💻 computer science

IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

IrisFP is een nieuw raamwerk voor modelvingerafdrukken dat gebruikmaakt van adversariële voorbeelden en een uniek, robuust vingerafdruk genereert door deze te positioneren nabij de doorsnede van meerdere beslissingsgrenzen en te valideren met statistische scheidingsmetrieken, waardoor het de bestaande methoden overtreft in zowel uniekheid als weerstand.

Oorspronkelijke auteurs: Ziye Geng, Guang Yang, Yihang Chen, Changqing Luo

Gepubliceerd 2026-03-27

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Ziye Geng, Guang Yang, Yihang Chen, Changqing Luo

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een heel duur, uniek recept hebt voor een taart. Je bent bang dat iemand het recept steelt, het een beetje aanpast (misschien minder suiker, of een ander type bloem), en dan beweert dat het hun taart is. Hoe bewijs je dat het jouw originele recept is, zelfs als de dief het recept heeft aangepast?

In de wereld van kunstmatige intelligentie (AI) is dit precies het probleem. Bedrijven trainen complexe "modellen" (zoals een slimme app die foto's herkent), maar hackers kunnen deze modellen stelen, een beetje aanpassen, en verkopen als hun eigen werk.

Deze paper introduceert IrisFP, een slimme manier om een "vingerafdruk" op zo'n AI-model te zetten die bijna onmogelijk te verwijderen is, maar wel heel makkelijk te herkennen is.

Hier is hoe het werkt, vertaald naar alledaagse taal:

1. Het Probleem: De "Muren" van de AI

Stel je een AI-model voor als een groot huis met veel kamers. Elke kamer staat voor een categorie (bijvoorbeeld: "hond", "kat", "auto"). Tussen deze kamers lopen muren (in het vakjargon: beslissingsgrenzen).

De oude methode: Vorige methoden om een vingerafdruk te maken, plaatsten een "proefje" (een vingerafdruk) vlak tegen één muur aan.
- Het nadeel: Als de dief de muur een beetje verschuift (door het model aan te passen), valt het proefje ineens in de verkeerde kamer. De vingerafdruk is dan weg.
- Of: Ze plaatsten het proefje diep in het midden van de kamer. Dan is het veilig tegen muurverschuivingen, maar het is niet uniek genoeg. Veel andere modellen hebben ook een kamer daar, dus je kunt ze niet goed van elkaar onderscheiden.

2. De Oplossing: IrisFP (De "Hoek" van het Huis)

IrisFP doet iets heel slim: in plaats van tegen één muur te staan, plaatst het de vingerafdruk precies in de hoek waar alle muren samenkomen.

De Analogie: Stel je voor dat je in een hoek van een kamer staat waar de muren van de kamer "hond", "kat" en "auto" elkaar raken.
- Als je daar staat, is het voor het originele model heel duidelijk wat je moet doen (het blijft in die hoek staan).
- Maar als de dief de muren een beetje verschuift (het model aanpast), blijf jij toch in de buurt van die hoek staan. Je bent veilig!
- Tegelijkertijd is die hoek zo specifiek dat alleen jouw model precies weet hoe je daar moet reageren. Andere modellen (die onafhankelijk zijn getraind) zullen daar waarschijnlijk in de war raken of een andere keuze maken.

3. De "Samengestelde" Vingerafdruk (De Groep)

In plaats van één persoon als bewijs te gebruiken, maakt IrisFP een groepje mensen (een "composite-sample").

Hoe werkt het? Ze nemen één basisproefje (de "zaad") en maken er een paar kleine variaties van. Denk aan een groep vrienden die allemaal een beetje anders gekleed zijn, maar allemaal in die specifieke hoek van het huis staan.
Waarom? Als de dief het model aanpast, reageert het originele model op alle vrienden in de groep op een specifieke, unieke manier. Een gestolen model dat niet van jou is, zal waarschijnlijk op sommige vrienden wel goed reageren, maar op anderen niet. Het patroon is niet consistent.
Het resultaat: Door naar het gedrag van de hele groep te kijken, is het bewijs veel sterker. Het is alsof je niet naar één vingerafdruk kijkt, maar naar een hele hand met vijf vingers die samen een uniek patroon vormen.

4. De "Kwaliteitscontrole" (De Filter)

Niet elke vingerafdruk is even goed. Soms is een groepje vrienden niet uniek genoeg.

IrisFP heeft een slimme filter: het test de vingerafdrukken tegen een set van "gestolen" modellen en een set van "onafhankelijke" modellen.
Alleen de vingerafdrukken die heel duidelijk onderscheid maken tussen "Jouw model" en "Iets anders" worden bewaard.
Elk bewaard proefje krijgt zelfs zijn eigen "drempelwaarde" (een soort paspoortcontrole). Sommige proefjes zijn zo uniek dat ze een strengere controle nodig hebben dan andere.

Samenvatting in één zin

IrisFP is als het plaatsen van een onzichtbare, onuitwisbare sticker op de exacte hoek waar alle muren van je AI-model samenkomen, en het gebruiken van een heel team van kleine variaties om te bewijzen: "Dit is mijn huis, en niemand anders kan dit patroon namaken, zelfs niet als ze de muren een beetje verplaatsen."

Waarom is dit belangrijk?
Het lost het grootste probleem op: dat je eerder moest kiezen tussen een vingerafdruk die sterk was (maar niet uniek) of een die uniek was (maar makkelijk te verwijderen). IrisFP heeft beide: het is extreem moeilijk te verwijderen (robuust) én heel makkelijk om te bewijzen dat het van jou is (uniek).

Probleemstelling

Diepe neurale netwerken (DNN's) zijn kwetsbaar voor intellectuele eigendomsrechten (IP) schendingen, waarbij kwaadwillenden modellen kopiëren of stelen. Om dit te bestrijden, wordt model fingerprinting gebruikt: het genereren van unieke input-output paren (vingerafdrukken) die specifiek zijn voor een beschermd model.

Bestaande methoden, die vaak gebaseerd zijn op adversarial examples, kampen met een fundamenteel dilemma:

Uniekheid vs. Robuustheid: Methoden die vingerafdrukken dicht bij één enkele besluitgrens (decision boundary) plaatsen, zijn uniek maar kwetsbaar voor modelwijzigingen (zoals fine-tuning of pruning). Methoden die vingerafdrukken diep in de klasse-regio plaatsen, zijn robuuster tegen wijzigingen maar verliezen hun uniekheid omdat ze minder gevoelig zijn voor de specifieke besluitgrenzen van het model.
Aanvallen: Aanvallers kunnen de besluitgrenzen van een model verschuiven door het model aan te passen, waardoor bestaande vingerafdrukken ongeldig worden en de eigendomsverificatie wordt omzeild.

De kernvraag is: Is het mogelijk om een methode te ontwerpen die zowel de uniekheid als de robuustheid van vingerafdrukken maximaliseert?

Methodologie: IrisFP

De auteurs stellen IrisFP voor, een nieuw raamwerk voor vingerafdrukken dat gebruikmaakt van meerdere besluitgrenzen, multi-sample gedrag en kwaliteitsbeoordeling. Het proces verloopt in drie fasen voor het genereren van vingerafdrukken, gevolgd door een verificatiestap.

1. Fase I: Initialisatie van Vingerafdrukzaden (Fingerprint Seeds)

In tegenstelling tot traditionele methoden die een steekproef naar één specifieke besluitgrens duwen, positioneert IrisFP de vingerafdrukzaden dicht bij de snijpunten van alle besluitgrenzen (multi-class decision boundaries).

Doel: Dit creëert een grote voorspellingsmarge (prediction margin) zonder het steekproef diep in een doelklasse te plaatsen.
Mechanisme: Er wordt een vertekende kansverdeling gedefinieerd waarbij het doel een hoge waarschijnlijkheid heeft, maar de resterende kansen bijna gelijkmatig over de andere klassen worden verdeeld. Dit wordt geoptimaliseerd via Kullback-Leibler (KL) divergentie.
Resultaat: Het model reageert met hoge zekerheid op de doelklasse, maar de verdeling van de andere klassen is uniek voor dit specifieke model, wat zowel uniekheid als robuustheid ten goede komt.

2. Fase II: Generatie van Composite-Sample Vingerafdrukken

Om de uniekheid verder te verhogen, wordt elke vingerafdrukzaad uitgebreid tot een composite-sample vingerafdruk.

Methode: Elke zaad wordt onderworpen aan subtiele, diverse perturbaties om meerdere varianten te genereren.
Gedrag: Deze varianten zijn ontworpen om diverse, model-specifieke reacties op te wekken bij het beschermd model, terwijl onafhankelijk getrainde modellen (piraten) consistentie behouden of andere patronen vertonen.
Vorm: Een vingerafdruk bestaat nu uit een set van steekproeven (zaad + varianten) die collectief een gedragspatroon vormen.

3. Fase III: Verfijning van Vingerafdrukken

Niet alle gegenereerde vingerafdrukken zijn even effectief. IrisFP gebruikt een statistische selectiestrategie:

Referentie Sets: Er worden twee sets modellen gebruikt: een set van "gepirateerde" modellen (gemodificeerd via fine-tuning, pruning, etc.) en een set van "onafhankelijk getrainde" modellen.
Selectie: De Cohen's d effect size wordt berekend om de scheiding tussen de matchingscores van piraten en onafhankelijke modellen te kwantificeren. Alleen de vingerafdrukken met de hoogste scheiding (hoogste discriminatiekracht) worden geselecteerd.
Drempelwaarden: In plaats van één globale drempel, wordt voor elke geselecteerde vingerafdruk een specifieke drempelwaarde berekend op basis van de statistieken van de referentie-sets. Dit past de verificatiecriteria aan aan de kwaliteit van de individuele vingerafdruk.

Verificatieproces

Bij het controleren van een verdacht model ( $f_t$ ):

Matching: Voor elke composite-sample vingerafdruk wordt de matchingscore berekend en vergeleken met de specifieke drempel.
Aggregatie: De resultaten van alle vingerafdrukken worden geaggregeerd tot een totale verificatiescore. Als deze score een vooraf bepaalde drempel overschrijdt, wordt het model als gestolen beschouwd.

Kernbijdragen

Multi-Boundary Strategie: Het positioneren van vingerafdrukken bij de snijpunten van meerdere besluitgrenzen in plaats van bij één enkele grens. Dit verhoogt de voorspellingsmarge (robustheid) zonder de uniekheid te verliezen.
Composite-Sample Vingerafdrukken: Het gebruik van sets van steekproeven die collectieve gedragspatronen exploiteren, wat de discriminatiekracht ten opzichte van onafhankelijke modellen versterkt.
Statistische Verfijning: Een innovatieve strategie die vingerafdrukken selecteert op basis van hun statistische scheiding tussen piraten en onafhankelijke modellen, en per vingerafdruk een geoptimaliseerde drempelwaarde toekent.

Resultaten

De auteurs hebben IrisFP getest op vijf datasets (CIFAR-10, CIFAR-100, Fashion-MNIST, MNIST, Tiny-ImageNet) met verschillende modelarchitecturen (ResNet-18, MobileNet-V2, ViT-B/16) en vergeleken met state-of-the-art methoden (IPGuard, UAP, ADV-TRA, AKH).

Algemene Prestatie: IrisFP behaalde consistent de hoogste AUC (Area Under the Curve) scores, vaak met significante verbeteringen (bijv. +13,7% op CIFAR-100 ten opzichte van de beste baseline).
Uniekheid en Robuustheid: In tegenstelling tot bestaande methoden die vaak moeten kiezen tussen uniekheid of robuustheid, presteerde IrisFP uitstekend op beide fronten. Het behaalde hoge True Negative Rates (TNR) en hoge True Positive Rates (TPR) onder variërende foutpercentages.
Resistentie tegen Aanvallen: IrisFP bleek zeer robuust tegen zes soorten modelwijzigingsaanvallen, waaronder fine-tuning, pruning, knowledge distillation, adversarial training, en gecombineerde aanvallen (prune-then-tune, noise injection). Zelfs na zware aanpassingen bleef de AUC hoog.
Ablatie Studies: Experimenten bevestigden dat elke component (zaadinitialisatie, composite samples, selectie, en specifieke drempels) essentieel is voor de uiteindelijke prestaties.

Betekenis

IrisFP lost een langdurig probleem op in het domein van model-eigendomsbescherming: het compromis tussen uniekheid en robuustheid. Door slim gebruik te maken van de geometrie van besluitgrenzen en statistische validatie, biedt het een betrouwbare oplossing voor het aantonen van eigendom van diepe neurale netwerken, zelfs als deze zijn aangepast of "gepoetst" door aanvallers. Dit is cruciaal voor de bescherming van IP in de AI-industrie en voor het handhaven van de integriteit van modelmarktplaatsen.