여 KL 발산을 최소화하는 방식으로 최적화합니다.
2. Phase II: 복합 샘플 지문 생성 (Generating Composite-sample Fingerprints)
   • 단일 시드만으로는 부족할 수 있으므로, 각 시드에 미세하고 다양한 교란을 가해 여러 변형 (Variants) 을 생성합니다.
   • 하나의 지문은 시드와 여러 변형으로 구성된 복합 샘플 (Composite-sample) 집합이 됩니다.
   • 보호된 모델은 이 다양한 변형들에 대해 일관되게 고유한 반응을 보이지만, 독립 훈련 모델은 일관된 반응을 보이지 못하게 되어 판별력이 향상됩니다.
3. Phase III: 지문 정제 (Refining Fingerprints)
   • 생성된 모든 지문이 항상 우수한 것은 아니므로, 통계적 분리도 (Statistical Separability) 를 기반으로 품질을 평가합니다.
   • 참고 모델 세트: '해적 모델 세트 (피해 모델에서 변형된 것)'와 '독립 훈련 모델 세트'를 정의합니다.
   • Cohen's d 효과 크기 계산: 두 모델 세트 간의 지문 매칭률 분포 차이를 정량화하여, 가장 잘 구분되는 지문 (Top-K) 만 선택합니다.
   • 지문별 임계값 할당: 각 지문의 통계적 특성 (평균 및 표준편차) 에 따라 고유한 임계값을 부여하여 검증 정확도를 높입니다.

2.3. 소유권 검증 프로세스

• 1 단계 (소유권 매칭): 타겟 모델에 복합 샘플 지문을 입력하고, 각 샘플의 출력과 기대값을 비교하여 매칭률을 계산합니다. 지문별 임계값과 비교하여 해당 지문이 매칭되었는지 판단합니다.
• 2 단계 (의사결정 집계): 모든 지문의 매칭 결과를 집계하여 최종 검증 점수를 산출합니다. 이 점수가 predefined threshold 를 초과하면 타겟 모델을 해적 모델로 판정합니다.

3. 주요 기여 (Key Contributions)

1. 다중 경계 교차점 전략: 지문을 단일 경계가 아닌 다중 경계 교차점 근처에 배치하여 예측 마진을 확보함으로써, 유일성과 견고성을 동시에 향상시켰습니다.
2. 복합 샘플 지문 (Composite-sample Fingerprints): 단일 샘플이 아닌 여러 변형으로 구성된 지문 집합을 사용하여 모델의 결정 영역 행동을 포괄적으로 포착하고, 독립 훈련 모델과의 행동 차이를 극대화했습니다.
3. 통계적 기반 지문 정제: 생성된 지문의 판별력을 정량적으로 평가 (Cohen's d) 하여 저품질 지문을 제거하고, 각 지문에 최적화된 임계값을 부여하는 정교한 필터링 메커니즘을 도입했습니다.

4. 실험 결과 (Results)

다양한 데이터셋 (CIFAR-10/100, Fashion-MNIST, MNIST, Tiny-ImageNet) 과 모델 아키텍처 (ResNet-18, MobileNet-V2, ViT-B/16) 에서 실험을 수행했습니다.

• 성능 비교 (AUC): IrisFP 는 기존 최첨단 방법들 (IPGuard, UAP, ADV-TRA, AKH) 보다 모든 데이터셋과 모델에서 가장 높은 AUC를 기록했습니다. (예: CIFAR-100 에서 ResNet-18 기준 AUC 0.916, 기존 최강 대비 13.7% 향상).
• 유일성 및 견고성:
  • 유일성 (TNR): 독립 훈련 모델을 오인식하는 비율이 기존 방법들보다 현저히 낮았습니다.
  • 견고성 (TPR): 파인튜닝 (FT), 가지치기 (PR), 지식 증류 (KD), 적대적 훈련 (AT) 등 6 가지 공격 유형에 대해 높은 정확도를 유지했습니다. 특히 기존 방법들이 공격에 취약했던 AT(적대적 훈련) 에 대해서도 IrisFP 는 우수한 성능을 보였습니다.
• Ablation Study: 시드 초기화, 복합 샘플 생성, 지문 선택, 지문별 임계값 할당 등 각 구성 요소가 성능 향상에 필수적임을 입증했습니다.

5. 의의 및 결론 (Significance)

IrisFP 는 모델 지문 기술의 오랜 난제였던 **"유일성과 견고성의 트레이드오프"**를 해결한 획기적인 접근법입니다.

• 실용성: 다양한 모델 아키텍처와 공격 시나리오에서 일관된 성능을 발휘하여, 실제 딥러닝 모델의 지적재산권 보호에 신뢰할 수 있는 솔루션을 제공합니다.
• 기술적 혁신: 단순한 적대적 예시 생성을 넘어, 결정 경계의 기하학적 구조 (교차점) 와 통계적 판별력을 결합한 새로운 패러다임을 제시했습니다.

이 연구는 모델 소유권 검증의 신뢰성을 크게 높여, AI 모델의 불법 복제 및 도용 방지에 중요한 기여를 할 것으로 기대됩니다.