🤖 AI

FIT-Print: Towards False-claim-resistant Model Ownership Verification via Targeted Fingerprint

该论文介绍了 FIT-Print，这是一个针对性的模型指纹识别框架，它在保持对多种重用技术 100% 的所有权验证准确率的同时，有效地中和了虚假声明攻击，并消除了在独立模型上的误报。

原作者： Shuo Shao, Haozhe Zhu, Yiming Li, Hongwei Yao, Tianwei Zhang, Zhan Qin

发布于 2026-06-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Shuo Shao, Haozhe Zhu, Yiming Li, Hongwei Yao, Tianwei Zhang, Zhan Qin

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

大局观：数字“指纹”存在的问题

想象一下，你是一位厨师，花费多年时间研发出了一份秘密且美味的食谱（深度学习模型）。你决定向世界分享这份食谱，以便让其他人学习。然而，你担心有人会偷走你的食谱，稍作修改，然后将其作为自己的作品进行销售。

为了阻止这种情况，你需要一种方法来证明：“嘿，这道菜的味道和我的秘密食谱完全一样！”

在 AI 世界中，这种证明被称为模型指纹识别（Model Fingerprinting）。它就像是在你的食谱上留下一个独特的标记，以便你日后进行识别。

旧方法的缺陷：
该论文指出，目前的指纹识别方法就像是一场蒙面品尝测试。

现状是如何运作的： 你给品鉴者（验证者）一勺来自你食谱的随机汤汁，以及一勺来自嫌疑人食谱的随机汤汁。如果它们尝起来很像，你就假设嫌al偷了你的食谱。
漏洞在于： 一个聪明的窃贼可以烹饪出一勺“伪造”的汤，这勺汤恰好尝起来和你的随机汤汁一模一样，尽管他们的整锅汤其实完全不同。他们可以以此欺骗品鉴者，让品鉴者误以为他们偷了你的食谱，而实际上并没有。这被称为**“虚假索赔攻击”（False Claim Attack）**。

解决方案：FIT-Print（“定向”指纹）

作者引入了一个名为 FIT-Print 的新系统。它不再是蒙面品尝测试，而是使用一种定向签名（Targeted Signature）。

类比：秘密握手
想象一下，你不仅仅是问：“这汤的味道和我的一样吗？”相反，你会说：“这汤的味道是否完全符合我发明的一种特定的、复杂的风味模式？”

目标（The Target）： 你创建一个特定的“目标指纹”（就像一个秘密握手或一个特定的 Logo）。
优化（The Optimization）： 你不仅仅是随机挑选汤的样本。你会通过数学手段调整你的食材（测试样本），直到它们在你的锅中烹饪时，能产生那个完全一致的特定风味模式。
测试（The Test）： 当你检查嫌疑人的锅时，你会问：“你的汤是否能产生那套完全相同的特定风味模式？”

为什么这能阻止窃贼：

旧方法： 很容易找到一勺偶然尝起来像我食谱的汤。
新方法 (FIT-Print)： 一个窃贼想要烹饪出一份完全不同的食谱，却又恰好能产生你那套特定的、复杂的、预定义的风味模式，这是极其困难的。窃贼可以进行欺骗的“空间”被压缩到了几乎为零。

他们是如何实现的（两种方法）

论文提出了两种创建这种“定向签名”的具体方法：

FIT-ModelDiff（“逐位检测”侦探）：
- 该方法一次观察模型输出的一个微小部分（就像检查单词中的单个字母）。
- 它测量模型对正常图像与经过轻微修改后的图像反应之间的距离。
- 它强制这些反应去匹配一个特定的二进制代码（由 1 和 -1 组成的字符串），这个代码充当了你的签名。
FIT-LIME（“特征图”侦探）：
- 该方法同时观察整幅图像。
- 它使用了一种叫做 LIME 的技术（该技术可以高亮显示图像中哪些部分对决策最为重要）。
- 它创建一个“重要性热力图”，并强制这个热力图看起来与你的目标签名完全一致。

结果：效果如何？

作者针对许多不同的场景测试了他们的系统，包括：

复制（Copying）： 仅仅是复制代码。
微调（Fine-tuning）： 某人拿走了你的模型并对其进行了进一步训练。
剪枝（Pruning）： 某人删减了你模型的部分组件以使其体积变小。
提取（Extraction）： 某人试图通过向你的模型提问来重建你的模型。

评分卡：

防御虚假索赔： 当一名窃贼试图冒充并不拥有的模型的拥有者时，FIT-Print 100% 抓住了他们。误报率为 0%。
保护真实所有者： 当真实所有者检查自己的被盗或被重复使用的模型时，FIT-Print 100% 确认了其所有权。
抵御攻击： 即使当窃贼试图变得“聪明”并专门训练他们的模型来破坏指纹时，FIT-Print 依然表现稳健。

“仅标签”场景

论文还测试了一个更困难的情况，即验证者只能看到最终答案（例如，“这是一只狗”），而看不到内部的置信度分数。即使在这种受限的视角下，FIT-Print 仍然表现完美，能够精准区分真实所有者与虚假索赔者。

总结

该论文声称，旧的 AI 指纹识别方法过于宽松，容易被聪明的窃贼欺骗。FIT-Print 通过强制 AI 产生一个非常具体的、预定义的“签名”，而不是仅仅产生一个通用的相似性，从而解决了这个问题。这使得窃贼在数学上几乎不可能伪造一个并非其创造的模型的所有权，同时仍能让真实的所有者轻松证明自己的权利。

作者还展示了这在不同类型的模型（如文本生成器）和不同规模的模型上同样有效，证明了它是未来 AI 版权保护的一个灵活解决方案。

技术摘要：FIT-Print

问题陈述

本文针对现有模型指纹技术在保护开源深度学习模型知识产权（IPR）时存在的关键漏洞进行了研究。虽然模型指纹提供了一种无需修改模型参数即可验证所有权的非侵入式方法，但作者证明了现有方法在本质上容易受到**虚假索赔攻击（false claim attacks）**的影响。

在这些攻击中，恶意开发者可以欺诈性地声称对独立的第三方模型拥有所有权。作者指出，这种脆弱性源于现有指纹技术的非针对性（untargeted nature）。现有的方法（无论是位级还是列表级）通常基于任意测试样本的输出进行模型相似度评估。这种非针对性的方法创造了一个巨大的“指纹空间”，使得攻击者能够构建“可迁移”的样本（具体而言，是产生高置信度正确分类的“易分类”样本），从而在不同的独立模型之间产生相似的输出。因此，独立的模型可能会被误判为源模型的重用版本，从而导致误报和欺诈性的所有权声明。

方法论：FIT-Print

为了缓解这一漏洞，作者提出了 FIT-Print（具有虚假索赔抗性的针对性模型指纹技术），这是一种新的范式，将所有权验证从被动的特征提取转向主动的签名对齐（active signature alignment）。

核心洞察

FIT-Print 不再比较任意输出，而是通过优化测试样本，使其输出与一个特定的、预定义的靶向指纹（例如，特定的二进制向量或图像模式）相匹配，从而限制指纹空间。这种针对性的方法显著降低了攻击者找到能够满足独立模型验证标准的“可迁移”样本的概率。

框架流水线

FIT-Print 框架分为两个阶段运行：

测试样本提取： 模型开发者通过优化初始测试图像上的扰动，确保映射函数 $f(\cdot)$ 在源模型 $M_o$ 上的输出与预定义的靶向指纹 $F$ 紧密对齐。这被表述为一个优化问题，旨在最小化生成的指纹向量与目标之间的距离，同时对扰动幅度进行正则化。为了增强可传递性（conferrability）（即指纹向重用模型迁移的能力），在生成样本的过程中，优化过程利用了一组“增强模型”（通过微调、剪枝等方式创建）。
所有权验证： 在验证可疑模型 $M_s$ 时，系统使用优化后的测试样本提取指纹，并将其与注册的靶向指纹 $F$ 进行比较。如果提取的指纹与 $F$ 之间的比特错误率（BER）低于计算出的阈值 $\tau$ ，则验证成功。

提出的方法

基于 FIT-Print 范式，作者开发了两种黑盒方法：

FIT-ModelDiff（位级）： 该方法逐位提取指纹。它利用决策距离向量（DDV），该向量衡量扰动样本与其良性对应物之间的余弦相似度。距离相对于偏置参数的正负号决定了指型的比特位。
FIT-LIME（列表级）： 该方法将指纹作为一个完整的列表进行提取。它利用 LIME（局部可解释模型无关解释）来生成特征归因分数。该方法通过计算模型在掩码样本上的输出熵来得出重要性得分向量，该向量即作为指纹。

核心贡献

漏洞分析： 本文正式揭示了现有模型指纹技术由于其非针对性特征，容易受到虚假索赔攻击的影响，并证明了攻击者可以构建可迁移样本来虚假声称对独立模型的所有权。
新范式： 引入了 FIT-Print，这是一种针对性的指纹技术范式，通过使用特定的参考签名来限制指纹空间并对抗虚假索赔。
算法设计： 设计了两种具体的黑盒方法，即 FIT-ModelDiff 和 FIT-LIME，分别代表位级和列表级方法。
全面评估： 作者在基准数据集（Flowers102, SDogs120）和模型（MobileNetV2, ResNet18, ViT 等）上进行了广泛实验，以验证其有效性、可传递性和抗攻击性。

实验结果

评估表明，FIT-Print 的性能优于现有的最先进方法（包括 IPGuard, MetaV, ModelDiff, Zest, SAC, 和 ModelGiF）：

防御成功率： FIT-Print 在应对虚假索赔攻击时实现了 100% 的防御成功率，有效地中和了恶意开发者虚假声称所有权的企图。
消除误报： 该方法在独立模型上的误报率为 0.0%，意味着没有独立的模型被误识别为重用模型。
所有权验证： 在各种模型重用技术（包括复制、微调、剪枝、模型提取和迁移学习）下，FIT-Print 保持了 100% 的所有权验证率。
鲁棒性： 该框架在面对自适应攻击（包括试图覆盖指纹的“覆盖攻击”和试图移除指纹的“遗忘攻击”）时依然有效，即使攻击者掌握了部分目标指纹的信息。
泛化能力： 研究表明，该方法在不同模型架构（CNN、Transformer）和数据格式（图像、文本生成模型如 GPT-2 和 BERT）上均表现出色。

重要性与主张

本文声称 FIT-Print 通过解决非针对性验证这一根本缺陷，为模型指纹技术提供了全新的视角。通过将指纹转化为可验证的针对性签名，该框架为保护开源生态系统中的模型知识产权提供了一种稳健的机制。

作者强调，该方法在实际部署中具有实用性，因为它不需要修改模型的参数或结构（黑盒设置）。他们也承认了潜在的局限性，例如目前缺乏成熟的第三方指纹注册法律规定，以及为深度神经网络提供形式化鲁棒性证明的难度。然而，他们认为，建立受信任的注册机构（如知识产权局或 AI 监管机构）是此类验证系统广泛应用前的必然趋势。最终，FIT-Print 旨在通过消除虚假所有权索赔的风险，促进更安全、更可靠的模型共享与交易。