🤖 AI

Fingerprinting Deep Neural Networks for Ownership Protection: An Analytical Approach

该论文提出了名为 AnaFP 的分析性指纹方案，通过理论推导确定指纹到决策边界的距离范围，并利用代理模型池与量化松弛策略解决循环依赖问题，从而在保障鲁棒性与唯一性的同时实现了优于现有方法的深度学习模型所有权保护。

原作者： Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

发布于 2026-03-24

📖 1 分钟阅读☕ 轻松阅读

原作者： Guang Yang, Ziye Geng, Yihang Chen, Changqing Luo

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种名为 AnaFP 的新方法，用来给深度学习模型（比如人脸识别、自动驾驶的 AI）“按手印”，以证明模型的所有权，防止被偷窃或盗版。

为了让你更容易理解，我们可以把整个过程想象成**“给名画鉴定真伪”**的故事。

1. 背景：AI 模型被盗的危机

想象一下，你是一位天才画家（模型所有者），你画了一幅绝世名画（训练好的 AI 模型）。

坏人（攻击者） 偷偷把这幅画拍下来，或者用某种手段复制了一份。
为了不被发现，坏人会对复制品进行“整容”：比如稍微改改笔触（微调 Fine-tuning）、剪掉一些不重要的线条（剪枝 Pruning），或者用另一幅画教它（知识蒸馏 KD）。
整容后的画看起来和真迹很像，功能也没变，但坏人想把它当成自己的作品卖钱。

传统的“水印”方法就像是在画里藏一个肉眼看不见的记号，但这很容易破坏画本身，或者被坏人擦掉。而指纹技术则是利用画本身独特的“笔触风格”来证明身份，不破坏画作。

2. 核心难题：指纹该画在哪里？

以前的方法（基于对抗样本的指纹）是这样做的：
画家发现，如果给画里的某个局部加一点点极小的干扰（比如把天空的一抹蓝稍微改一点点），真画会立刻识别出“这是天空”，而假画（独立训练的模型）可能会看走眼，识别成“这是草地”。这种**“真画能认出来，假画认不出来”**的差异，就是指纹。

但是，这里有个两难的困境（就像走钢丝）：

为了“独特性”（Uniqueness）： 指纹必须画得离决策边界非常近。只有靠得够近，假画才会因为一点点误差而认错。如果离得太远，假画也能认对，那就分不清真假了。
为了“鲁棒性”（Robustness）： 指纹必须画得离决策边界足够远。因为坏人会“整容”（修改模型），如果指纹画在边界线上，坏人稍微改一下模型，指纹就失效了（真画也认不出来了）。

以前的做法： 大家只能靠“猜”或者“试错”（经验主义），随便选个距离。这就像蒙着眼睛走钢丝，要么掉下去（被坏人破解），要么太远了没效果（误判）。

3. 我们的方案：AnaFP（理论指导的“量尺”）

这篇论文提出了 AnaFP，它不再靠猜，而是像拿着精密的数学尺子来画指纹。

第一步：选“锚点”（选画布）

先找一些画得特别清晰、画家非常有把握的样本（高置信度样本），作为画指纹的“锚点”。

第二步：找“临界点”（找边界）

计算出一个最小的干扰，刚好能让真画改变判断（比如从“猫”变成“狗”）。这个点就在决策边界上。

第三步：计算“拉伸距离”（核心创新）

这是最关键的一步。AnaFP 引入了一个**“拉伸因子”（Stretch Factor, $\tau$ ）**。

它用数学公式算出了两个界限：
- 下限（ $\tau_{lower}$ ）： 为了防住坏人的“整容”，指纹至少要拉多远？（太近就不安全了）。
- 上限（ $\tau_{upper}$ ）： 为了不让假画也认出来，指纹最多能拉多远？（太远了假画也能认对，就没用了）。
数学魔法： 论文证明了，只要把指纹画在这个**“安全区间”**内，就能同时满足“既防得住坏人，又骗不了假画”。

第四步：解决“死循环”（网格搜索）

这里有个小麻烦：计算“下限”需要知道指纹画在哪，但指纹画在哪又取决于“下限”。这就变成了“先有鸡还是先有蛋”的问题。

解决办法： 作者用了一个**“网格搜索”**策略。就像在安全区间里撒下一把网，一个个试，找出那个最完美、最稳妥的拉伸距离。

4. 实际操作的“小聪明”

理论上，我们要考虑所有可能的“假画”和“整容后的画”，这有无穷多种，算不过来。

替代法（Surrogate Pools）： 作者找了一小群“替身模型”（比如 6 个整容版，6 个独立训练版）来代表所有可能的情况。
放松策略（Quantile-based）： 为了不让计算太保守（导致算不出任何指纹），他们用了统计学上的“分位数”方法。比如，不要求防住 100% 的极端情况，只要防住 90% 的常见情况就行，这样更灵活，更容易找到指纹。

5. 结果：真的好用吗？

作者做了大量实验，把 AnaFP 和以前的 6 种方法对比。

结果： 无论模型是 CNN（像看图片的）、MLP（像处理数字的）还是 GNN（像处理社交网络的），AnaFP 都能稳稳地把真画和假画区分开。
抗打击能力： 即使坏人用了剪枝、微调、知识蒸馏等强力“整容”手段，AnaFP 依然能识破。
比喻： 以前的方法像是在暴风雨中点蜡烛，风一吹就灭；AnaFP 像是给蜡烛加了防风罩，还能精准地照亮真伪。

总结

这篇论文的核心贡献就是把“画指纹”这件事，从“凭感觉猜”变成了“按公式算”。它通过数学推导，精确地告诉我们在哪里画指纹既能防住小偷，又不会误伤好人。这就像给 AI 模型发了一张**“带数学密码的身份证”**，让盗版者无处遁形。

这是一篇发表于 ICLR 2026 的会议论文，题为《FINGERPRINTING DEEP NEURAL NETWORKS FOR OWNERSHIP PROTECTION: AN ANALYTICAL APPROACH》（基于分析方法的深度神经网络指纹提取以保护所有权）。

以下是对该论文的详细技术总结：

1. 研究背景与问题 (Problem)

背景：深度神经网络（DNN）面临严重的模型盗版威胁。攻击者窃取模型后，通过微调（Fine-tuning）、剪枝（Pruning）、知识蒸馏（KD）等性能保持型模型修改攻击来改变决策边界，从而逃避检测，并将盗版模型作为黑盒服务分发。
现有方案局限：基于对抗样本的指纹提取方法利用模型决策边界的独特性来生成指纹。然而，这类方法面临一个核心未解难题：指纹应该距离决策边界多远？
- 唯一性（Uniqueness）：要求指纹靠近决策边界，以便独立训练的模型无法正确预测。
- 鲁棒性（Robustness）：要求指纹远离决策边界，以抵御模型修改带来的边界偏移。
现有问题：之前的工作缺乏理论指导，仅依赖经验启发式策略（Empirical Heuristics）来确定指纹与边界的距离，这往往导致无法同时满足鲁棒性和唯一性，或者在两者之间做出不当的权衡。

2. 核心方法：AnaFP (Methodology)

作者提出了 AnaFP（Analytical adversarial-example-based FingerPrinting），一种在理论指导下构建指纹的分析性方案。其核心思想是将指纹生成任务转化为控制指纹与决策边界距离的问题，通过一个可调节的**拉伸因子（Stretch Factor, $\tau$ ）**来实现。

AnaFP 的指纹生成流程包含四个主要步骤：

选择高置信度锚点 (Selecting High-Confidence Anchors)：
- 从训练集中选择模型预测置信度高的样本作为“锚点”（Anchors）。
- 利用对数几率边界（Logit Margin）作为筛选标准，确保这些样本被独立训练的模型也能高概率正确分类，从而增强指纹的唯一性基础。
计算最小决策改变扰动 (Computing Minimal Decision-Altering Perturbations)：
- 对每个锚点，计算使其预测标签发生改变的最小扰动 $\delta^*$ （使用 C&W $\ell_2$ 攻击）。
- 得到边界点 $q = x_a + \delta^*$ ，该点位于受保护模型的决策边界上。
在理论约束下搜索拉伸因子 (Searching Stretch Factors under Theoretical Constraints)：
- 理论推导：作者数学化地定义了鲁棒性和唯一性约束，推导出了拉伸因子 $\tau$ $τ$ 的下界（ $\tau_{lower}$ $τ_{l o w er}$ ，由鲁棒性决定）和上界（ $\tau_{upper}$ $τ_{u pp er}$ ，由唯一性决定）。
  - $\tau_{lower}$ 确保在模型修改攻击下，指纹仍能被正确分类。
  - $\tau_{upper}$ 确保独立训练的模型无法正确分类指纹。
- 参数估计与松弛：由于无法遍历所有可能的盗版模型和独立模型（理论上是无限集），作者使用代理模型池（Surrogate Model Pools）来近似。为了平衡理论严谨性与实际可行性，采用基于分位数的松弛策略（Quantile-based Relaxation），避免使用最保守的极值导致无解。
- 网格搜索（Grid Search）：由于下界 $\tau_{lower}$ 依赖于 $\tau$ 本身（存在循环依赖），作者定义了一个可行区间，并通过网格搜索策略寻找最优的 $\tau^*$ ，该值在满足约束的同时最大化对参数估计误差的容忍度。
构建指纹集 (Constructing the Fingerprint Set)：
- 将找到的最优拉伸因子 $\tau^*$ 应用于扰动，生成最终指纹 $x^* = x_a + \tau^* \delta^*$ ，并记录受保护模型对该指纹的预测标签。

验证协议：
模型所有者使用生成的指纹集查询嫌疑模型。如果嫌疑模型对指纹的预测标签与受保护模型一致的比例（匹配率）超过阈值，则判定为盗版。

3. 主要贡献 (Key Contributions)

理论框架：首次从理论上形式化了基于对抗样本的指纹提取中的鲁棒性与唯一性约束，推导出了拉伸因子的理论上下界，建立了指纹距离与这两个属性之间的数学联系。
AnaFP 算法：提出了一种无需经验试错的解析指纹生成方案。通过代理模型池近似和分位数松弛策略，解决了理论约束在实际应用中的计算难题。
解决循环依赖：针对下界与拉伸因子的循环依赖问题，设计了高效的网格搜索策略来确定最优解。
广泛的实验验证：在多种架构（CNN, MLP, GNN）和多种数据集（CIFAR-10/100, MNIST, PROTEINS）上进行了验证，证明了其优越性。

4. 实验结果 (Results)

整体性能：在 AUC（ROC 曲线下面积）指标上，AnaFP 在所有测试场景（不同模型架构、不同数据集）中均显著优于现有的六种基线方法（如 UAP, IPGuard, MarginFinger, AKH 等）。例如，在 CIFAR-10 上 AUC 达到 0.957，而次优方法仅为 0.878。
抗攻击能力：
- 在**剪枝（Pruning）**攻击下，所有方法表现均好。
- 在微调（Fine-tuning）、对抗训练（AT）、N-finetune、P-finetune等攻击下，AnaFP 保持了极高的 AUC（>0.97），远超基线。
- 在最具挑战性的**知识蒸馏（KD）和剪枝+KD（Prune-KD）**攻击下，AnaFP 依然保持领先（AUC 分别为 0.756 和 0.689），尽管这些攻击极大地改变了模型内部结构，但 AnaFP 仍能有效区分。
敏感性分析：
- 代理模型池：仅需少量（6 个）且多样性适中的代理模型即可达到稳定性能，证明了方法的鲁棒性。
- 分位数阈值：只要阈值设置适中（如 0.5/0.5），即可生成大量有效指纹并达到高 AUC，无需精细调参。
效率：虽然 AnaFP 在内存占用上较高（主要源于并行处理大量锚点的对抗优化），但在单张 A100 GPU 上可运行，且总运行时间在可接受范围内（相比 UAP 等耗时极长的方法，AnaFP 在 CIFAR-10 上仅需约 33 分钟，而 UAP 需近 5 小时）。

5. 意义与影响 (Significance)

理论突破：填补了基于对抗样本的指纹提取领域缺乏理论指导的空白，将“距离决策边界多远”这一模糊的经验问题转化为可计算的数学约束问题。
实际应用价值：提供了一种非侵入式、高鲁棒性的模型所有权保护方案，特别适用于防御复杂的模型修改攻击（如知识蒸馏），为 AI 模型的知识产权保护提供了可靠的工具。
通用性：该方法不仅适用于传统的图像分类（CNN），还成功扩展到了图神经网络（GNN）等非欧几里得数据结构的模型，展示了良好的泛化能力。

总结：AnaFP 通过严谨的数学推导和巧妙的工程策略（代理池、分位数松弛、网格搜索），成功解决了模型指纹提取中鲁棒性与唯一性的权衡难题，是目前该领域性能最强、理论依据最充分的方案之一。