IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

Resumo Técnico: IrisFP

1. O Problema

A proteção da Propriedade Intelectual (PI) de Redes Neurais Profundas (DNNs) é um desafio crítico, especialmente contra ataques de extração de modelos e violações de direitos autorais. Uma abordagem promissora é o fingerprinting baseado em exemplos adversariais, onde o proprietário do modelo gera pares de entrada-saída (impressões digitais) que exibem comportamentos específicos do modelo protegido.

No entanto, as métodos existentes enfrentam um dilema fundamental entre unicidade e robustez:

• Unicidade: A capacidade de distinguir o modelo protegido de modelos treinados independentemente. Métodos que posicionam as impressões digitais muito longe das fronteiras de decisão (dentro das regiões de classe) tendem a ter baixa unicidade, pois são menos sensíveis às características específicas do modelo.
• Robustez: A capacidade de manter a validação da propriedade mesmo após ataques de modificação do modelo (como fine-tuning, poda, ou treinamento adversarial). Métodos que posicionam as impressões digitais muito próximas a uma única fronteira de decisão são altamente sensíveis a mudanças nessas fronteiras, tornando-se frágeis a ataques de modificação.

A literatura atual geralmente sacrifica um aspecto pelo outro, resultando em soluções que ou não são únicas o suficiente ou não são robustas o suficiente.

2. Metodologia: O Framework IrisFP

Os autores propõem o IrisFP, um novo framework que supera essa limitação através de três inovações principais: exploração de características de múltiplas fronteiras, comportamento de múltiplas amostras e avaliação da capacidade discriminativa.

O processo é dividido em duas etapas principais: Geração de Impressões Digitais e Verificação de Propriedade.

A. Geração de Impressões Digitais (Três Fases)

1. Inicialização de Sementes (Fase I):

   • Diferente dos métodos tradicionais que empurram amostras para uma única fronteira de decisão, o IrisFP posiciona as "sementes" de impressão digital perto da interseção de todas as fronteiras de decisão do modelo.
   • Mecanismo: Otimiza-se a perturbação adversarial para que a distribuição de probabilidade de saída do modelo seja enviesada ligeiramente para uma classe alvo, mas mantenha probabilidades significativas para as outras classes.
   • Benefício: Isso cria uma grande margem de previsão (gap de confiança entre as classes) sem colocar a amostra profundamente dentro de uma região de classe específica. Isso aumenta a robustez (resistência a deslocamentos de fronteira) sem sacrificar a unicidade (sensibilidade às fronteiras).

2. Geração de Impressões Digitais de Amostra Composta (Fase II):

   • Para aumentar a unicidade, cada semente é expandida em um conjunto de variantes (uma amostra composta).
   • Pequenas perturbações diversas são aplicadas à semente para gerar múltiplas variantes que elicitem respostas diversas do modelo protegido, mas que tendam a produzir previsões consistentes (e diferentes) em modelos independentes.
   • Isso explora padrões de comportamento coletivo, dificultando que um modelo pirata ou independente replique o padrão exato.

3. Refinamento e Seleção (Fase III):

   • Nem todas as impressões geradas são igualmente eficazes. O IrisFP utiliza uma estratégia de refinamento baseada em estatística:
     • Define dois conjuntos de referência: Modelos Piratas (derivados do modelo protegido via ataques) e Modelos Independentes (treinados do zero).
     • Calcula a taxa de correspondência (matching rate) de cada impressão digital em ambos os conjuntos.
     • Utiliza o tamanho do efeito de Cohen (Cohen's d) para quantificar a separabilidade estatística entre as distribuições de correspondência dos modelos piratas e independentes.
     • Seleciona as top-K impressões com maior poder discriminativo.
     • Atribui um limiar específico para cada impressão digital (baseado na média e desvio padrão das taxas de correspondência), em vez de usar um limiar global fixo.

B. Verificação de Propriedade

• O processo de verificação envolve duas etapas:
  1. Correspondência de Propriedade: Compara a taxa de correspondência de cada impressão digital composta no modelo suspeito com seu limiar específico.
  2. Agregação de Decisão: Agrega os resultados de todas as impressões digitais selecionadas. Se a proporção de correspondências exceder um limiar global predefinido, o modelo é classificado como pirata.

3. Contribuições Principais

1. Posicionamento Estratégico: Mudança do foco de uma única fronteira de decisão para a interseção de múltiplas fronteiras, aumentando a margem de previsão e a robustez simultaneamente.
2. Impressões Digitais Compostas: Introdução de um esquema de "amostra composta" que utiliza múltiplas variantes de uma semente para explorar padrões de comportamento coletivo, aumentando a unicidade.
3. Refinamento Estatístico: Desenvolvimento de um método de seleção baseado em métricas de separabilidade estatística (Cohen's d) e atribuição de limiares específicos por impressão, superando a rigidez de limiares globais.
4. Superioridade Empírica: Demonstração de que é possível alcançar alta unicidade e alta robustez simultaneamente, algo que os métodos anteriores não conseguiam.

4. Resultados Experimentais

Os autores avaliaram o IrisFP em cinco conjuntos de dados (CIFAR-10, CIFAR-100, Fashion-MNIST, MNIST, Tiny-ImageNet) e três arquiteturas (ResNet-18, MobileNet-V2, ViT-B/16), comparando com quatro métodos de ponta (IPGuard, UAP, ADV-TRA, AKH).

• Desempenho Geral (AUC): O IrisFP alcançou consistentemente as maiores Áreas sob a Curva ROC (AUC) em todos os cenários. Por exemplo, no CIFAR-100 com ResNet-18, alcançou um AUC de 0.916, superando o melhor baseline em 13,7%.
• Robustez a Ataques: O método foi testado contra seis tipos de ataques de modificação (Fine-tuning, Pruning, Knowledge Distillation, Adversarial Training, Prune-then-tune, Noise Injection). O IrisFP manteve alta performance (AUC > 0.9 em muitos casos) mesmo após ataques agressivos, enquanto outros métodos sofreram quedas drásticas.
• Unicidade e Robustez Simultâneas: Gráficos de TNR (Taxa de Verdadeiros Negativos) vs. FNR e TPR (Taxa de Verdadeiros Positivos) vs. FPR mostraram que o IrisFP é o único método que mantém altos valores em ambas as métricas, enquanto os baselines tendem a ter alta robustez com baixa unicidade, ou vice-versa.
• Análise de Ablação: Estudos mostraram que cada componente (sementes na interseção, amostras compostas, seleção estatística e limiares específicos) contribui significativamente para o desempenho final.

5. Significado e Impacto

O IrisFP representa um avanço significativo na proteção de PI de DNNs. Ao resolver o compromisso inerente entre unicidade e robustez, ele oferece uma solução prática e confiável para proprietários de modelos que precisam verificar a origem de modelos suspeitos em cenários de "caixa preta". A abordagem de usar a interseção de fronteiras e a seleção estatística inteligente pode inspirar futuras pesquisas em segurança de IA, movendo o foco de ataques adversariais simples para estratégias de verificação mais sofisticadas e resilientes.

O código e os dados experimentais sugerem que o método é escalável, funcionando bem tanto em modelos leves (MobileNet) quanto em arquiteturas complexas baseadas em Transformers (ViT), com um custo computacional aceitável para a geração de impressões digitais.