IrisFP: Adversarial-Example-based Model Fingerprinting with Enhanced Uniqueness and Robustness

1. 研究背景与问题 (Problem)

背景：
深度学习模型（DNN）的知识产权（IP）保护日益重要。基于对抗样本的模型指纹技术是一种非侵入式保护方法，通过生成具有模型特定行为的输入 - 输出对（指纹）来验证模型所有权。

核心痛点：
现有的基于对抗样本的指纹方法面临**唯一性（Uniqueness）与鲁棒性（Robustness）**之间的权衡困境：

• 唯一性不足： 许多方法（如 IPGuard, UAP）将指纹放置在单一决策边界附近。虽然这能捕捉模型特性，但容易受到模型修改攻击（如微调、剪枝）的影响，导致决策边界偏移，指纹失效。
• 鲁棒性不足： 为了增强鲁棒性，现有方法（如部分改进方案）倾向于将指纹放置在目标类别的深处（远离决策边界）。但这降低了指纹对模型特定边界的敏感度，导致无法有效区分独立训练的模型（唯一性下降）。
• 现状： 现有方法通常只能兼顾其中一项，或者两项表现均较弱，难以在模型遭受微调、剪枝、对抗训练等攻击后仍保持可靠的归属验证。

2. 核心方法论 (Methodology: IrisFP)

作者提出了 IrisFP，一种新颖的基于对抗样本的模型指纹框架。其核心思想是利用多边界特征、多样本行为和指纹判别力评估来生成复合样本指纹（Composite-sample Fingerprints）。

IrisFP 的生成过程分为三个阶段：

阶段一：指纹种子初始化 (Initializing Fingerprint Seeds)

• 策略： 不同于传统方法将指纹推向单一决策边界，IrisFP 将指纹种子定位在所有决策边界的交点附近。
• 原理： 位于多类决策边界交点附近的样本，模型对其预测的置信度分布较为均匀（除了目标类略高），这产生了较大的预测间隔（Prediction Margin）。
• 优势： 这种位置既保留了模型特定的输出行为（增强唯一性），又因为靠近所有边界，使得模型在遭受微调或剪枝导致边界移动时，样本仍能保持相对稳定的预测结果（增强鲁棒性）。
• 实现： 通过最小化模型输出分布与预定义的有偏分布（目标类概率略高，其余类均匀分布）之间的 KL 散度来优化扰动。

阶段二：生成复合样本指纹 (Generating Composite-sample Fingerprints)

• 策略： 对每个指纹种子施加微小且多样的扰动，生成多个变体，与种子共同组成一个复合样本指纹。
• 原理： 利用对抗扰动对决策边界的高度敏感性。受保护模型会对这些变体产生多样化的特定响应，而独立训练的模型（即使架构相似）由于决策边界不同，其响应通常不一致。
• 优势： 通过集体行为模式（Collective Behavior Patterns），进一步放大了受保护模型与独立模型之间的行为差异，显著提升了唯一性。

阶段三：指纹精炼 (Refining Fingerprints)

• 策略： 引入统计可分性指标来筛选高质量指纹，并为每个指纹分配特定的阈值。
• 步骤：
  1. 构建参考集： 包含“盗版模型集”（通过微调、蒸馏等攻击生成的变体）和“独立模型集”（从头训练的不同模型）。
  2. 计算匹配率： 统计指纹在两类模型上的匹配率。
  3. Cohen's d 效应量评估： 计算盗版模型与独立模型匹配率分布之间的标准化差异（Cohen's d）。选择效应量最大的 Top-K 个指纹。
  4. 指纹特定阈值： 根据每个指纹在两类模型上的匹配率均值和标准差，计算加权平均阈值，而非使用全局统一阈值。

所有权验证流程

1. 归属匹配： 查询目标模型，计算其复合样本指纹的匹配率，并与该指纹的特定阈值比较。
2. 决策聚合： 统计所有指纹的匹配结果比例。若超过预设阈值，则判定为盗版模型。

3. 主要贡献 (Key Contributions)

1. 多边界交点定位策略： 首次提出将指纹定位在多决策边界的交点附近，而非单一边界。这种方法在不牺牲唯一性的前提下，通过增加预测间隔显著提升了鲁棒性。
2. 复合样本指纹机制： 设计了由种子及其多个变体组成的复合指纹，利用多样本的集体行为模式，进一步增强了区分受保护模型与独立模型的能力。
3. 基于统计的指纹精炼与自适应阈值： 提出了一种利用统计可分性（Cohen's d）筛选指纹并分配指纹特定阈值的策略，解决了现有方法忽视模型修改和独立模型差异的问题。
4. 全面的实验验证： 在 CIFAR-10/100, Fashion-MNIST, MNIST, Tiny-ImageNet 等多个数据集上，针对 ResNet, MobileNet, ViT 等多种架构进行了验证，证明了 IrisFP 在唯一性和鲁棒性上均优于现有最先进（SOTA）方法。

4. 实验结果 (Results)

• 整体性能 (AUC)： 在五个数据集和三种模型架构上，IrisFP 的 AUC 值（曲线下面积） consistently 高于对比方法（IPGuard, UAP, ADV-TRA, AKH）。例如，在 CIFAR-100 上，ResNet-18 的 AUC 达到 0.916，比次优方法高出 13.7%。
• 唯一性 (Uniqueness)： 在不同假阴性率（FNR）下，IrisFP 表现出最高的真阴性率（TNR），意味着它能更准确地将独立训练的模型识别为非盗版。
• 鲁棒性 (Robustness)： 在六种模型修改攻击（微调 FT、剪枝 PR、知识蒸馏 KD、对抗训练 AT、先剪枝后微调 PFT、噪声注入后微调 NFT）下，IrisFP 保持了极高的真阳性率（TPR）。特别是在对抗训练（AT）和微调（FT）等强攻击下，其他方法性能大幅下降，而 IrisFP 依然保持高 AUC（如 Fashion-MNIST 上 AT 攻击下 AUC 为 0.816，远超其他方法）。
• 消融实验： 证明了指纹种子初始化、复合样本生成、指纹筛选和特定阈值这四个组件缺一不可，共同贡献了最终性能。

5. 意义与影响 (Significance)

• 解决了长期存在的权衡难题： IrisFP 成功打破了“唯一性”与“鲁棒性”难以兼得的魔咒，为深度学习模型的知识产权保护提供了一种更可靠的解决方案。
• 适应性强： 该方法不仅适用于传统的 CNN 架构（ResNet, MobileNet），也适用于较新的 Vision Transformer (ViT) 架构，且对不同类型的模型修改攻击具有广泛的防御能力。
• 实用价值： 实验表明，IrisFP 在计算开销上是可接受的（生成指纹约需 1 小时，视模型大小而定），且验证过程接近实时，适合实际部署。
• 理论贡献： 揭示了决策边界交点区域在模型指纹中的独特价值，为未来的模型取证和版权保护研究提供了新的视角。

总结： IrisFP 通过巧妙的几何位置选择（多边界交点）和统计优化策略（复合样本与自适应阈值），构建了一套兼具高唯一性和高鲁棒性的模型指纹系统，显著提升了深度学习模型在面临恶意篡改时的版权保护能力。