💻 computer science

Why Neural Structural Obfuscation Can't Kill White-Box Watermarks for Good!

Dit paper introduceert \textsc{Canon}, een herstelkader dat witte-dooswatermerken volledig (100%) herstelt na Neural Structural Obfuscation-aanvallen door dummy-neuronen te identificeren en de netwerkstructuur globaal te canonicaliseren, terwijl de taakprestaties behouden blijven.

Oorspronkelijke auteurs: Yanna Jiang, Guangsheng Yu, Qingyuan Yu, Yi Chen, Qin Wang

Gepubliceerd 2026-03-17

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Yanna Jiang, Guangsheng Yu, Qingyuan Yu, Yi Chen, Qin Wang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De Kern: Een Slimme Diefstal en de Perfecte Terugkeer

Stel je voor dat je een heel waardevol schilderij hebt (een AI-model) en je hebt er een onzichtbare handtekening in gezet (watermerk) om te bewijzen dat het van jou is.

In de wereld van kunstverdediging was er onlangs een nieuwe, gevaarlijke diefstaltechniek bedacht, genaamd NSO (Neural Structural Obfuscation).

1. Het Probleem: De "Onzichtbare Verhuizing"

Deze dieven (aanvallers) doen iets heel slinks. Ze veranderen het schilderij niet echt; het beeld blijft precies hetzelfde. Maar ze verplaatsen alle onderdelen van het schilderij en voegen een hoop nep-deeltjes toe.

De Analogie: Stel je voor dat je een boek leest. De dief neemt het boek, verwisselt alle pagina's, voegt bladzijden toe met blanco papier, en schrijft op de blanco pagina's dingen die precies de tegenhanger zijn van de tekst ernaast (zodat ze elkaar opheffen).
Het Resultaat: Als je het boek leest, is het verhaal nog steeds hetzelfde (de AI werkt nog steeds perfect). Maar als je probeert je handtekening te vinden op pagina 50, is die weg. De dief heeft de "index" (de pagina-nummers) verward. Voor de oude beveiligingssystemen is het schilderij nu "leeg" of "niet van jou", omdat ze niet weten waar ze moeten zoeken.

Tot nu toe dachten experts dat dit een onoplosbaar probleem was. Ze dachten: "Als de structuur is veranderd, is het watermerk voor altijd weg."

2. De Oplossing: CANON (De "Bewuste Architect")

De onderzoekers van deze paper (Yanna Jiang en haar team) zeggen: "Nee, dit is niet onoplosbaar!" Ze hebben een nieuw systeem bedacht, genaamd CANON.

CANON werkt als een slimme architect die het huis van de dief binnenstapt en zegt: "Ik zie wat je hebt gedaan. Je hebt muren verplaatst en nep-deuren toegevoegd, maar je hebt de fundering niet veranderd. Ik ga alles weer in de originele volgorde zetten."

Hoe doet CANON dit?

De "Producer-Consumer" Regel: In een AI-netwerk werken onderdelen samen. Een onderdeel (de producer) stuurt signalen naar andere onderdelen (de consumers).
De Analogie: Stel je voor een fabriek waar dozen worden verpakt. De dief heeft extra lege dozen toegevoegd aan de lopende band en heeft de inhoud van de echte dozen overgeheveld naar nieuwe dozen.
- Als de dief een lege doos toevoegt, moet die doos ook op de volgende stap van de lopende band "leeg" blijven, anders zou het product veranderen.
- Als de dief een doos splitst in tweeën, moeten die twee helften samen precies hetzelfde gewicht hebben als de originele doos.
Het Geheim: Omdat de dief het product (de AI) niet mag laten veranderen, moet hij zich aan strenge regels houden. Hij kan niet zomaar willekeurig dingen verplaatsen. Hij moet zorgen dat alles logisch blijft kloppen.

CANON zoekt naar deze logische patronen. Het kijkt naar de "stroom" van informatie en zegt: "Ah, deze groep van 5 dozen werkt precies hetzelfde als die ene originele doos. En die andere groep is gewoon een nep-doos die niets doet."

3. De Magie: Het Herstellen van de Orde

CANON doet twee dingen:

Het opsporen van nep-deeltjes: Het identificeert welke onderdelen "dood" zijn (niet doen) of welke dubbel zijn (elkaar opheffen).
Het globaliseren van de oplossing: Dit is het slimme deel. Als CANON op één plek een fout vindt, past hij die correctie overal toe waar die fout invloed heeft. Het is alsof je één verkeerd geplaatste muur in een huis repareert, en automatisch alle deuren en ramen in dat huis weer op de juiste plek zet, zodat alles weer sluit.

4. Het Resultaat: 100% Succes

De paper toont aan dat CANON dit probleem volledig oplost:

Geen schade: De AI werkt na de reparatie precies even goed als voor de aanval.
Watermerk terug: De handtekening is weer te vinden op de juiste plek.
Veilig: Het systeem werkt zelfs als de dief heel slim was en verschillende trucs combineerde.

Samenvatting in één zin

Waar de dief dacht dat hij door het verwarren van de "adreslijst" van een AI het bewijs van eigendom kon verbergen, heeft CANON bewezen dat je door naar de logica van de samenwerking tussen de onderdelen te kijken, de oorspronkelijke volgorde altijd kunt terugvinden en het bewijs kunt herstellen.

Het is alsof iemand je huis in de war heeft gegooid, maar omdat de deuren en ramen nog steeds perfect passen bij de muren, kun je met een slimme blauwdruk alles weer precies terugzetten waar het hoorde.

1. Het Probleem: Neural Structural Obfuscation (NSO)

Het paper adresseert een fundamentele bedreiging voor de beveiliging van diepe neurale netwerken (DNN's): Neural Structural Obfuscation (NSO).

Achtergrond: In USENIX Security '23 introduceerden Yan et al. NSO als een "kostenloze" aanvalsmethode. Deze techniek injecteert dummy-neuronen (kanalen) in een model zonder de functionele output (taakprestatie) te veranderen.
De Aanval: NSO gebruikt drie strategieën:
1. nso_zero: Injectie van kanalen met nul-gewichten.
2. nso_clique: Duplicatie van invoerweights met uitgaande weights die optellen tot nul (mutuele cancelatie).
3. nso_split: Vervanging van een kanaal door $d+1$ gesplitste kopieën die samen de originele bijdrage leveren.
Het Effect: Hoewel het model functioneel equivalent blijft, wordt de interne structuur (de volgorde en indexering van kanalen) radicaal gewijzigd. Omdat witte-doos watermerken (white-box watermarks) vaak afhankelijk zijn van de specifieke index-geordende parameters om het watermerk te verifiëren, faalt de verificatie volledig.
De Uitdaging: Bestaande verdedigingen zijn vaak lokaal (laag-voor-laag) en kunnen deze structurele verwarring niet oplossen, vooral niet in moderne, graf-gebaseerde architecturen (zoals ResNet, DenseNet) waar signalen via 'skip-connections' en 'concatenations' worden gedeeld.

2. Methodologie: CANON

De auteurs stellen CANON voor, een herstelraamwerk dat NSO niet als een onomkeerbare verwijdering ziet, maar als een herschikking die gerepareerd kan worden door gebruik te maken van graf-consistentie.

Producer-Consumer Threat Model: De auteurs herformuleren NSO als een bedreigingsmodel binnen een producer-consumer paradigma. Elke injectie van dummy-neuronen (producer) vereist een compatibele update van alle downstream-consumenten om functionele equivalentie te behouden.
Kerninzicht: Om de functionaliteit te behouden, moeten de injecties voldoen aan strikte signaal-consistentie over het hele computationele graf. Dummy-kanalen moeten op elke downstream-locatie (fan-out, residual add, channel cat) consistent gedrag vertonen (bijv. exacte cancelatie of proportionele duplicatie).
Het CANON-proces:
1. Probing: Het aangevallen model wordt uitgevoerd op een kleine set van probe-inputs (in evaluatiemodus) om activatie-summaries per kanaal te verzamelen.
2. Redundantie Detectie: Door activatie-signalen te analyseren (binair statuspatroon en proportionele relaties), identificeert CANON welke kanalen "dummy" zijn (niet-actief, mutueel cancelerend, of proportioneel gedupliceerd).
3. Graf-consistente Herstructurering: In plaats van lokaal te prunen, leidt CANON een ChannelTransform af op de producer-edges. Deze transformatie wordt vervolgens globaal doorgegeven aan alle downstream lineaire consumenten (Conv/Linear lagen).
4. Synchronisatie: Bij structurele knooppunten zoals add (residual connections) en cat (concatenatie) wordt de lay-out gesynchroniseerd. Bij add moeten beide takken dezelfde lay-out hebben; bij cat worden de transformaties samengesteld tot een blok-diagonale matrix.
5. Canonisering: Het resultaat is een compact, functioneel equivalent model waarin de kanalen weer in een standaard (canonieke) volgorde staan, waardoor bestaande watermerk-extractoren opnieuw kunnen werken.

3. Belangrijkste Bijdragen

Generalisatie van het Bedreigingsmodel: De auteurs breiden NSO uit van een lokaal, laag-georiënteerd concept naar een graf-consistent producer-consumer model dat moderne architecturen (met residual en concatenatie operaties) volledig omvat.
Constructief Bewijs van Herstelbaarheid: Ze weerleggen het idee dat NSO watermerken "kostenloos" en permanent kan verwijderen. Ze bewijzen dat NSO gestructureerde, globaal beperkte redundantie creëert die detecteerbaar en omkeerbaar is zonder kennis van de aanval of het originele model.
CANON Framework: Het introduceren van het eerste end-to-end canoniseringsraamwerk dat NSO-aanvallen verslaat door activatie-probing en globale lay-out-synchronisatie.
Empirische Validatie: Uitgebreide experimenten tonen aan dat CANON 100% succes heeft in het herstellen van watermerk-verificatie, zelfs onder zware, samengestelde NSO-aanvallen, zonder verlies van taaknauwkeurigheid.

4. Resultaten

De auteurs evalueerden CANON op vier populaire CNN-architecturen (ResNet-18, EfficientNet, InceptionV3, DenseNet) met negen verschillende witte-doos watermerkschema's (gewicht-gebaseerd, activatie-gebaseerd, en passport-gebaseerd).

Herstel van Verificatie: Onder sterke samengestelde NSO-aanvallen (inclusief mix-opseq varianten) herstelt CANON de watermerk-ähnlijkheid (similarity) naar 100% (Tier-1 referentie-equivalentie certificaat).
Geen Verlies van Functionaliteit: De taaknauwkeurigheid (accuracy) blijft ongewijzigd. Er is geen drift tussen het aangevallen model en het herstelde model ( $\Delta acc = 0$ ).
Robuustheid: CANON werkt effectief op zowel add-dominante (ResNet) als cat-dominante (Inception, DenseNet) grafen.
Geen False Positives: Wanneer CANON wordt toegepast op een schoon, niet-aangevallen model, worden er geen structurele wijzigingen doorgevoerd en blijft de watermerk-verificatie intact.
Kosten: De recovery-tijd is acceptabel (vaak binnen enkele seconden tot een minuut) en schaalt voorspelbaar met de complexiteit van de aanval, niet met het dataset-grootte.

5. Betekenis en Conclusie

Dit paper is significant omdat het een fundamentele mythe doorbreekt in het domein van AI-beveiliging: dat structurele obfuscatie watermerken onherroepelijk kan vernietigen.

Paradigmaverschuiving: Het toont aan dat verdediging tegen structurele aanval niet moet focussen op het "herkennen" van de aanval, maar op het herstellen van de canonieke representatie door gebruik te maken van de wiskundige noodzaak van functionele equivalentie.
Toekomstbestendigheid: CANON biedt een robuuste verdediging die werkt ongeacht de specifieke watermerk-techniek, zolang deze witte-doos is en afhankelijk van de modelstructuur.
Conclusie: Neural Structural Obfuscation is geen "game-over" voor witte-doos watermerken. Door de graf-consistente aard van neurale netwerken te benutten, kunnen deze structurele manipulaties volledig worden teruggedraaid, waardoor de betrouwbaarheid van model-eigendomsverificatie wordt behouden.