技术摘要：Neural Honeytrace

问题陈述

模型提取攻击（Model Extraction Attacks, MEAs）对机器学习即服务（MLaaS）提供商的知识产权构成了重大威胁。恶意攻击者可以通过使用精心设计的输入查询目标模型，从而重建目标模型的功能，这实际上是在无需访问其训练数据的情况下窃取了模型。虽然模型水印已成为一种主要的防御机制——允许所有者通过在被窃取的模型中激活可触发的水印来主张所有权——但现有方法面临着关键的局限性：

1. 缺乏灵活性： 大多数方法需要进行大规模的模型重训才能嵌入水印，这使得它们不适用于部署后场景或无法进行重训的模型。
2. 易受自适应攻击的影响： 现有的水印在面对采用恢复机制（如平滑处理、标签恢复）来绕过防御的自适应攻击者时，往往会失效。
3. 高查询开销： 当前的方法通常需要极大量的查询来进行统计学上的所有权验证，尤其是在攻击下水印成功率（WSR）较低时。

方法论：Neural Honeytrace

作者提出了 Neural Honeytrace，一个即插即用、无需训练的水印框架。该方法论基于对水印传输的信息论分析。

1. 理论基础

论文将水印重新定义为一个消息传输问题。

• 洞察 1（反向长尾效应）： 与依赖离散触发激活的传统后门不同，Neural Honeytrace 利用了后门学习的“反向长尾效应”。它在输入查询与水印之间的相似度与模型输出概率之间建立了一种平滑的概率关系。这使得水印可以在触发器从未显式存在于代理模型训练数据中的情况下，实现向代理模型的“转移”。
• 洞察 2（信道容量）： 作者将提取过程建模为一个通信信道。他们认为，现有方法在自适应攻击下之所以失败，是因为源速率（任务标签和水印所需的总信息量）超过了信道容量。在硬标签设置下，信道容量被任务标签完全消耗（$R_{label} = H(X)$），导致没有剩余空间用于额外的水印信息（$R_{wm}$），从而导致不可避免的传输错误。

2. 框架

Neural Honeytrace 在不修改原始模型训练的情况下运行，分为四个步骤：

1. 水印生成： 防御者维护一个复合分布内样本池（例如，拼接的良性图像）作为水印。
2. 特征提取与相似度计算： 收到查询后，目标模型提取特征。系统利用模型的最后一层特征计算查询与注册水印之间的相似度（$s$）。
3. 相似度嵌入（Logits 混合）： 系统通过将原始 Logits 与目标水印类的参考 Logits 进行插值，将相似度信息嵌入到输出 Logits 中。这是通过一个混合函数实现的：$l_{mix} = (1 - s^\alpha) \cdot l_{ori} + s^\alpha \cdot l_{ref}$。
4. 多步传输（标签翻转）： 为了克服信道容量限制，该框架采用了多步策略。基于计算出的相似度，构建一个概率引导的标签翻转矩阵。对于一组查询，标签会以依赖于相似度得分的概率被翻转为目标类别。通过将水印信息分布在大量样本的标签分布中，该方法有效地增加了信道容量（$C^* = N \cdot C$），以确保即使在自适应攻击下也能实现可靠传输。

核心贡献

1. 无需训练的框架： Neural Honeytrace 是第一个无需重训模型即可嵌入可触发水印的即插即用框架，实现了无缝的部署后应用和修改。
2. 信息论模型： 论文利用信息论建立了一个正式的水印传输模型，确定了信道容量瓶颈是自适应攻击场景下失效的根本原因。
3. 鲁棒的多步策略： 通过从单步触发激活转向基于特征相似度的多步概率标签翻转，该方法在保持模型效用的同时，实现了对自适应攻击（如 Smoothing, D-DAE, p-Bayes）的鲁棒性。

实验结果

作者在四个数据集（CIFAR-10, CIFAR-100, Caltech-256, CUB-200）上对 Neural Honeytrace 进行了评估，测试对象包括各种攻击策略，包括朴素攻击和自适应攻击（Smoothing, S4L, D-DAE, p-Bayes, Top-1）。

• 水印成功率 (WSR)： 在最坏情况下，Neural Honeytrace 的表现持续优于基准方法（DAWN, EWE, Composite, MEA-Defender）。例如，在 CUB-200 上，当 MEA-Defender 的最小 WSR 降至 4.00% 时，Neural Honeytrace 仍能保持 25.60% 的最小 WSR。
• 查询效率： 由于具有更高的 WSR，用于所有权验证（通过 t-检验）所需的查询次数大幅减少。在最坏情况下，Neural Honeytrace 仅需现有方法所需查询量的 2%（例如，在 Caltech-256 上，将 MEA-Defender 所需的约 193,000 次查询减少到 Neural Honeytrace 的约 1,857 次）。
• 模型效用： 该框架产生了零训练成本。在推理阶段，它引入了极小的计算开销，且随着数据复杂度的增加，该开销变得可以忽略不计。
• 鲁棒性： 该方法在无数据模型提取攻击下依然有效，并且对后门检测（BTI）和移除（CLP）技术具有抵抗力。

意义与主张

论文声称 Neural Honeytrace 为模型提取问题提供了一个灵活且鲁棒的解决方案。其主要意义在于：

• 部署后的可行性： 通过消除重训需求，它解决了当前水印方案固有的灵活性问题，使其适用于预训练模型和实时服务。
• 理论严谨性： 它超越了启发式防御，通过提供关于为何现有方法失效以及如何克服信道容量限制的信息论解释，提升了理论深度。
• 实际效率： 它显著降低了模型所有者主张所有权的门槛，即使面对复杂的自适应攻击者，也将验证成本从数十万次查询降低到了仅需数千次。

作者总结道，Neural Honeytrace 提供了一种“无缝”的防御机制，在平衡模型可用性的同时，提供了强大的、可验证的所有权保障，填补了先前技术在灵活性和鲁棒性方面的关键空白。