🤖 AI

Fingerprinting Deep Neural Networks for Ownership Protection: An Analytical Approach

Dit paper introduceert AnaFP, een analytisch fingerprintingschema dat de afstand van vingerafdrukken tot de beslisgrens van diepe neurale netwerken theoretisch optimaliseert binnen een berekende interval om zowel robuustheid als uniciteit voor model-eigendomsbescherming te garanderen.

Oorspronkelijke auteurs: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

Gepubliceerd 2026-03-24

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een heel duur en uniek recept hebt bedacht voor een perfecte pizza. Je bent trots op je werk en verkoopt het nu als een dienst. Maar wat als iemand het recept steelt, de naam van de pizza een beetje aanpast, en het vervolgens als zijn eigen creatie verkoopt? Hoe bewijs je dan dat het jouw recept is?

In de wereld van kunstmatige intelligentie (AI) gebeurt dit vaak. Mensen stelen complexe computermodellen, veranderen ze een beetje zodat ze er anders uitzien, en verkopen ze als hun eigen werk. Dit artikel introduceert een slimme oplossing genaamd AnaFP om dit te voorkomen.

Hier is hoe het werkt, vertaald naar alledaagse taal:

1. Het Probleem: De "Onzichtbare Muur"

Elk AI-model heeft een soort onzichtbare muur (in de vakjargon: een beslissingsgrens). Als je een foto van een hond net iets aanpast (bijvoorbeeld een beetje ruis toevoegen), springt het model over die muur heen en denkt het plotseling: "Oh, dit is een kat!"

Vroeger probeerden mensen vingerafdrukken te maken door deze muur te gebruiken. Maar ze hadden een groot probleem:

Als je de vingerafdruk te dicht bij de muur plaatst, is hij heel uniek (alleen jouw model ziet het als een kat), maar als de dief het model een beetje aanpast, valt de vingerafdruk weer terug en werkt hij niet meer.
Als je de vingerafdruk te ver van de muur plaatst, is hij heel sterk (werkt ook na aanpassingen), maar dan zien andere modellen het ook als een kat. Dan kun je niet meer bewijzen dat het jouw model was.

Het was alsof je probeerde een bal precies op de rand van een scherp mes te laten balanceren: te links en hij valt, te rechts en hij valt. Tot nu toe deden mensen dit op "gevoel" (proberen en fouten maken), wat vaak mislukte.

2. De Oplossing: AnaFP (De Wiskundige Architect)

De auteurs van dit artikel hebben een nieuwe methode bedacht, AnaFP, die niet op gevoel werkt, maar op wiskunde. Ze hebben een formule bedacht die precies zegt: "Hoe ver moet de bal van het mes af liggen om veilig én uniek te zijn?"

Ze noemen dit de rek-factor (stretch factor).

Stap 1: Het Anker. Ze kiezen een heel duidelijk voorbeeld (bijvoorbeeld een heel duidelijke foto van een hond) dat het model zeker herkent.
Stap 2: De Minimale Duw. Ze duwen de foto heel zachtjes over de muur, zodat het model denkt dat het een kat is. Dit is de "grenspunt".
Stap 3: De Berekening. Hier komt de magie. In plaats van te gokken, berekenen ze een veiligheidszone.
- De onderkant van de zone is bepaald door: "Hoeveel moet ik duwen zodat de dief het niet kan veranderen?" (Robuustheid).
- De bovenkant van de zone is bepaald door: "Hoe ver mag ik duwen voordat een ander model het ook als een kat ziet?" (Uniekheid).

Tussen deze twee grenzen ligt een toelaatbaar gebied. Als je de bal (de vingerafdruk) ergens in dit gebied plaatst, win je altijd.

3. Hoe vinden ze dit gebied? (De "Surrogaat" Methode)

Je kunt niet alle mogelijke dieven en alle mogelijke andere modellen in de wereld testen (dat zijn er oneindig veel). Dus gebruiken de auteurs een slimme truc:

Ze maken een kleine groepje "proefmodellen". Een paar modellen die ze zelf hebben "gestolen" en aangepast (om de dieven te simuleren) en een paar modellen die ze van nul af hebben gemaakt (om de eerlijke concurrenten te simuleren).
Ze testen hun formule op deze kleine groep. Als het werkt voor hen, werkt het waarschijnlijk voor iedereen.
Ze gebruiken een grid search (een soort digitale zoektocht) om de perfecte plek in de veiligheidszone te vinden, precies halverwege tussen "te kwetsbaar" en "te algemeen".

4. Het Resultaat: Een Onmiskenbaar Stempel

Wanneer AnaFP klaar is, heeft het een setje "vingerafdrukken" (specifieke foto's) die als een stempel dienen.

Als je een verdacht model hebt, laat je deze foto's zien.
Als het model jouw vingerafdrukken herkent (en zegt: "Ja, dit is een kat!"), dan is het bijna zeker een gestolen versie van jouw model.
Als het model het niet herkent, is het waarschijnlijk een eerlijk gemaakt model.

Waarom is dit belangrijk?

Vroeger was het bewijzen van eigendom van AI-modellen als het proberen om een slot te openen met een sleutel die je willekeurig hebt gemaakt. Soms paste hij, soms niet.
Met AnaFP hebben ze een sleutel gemaakt op maat, waarbij ze precies hebben uitgerekend hoe de tanden van de sleutel moeten zitten om in jouw slot te passen, maar niet in die van een ander.

Het is een veilige, wiskundig onderbouwde manier om te zeggen: "Dit is mijn creatie, en ik kan het bewijzen, zelfs als de dief het probeert te veranderen."

Probleemstelling

Deep Neural Networks (DNN's) zijn kwetsbaar voor modelpiraterij, waarbij tegenstanders gestolen modellen aanpassen (bijv. via fine-tuning, pruning of kennisdistillatie) om de eigenaarschap te verbergen, terwijl de prestaties behouden blijven. Bestaande methoden voor eigendomsbescherming, zoals fingerprinting (het creëren van unieke, verifieerbare kenmerken), vertrouwen vaak op adversariële voorbeelden.

De fundamentele uitdaging bij deze aanpak is het vinden van de juiste afstand tussen een vingerafdruk en de beslissingsgrens (decision boundary) van het model:

Uniekheid: Vingerafdrukken moeten dicht bij de grens liggen om te garanderen dat onafhankelijk getrainde modellen ze niet correct voorspellen.
Robuustheid: Vingerafdrukken moeten ver genoeg van de grens liggen om bestand te zijn tegen aanpassingen die de beslissingsgrens verschuiven (piraterij-aanvallen).

Bestaande werken gebruiken empirische heuristieken om deze afstand te kiezen, wat leidt tot een gebrek aan theoretische onderbouwing en vaak tot vingerafdrukken die ofwel te fragiel ofwel te makkelijk te onderscheiden zijn. Er ontbreekt een theoretisch kader om deze twee tegenstrijdige eisen simultaan te balanceren.

Methodologie: AnaFP

De auteurs stellen AnaFP (Analytical adversarial-example-based FingerPrinting) voor, een schema dat vingerafdrukken genereert onder strikte theoretische leiding. Het proces verloopt in vier stappen:

Selectie van Hoge-Vertrouwens Ankers (Anchors):
Uit de trainingsdataset worden steekproeven geselecteerd met een hoge logit-marge (hoge zekerheid van het model). Deze dienen als basispunten (ankers) voor de vingerafdrukken, omdat ze stabiel zijn voor onafhankelijk getrainde modellen.
Berekening van Minimale Perturbaties:
Voor elk anker wordt een minimale perturbatie ( $\delta^*$ ) berekend die de voorspelling van het beschermde model verandert. Dit resulteert in een punt op de beslissingsgrens (boundary point).
Zoeken naar een Geschikte Stretch Factor ( $\tau$ ):
Dit is het kernpunt van AnaFP. In plaats van willekeurig te kiezen, wordt de perturbatie vermenigvuldigd met een stretch factor $\tau > 1$ om de vingerafdruk verder van de grens te plaatsen.
- Theoretische Afleiding: De auteurs leiden wiskundige onder- en bovengrenzen af voor $\tau$ $τ$ om zowel robuustheid als uniekheid te garanderen.
  - $\tau_{lower}$ : Gebaseerd op de maximale logit-verschuiving ( $\epsilon_{logit}$ ) veroorzaakt door aanvalsmodellen (garandeert robuustheid).
  - $\tau_{upper}$ : Gebaseerd op de minimale logit-marge ( $m_{min}$ ) en de lokale Lipschitz-constante ( $L_{uniq}$ ) van onafhankelijke modellen (garandeert uniekheid).
- Surrogate Model Pools: Omdat de sets van alle mogelijke piraten- en onafhankelijke modellen oneindig zijn, worden deze benaderd door eindige "surrogate" pools (een pool van aangepaste modellen en een pool van onafhankelijk getrainde modellen).
- Quantile-gebaseerde Relaxatie: Om te voorkomen dat de grenzen te conservatief zijn (wat leidt tot geen geldige oplossingen), worden de parameters geschat op basis van quantiles (bijv. de 90e percentiel) in plaats van extreme waarden.
- Grid Search: Omdat er een circulaire afhankelijkheid bestaat tussen de ondergrens en $\tau$ zelf, wordt een grid search uitgevoerd binnen het toegestane interval $(\tau_{lower}, \tau_{upper})$ om de meest geschikte $\tau$ te vinden die de grootste tolerantie biedt voor schattingsfouten.
Constructie van de Vingerafdrukset:
De uiteindelijke vingerafdrukken worden gegenereerd door de gestrekte perturbatie toe te passen op de ankers, met de door het beschermde model voorspelde labels.

Verificatieprotocol:
Om een verdacht model te verifiëren, worden de vingerafdrukken erop afgevroegen. Als het verdachte model een hoge match-rate (percentage correcte voorspellingen) toont ten opzichte van een drempelwaarde, wordt het geclassificeerd als een piratemodel.

Belangrijkste Bijdragen

Theoretisch Kader: De eerste analytische afleiding van de onder- en bovengrenzen voor de afstand tussen vingerafdruk en beslissingsgrens, die robuustheid en uniekheid wiskundig verbindt.
Praktische Implementatie: Een strategie die theoretische oneindige sets benadert via surrogate pools en quantile-relaxatie, waardoor de methode toepasbaar is in de praktijk.
Grid Search Strategie: Een oplossing voor de circulaire afhankelijkheid bij het bepalen van de optimale stretch factor, wat zorgt voor een robuustere selectie dan empirische heuristieken.
Generalisatie: De methode is getest op diverse architecturen (CNN, MLP, GNN) en datasets, wat aantoont dat het niet beperkt is tot specifieke modeltypes.

Resultaten

De auteurs hebben uitgebreide experimenten uitgevoerd op CIFAR-10, CIFAR-100, MNIST en PROTEINS (voor GNN's), vergeleken met zes state-of-the-art baselines (zoals UAP, IPGuard, MarginFinger).

Prestatie: AnaFP behaalde consistent de hoogste AUC-waarden (Area Under the Curve), variërend van 0.893 tot 0.963 over verschillende datasets en modellen. Dit is significant hoger dan de baselines.
Robuustheid tegen Aanvallen: AnaFP bleek zeer effectief tegen een breed scala aan prestatiebehoudende aanvalstechnieken, waaronder:
- Fine-tuning (AUC ~0.979)
- Adversarial Training (AUC ~0.983)
- Pruning en N-finetuning (AUC > 0.97)
- Zelfs bij complexe combinaties zoals Prune-KD (Pruning gevolgd door Knowledge Distillation) behield AnaFP een leidende positie, hoewel dit een grote uitdaging blijft voor alle methoden.
Sensitiviteit: De methode bleek robuust tegen variaties in de grootte en diversiteit van de surrogate model pools. Zelfs met een beperkte pool (6 modellen) en lage diversiteit bleef de prestatie hoog.
Efficiëntie: Hoewel AnaFP meer GPU-geheugen verbruikt dan sommige lichtgewicht methoden (door parallelle verwerking), is de rekentijd acceptabel en beter dan methoden die universele perturbaties moeten trainen (zoals UAP).

Significantie

AnaFP vertegenwoordigt een paradigmaverschuiving in model-eigendomsbescherming. In plaats van te vertrouwen op trial-and-error, biedt het een theoretisch onderbouwde, analytische aanpak die de fundamentele spanning tussen robuustheid en uniekheid oplost. Dit maakt het een betrouwbare oplossing voor het beschermen van intellectueel eigendom in real-world scenario's waar modellen vaak worden aangepast of gestolen. De methode is bijzonder relevant voor de groeiende markt van AI-as-a-Service, waar het bewijzen van eigendom zonder de interne werking van het model te onthullen cruciaal is.