🤖 AI

FIT-Print: Towards False-claim-resistant Model Ownership Verification via Targeted Fingerprint

Het artikel introduceert FIT-Print, een gericht model-fingerprinting-framework dat valse bewering-aanvallen effectief neutraliseert en valse alarmen op onafhankelijke modellen elimineert, terwijl het 100% nauwkeurigheid van eigendomsverificatie handhaaft tegen diverse hergebruiktechnieken.

Oorspronkelijke auteurs: Shuo Shao, Haozhe Zhu, Yiming Li, Hongwei Yao, Tianwei Zhang, Zhan Qin

Gepubliceerd 2026-06-09

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Shuo Shao, Haozhe Zhu, Yiming Li, Hongwei Yao, Tianwei Zhang, Zhan Qin

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: Het Probleem met Digitale "Vingerafdrukken"

Stel je voor dat je een chef-kok bent die jarenlang aan een geheim, heerlijk recept heeft gewerkt (een Deep Learning Model). Je besluit het recept met de wereld te delen zodat anderen ervan kunnen leren. Je maakt je echter zorgen dat iemand jouw recept steelt, het een klein beetje aanpast en het als het zijne verkoopt.

Om dit te voorkomen, heb je een manier nodig om te bewijzen: "Hé, deze gerecht smaakt exact naar mijn geheime recept!"

In de wereld van AI wordt dit bewijs Model Fingerprinting genoemd. Het is alsof je een unieke markering op je recept achterlaat, zodat je het later kunt identificeren.

De Gebreken van Oude Methoden:
Het artikel stelt dat huidige fingerprinting-methoden lijken op een blind proeverij.

Hoe het nu werkt: Je geeft een proever (de verifieerder) een willekeurige lepel soep uit jouw recept en een willekeurige lepel uit het recept van de verdachte. Als ze op elkaar lijken, neem je aan dat de verdachte jouw recept heeft gestolen.
De Lek: Een slimme dief kan een "nep" lepel soep maken die toevallig precies zo smaakt als jouw willekeurige lepel, ook al is hun hele pan soep totaal anders. Ze kunnen de proever erin laten geloven dat ze jouw recept hebben gestolen terwijl dat niet zo is. Dit wordt een "False Claim Attack" genoemd.

De Oplossing: FIT-Print (De "Doelgerichte" Vingerafdruk)

De auteurs introduceren een nieuw systeem genaamd FIT-Print. In plaats van een blind proeverij, gebruiken ze een Targeted Signature (Doelgerichte Handtekening).

De Analogie: De Geheime Handdruk
Stel je voor dat je niet alleen vraagt: "Smaakt deze soep naar de mijne?" In plaats daarvan zeg je: "Smaakt deze soep exact naar dit specifieke, complexe smaakpatroon dat ik heb uitgevonden?"

Het Doel (The Target): Je creëert een specifieke "Target Fingerprint" (zoals een geheime handdruk of een specifiek logo).
De Optimalisatie: Je kiest niet zomaar willekeurige soepmonsters. Je past je ingrediënten (de testmonsters) wiskundig aan totdat ze precies dat specifieke smaakpatroon produceren wanneer ze in jouw pan worden gekookt.
De Test: Wanneer je de pan van een verdachte controleert, vraag je: "Produceert jouw soep exact hetzelfde specifieke smaakpatroon?"

Waarom dit dieven tegenhoudt:

Oude manier: Het is makkelijk om een willekeurige lepel te vinden die toevallig naar de mijne smaakt.
Nieuwe manier (FIT-Print): Het is ongelooflijk moeilijk voor een dief om een volledig ander recept te koken dat toevallig jouw specifieke, complexe, vooraf gedefinieerde smaakpatroon produceert. De "ruimte" voor een dief om te bedriegen, wordt teruggebracht tot bijna nul.

Hoe ze het deden (De twee methoden)

Het artikel stelt twee specifieke manieren voor om deze "Targeted Signature" te creëren:

FIT-ModelDiff (De "Bit-voor-bit" Detective):
- Deze methode kijkt naar de output van het model, stukje voor stukje (zoals het controleren van individuele letters in een woord).
- Het meet de afstand tussen hoe het model reageert op een normale afbeelding versus een licht aangepaste afbeelding.
- Het dwingt deze reacties om overeen te komen met een specifieke binaire code (een reeks enen en min-en) die fungeert als jouw handtekening.
FIT-LIME (De "Feature Map" Detective):
- Deze methode bekijkt de hele afbeelding in één keer.
- Het gebruikt een techniek genaamd LIME (die benadrukt welke delen van een afbeelding het belangrijkst zijn voor een beslissing).
- Het creëert een "heatmap" van belangrijkheid en dwingt deze kaart om er exact hetzelfde uit te zien als jouw doelgerichte handtekening.

De Resultaten: Werkte het?

De auteurs testten hun systeem tegen veel verschillende scenario's, waaronder:

Kopiëren: Iemand die simpelweg de code kopieert.
Fine-tuning: Iemand die jouw model neemt en het een beetje verder traint.
Pruning: Iemand die delen van jouw model eruit snijdt om het kleiner te maken.
Extractie: Iemand die probeert jouw model te reconstrueren door er vragen aan te stellen.

Het Scorebord:

Bescherming tegen valse claims: Wanneer een dief probeerde het eigendom van een model te veinzen dat hij niet bezat, ontdekte FIT-Print dit 100% van de tijd. De foutmarge voor valse claims was 0%.
Bescherming van echte eigenaren: Wanneer de echte eigenaar zijn eigen gestolen/hergebruikte model controleerde, bevestigde FIT-Print dit 100% van de tijd.
Weerstand tegen aanvallen: Zelfs toen de dieven probeerden "slim" te zijn en hun modellen specifiek trainden om de vingerafdruk te breken, hield FIT-Print stand.

Het "Label-Only" Scenario

Het artikel testte ook een moeilijkere situatie waarbij de verifieerder alleen het uiteindelijke antwoord kan zien (bijv. "Dit is een hond") maar niet de interne betrouwbaarheidsscores. Zelfs met dit beperkte zicht werkte FIT-Print perfect en maakte het onderscheid tussen echte eigenaren en valse claimers.

Samenvatting

Het artikel stelt dat oude AI-fingerprinting methoden te vaag zijn en door slimme dieven kunnen worden misleid. FIT-Print lost dit op door het AI te dwingen een zeer specifieke, vooraf gedefinieerde "handtekening" te produceren in plaats van alleen een algemene gelijkenis. Dit maakt het wiskundig bijna onmogelijk voor een dief om eigendom te veinzen van een model dat hij niet heeft gemaakt, terwijl de echte eigenaar nog steeds gemakkelijk zijn rechten kan bewijzen.

De auteurs toonden ook aan dat dit werkt op verschillende soorten modellen (zoals tekstgeneratoren) en verschillende groottes, wat bewijst dat het een flexibele oplossing is voor de toekomst van AI-copyright.

Technische Samenvatting: FIT-Print

Probleemstelling

Het artikel behandelt een kritieke kwetsbaarheid in bestaande technieken voor model-fingerprinting die worden gebruikt voor het beschermen van de intellectuele eigendomsrechten (IPR) van open-source deep learning-modellen. Hoewel model-fingerprinting een niet-intrusieve methode biedt om eigendom te verifiëren zonder de modelparameters aan te passen, tonen de auteurs aan dat huidige methoden fundamenteel vatbaar zijn voor false claim attacks (valse aanspraak-aanvallen).

In deze aanvallen kunnen kwaadwillende ontwikkelaars frauduleus eigendom claimen over onafhankelijke modellen van derden. De auteurs identificeren dat deze kwetsbaarheid voortkomt uit het ongerichte karakter van bestaande fingerprinting-methoden. Huidige benaderingen (zowel bit-gewijs als lijst-gewijs) evalueren modelgelijkenis doorgaans op basis van de outputs van willekeurige testmonsters. Deze ongerichte benadering creëert een grote "fingerprint-ruimte", waardoor tegenstanders in staat zijn om "overdraagbare" monsters te ontwerpen (specifiek "gemakkelijke" monsters die resulteren in classificaties met een hoge mate van zekerheid) die vergelijkbare outputs produceren over diverse, onafhankelijke modellen heen. Als gevolg hiervan kunnen onafhankelijke modellen ten onrechte worden beoordeeld als hergebruikte versies van een bronmodel, wat leidt tot valse alarmen en frauduleuze eigendomsclaims.

Methodologie: FIT-Print

Om deze kwetsbaarheid te mitigeren, stellen de auteurs FIT-Print (False-claIm-resistant Targeted model fingerPrinting) voor, een nieuw paradigma dat eigendomsverificatie verschuift van passieve kenmerkextractie naar actieve signatuuruitlijning.

Kerninzicht

In plaats van willekeurige outputs te vergelijken, beperkt FIT-Print de fingerprint-ruimte door testmonsters te optimaliseren zodat ze outputs produceren die uitlijnen met een specifieke, vooraf gedefinieerde doel-fingerprint (bijvoorbeeld een specifieke binaire vector of beeldpatroon). Deze gerichte benadering vermindert de waarschijnlijkheid aanzienlijk dat een tegenstander overdraagbare monsters vindt die voldoen aan de verificatiecriteria voor een onafhankelijk model.

Framework Pipeline

Het FIT-Print framework werkt in twee stadia:

Extractie van Testmonsters: De modelontwikkelaar optimaliseert perturbaties op initiële testbeelden om ervoor te zorgen dat de output van de mappingfunctie $f(\cdot)$ op het bronmodel $M_o$ nauw aansluit bij een vooraf gedefinieerde doel-fingerprint $F$ . Dit wordt geformuleerd als een optimalisatieprobleem waarbij de afstand tussen de gegenereerde fingerprint-vector en het doel wordt geminimaliseerd, terwijl de grootte van de perturbatie wordt geregulariseerd. Om de conferrability (het vermogen van de fingerprint om over te dragen naar hergebruikte modellen) te verbeteren, maakt de optimalisatie gebruik van een set "geaugmenteerde modellen" (gecreëerd via fine-tuning, pruning, etc.) tijdens het generatieproces van de monsters.
Eigendomsverificatie: Bij het verifiëren van een verdacht model $M_s$ , extraheert het systeem de fingerprint met behulp van de geoptimaliseerde testmonsters en vergelijkt deze met de geregistreerde doel-fingerprint $F$ . Verificatie is succesvol als de Bit Error Rate (BER) tussen de geëxtraheerde fingerprint en $F$ onder een berekende drempelwaarde $\tau$ ligt.

Voorgestelde Methoden

Op basis van het FIT-Print paradigma ontwikkelen de auteurs twee black-box methoden:

FIT-ModelDiff (Bit-wise): Deze methode extraheert de fingerprint bit voor bit. Het maakt gebruik van de Decision Distance Vector (DDV), die de cosinusgelijkenis meet tussen de logits van een geperturbeerd monster en de oorspronkelijke (benigne) versie. Het teken van de afstand relatief aan een bias-parameter bepaalt de fingerprint-bits.
FIT-LIME (List-wise): Deze methode extraheert de fingerprint als een volledige lijst. Het maakt gebruik van LIME (Local Interpretable Model-agnostic Explanations) om feature attribution scores te genereren. De methode berekent de entropie van modeloutputs op gemaskeerde monsters om een belangsscore-vector af te leiden, die als fingerprint dient.

Belangrijkste Bijdragen

Kwetsbaarheidsanalyse: Het artikel onthult formeel dat bestaande model-fingerprinting methoden vatbaar zijn voor false claim attacks vanwege hun ongerichte aard, en demonstreert dat tegenstanders overdraagbare monsters kunnen construeren om onterecht eigendom te claimen over onafhankelijke modellen.
Nieuw Paradigma: Het introduceert FIT-Print, een gerichte fingerprinting-paradigma dat een specifieke referentie-signatuur gebruikt om de fingerprint-ruimte te beperken en false claims tegen te gaan.
Algoritmeontwerp: Het ontwerpt twee specifieke black-box methoden, FIT-ModelDiff en FIT-LIME, die respectievelijk bit-gewijze en lijst-gewijze benaderingen vertegenwoordigen.
Uitgebreide Evaluatie: De auteurs voeren uitgebreide experimenten uit op benchmark-datasets (Flowers102, SDogs120) en modellen (MobileNetV2, ResNet18, ViT, etc.) om effectiviteit, conferrability en weerstand tegen aanvallen te valideren.

Experimentele Resultaten

De evaluatie toont aan dat FIT-Print superieure prestaties levert vergeleken met bestaande state-of-the-art methoden (inclusief IPGuard, MetaV, ModelDiff, Zest, SAC, en ModelGiF):

Defensie Succes: FIT-Print bereikt een 100% defensie succesrate tegen false claim attacks, waardoor pogingen van kwaadwillende ontwikkelaars om onterecht eigendom te claimen effectief worden geneutraliseerd.
Eliminatie van Vals Positieven: De methoden bereiken een 0,0% false positive rate op onafhankelijke modellen, wat betekent dat geen enkele onafhankelijke modellen onterecht als hergebruikt wordt geïdentificeerd.
Eigendomsverificatie: FIT-Print behoudt een 100% eigendomsverificatie rate over diverse technieken voor modelhergebruik, inclusief kopiëren, fine-tuning, pruning, model extractie en transfer learning.
Robuustheid: Het framework blijft effectief tegen adaptieve aanvallen, inclusief "overwriting" (waarbij een aanvaller probeert de fingerprint te overschrijven) en "unlearning" (waarbij een aanvaller probeert de fingerprint te verwijderen), zelfs wanneer de aanvaller gedeeltelijke kennis heeft van de doel-fingerprint.
Generaliseerbaarheid: De methoden blijken effectief te zijn over verschillende modelarchitecturen (CNN's, Transformers) en datavormen (beelden, tekstgeneratiemodellen zoals GPT-2 en BERT).

Betekenis en Claims

Het artikel beweert dat FIT-Print een nieuw perspectief op model-fingerprinting biedt door de fundamentele fout van ongerichte verificatie aan te pakken. Door de fingerprint te transformeren naar een verifieerbare, gerichte signatuur, biedt het framework een robuust mechanisme voor het beschermen van de IPR van modellen in het open-source ecosysteem.

De auteurs benadrukken dat hun aanpak praktisch is voor real-world implementatie, omdat het geen wijzigingen vereist in de parameters of structuur van het model (black-box setting). Ze erkennen potentiële beperkingen, zoals het huidige gebrek aan volwassen juridische bepalingen voor registratie van derden en de moeilijkheid om formele bewijzen van robuustheid voor deep neural networks te leveren. Ze stellen echter dat de vestiging van vertrouwde registraars (bijv. Intellectuele Eigendomskantoren of AI-regulatoren) een voorzienbare noodzaak is voor de brede adoptie van dergelijke verificatiesystemen. Uiteindelijk streeft FIT-Print ernaar om veiliger en betrouwbaarder delen en verhandelen van modellen te faciliteren door het risico op valse eigendomsclaims te elimineren.