COPYCOP: Ownership Verification for Graph Neural Networks
本文介绍了 CopyCop，这是一种具有理论保证的鲁棒算法，通过检测两个具有不同架构、权重或嵌入维度的模型是独立训练还是其中一个为对抗性复制品，来验证图神经网络的归属权，其在 14 个数据集上的表现优于现有的水印和指纹方法。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象你是一位主厨，研发了一款秘密的招牌酱汁。你以服务的形式向餐厅出售这款酱汁：他们向你发送一份配料清单（一个图），你则回传一个独特的风味轮廓（一个嵌入向量），供他们用来制作自己的菜肴。
问题出在哪里？一个狡猾的竞争对手可能会试图窃取你的食谱。他们无需闯入你的厨房；只需订购一千份你的酱汁样品，品尝它们，然后尝试烹制出味道完全一样的版本。为了更难被抓获，他们可能会改变酱汁的颜色、换用不同的碗盛放，甚至稍微稀释它，指望你察觉不出这是复制品。
这就是COPYCOP所解决的问题。它是一种全新的“法医工具”，旨在揪出这些模仿主厨（或在科技界称为“代理”AI 模型），即使他们试图掩饰其盗窃行为。
以下是其工作原理，分解为简单概念：
1. 旧方法行不通
此前，人们尝试通过两种方式抓捕窃贼，但两者都存在缺陷：
- “水印”方法：主厨在酱汁中秘密加入一小撮肉眼不可见的闪粉。如果竞争对手的酱汁含有闪粉，他们就会被抓获。
- 缺陷：窃贼只需订购酱汁、品尝并复刻其风味，而完全忽略那撮秘密闪粉。他们根本无视那个秘密斑点。
- “指纹”方法：主厨将受害酱汁的质地与嫌疑酱汁的质地进行比较。
- 缺陷：如果窃贼将酱汁倒入不同形状的碗中或改变温度，即使味道相同，质地看起来也会不同。旧工具无法区分真实变化与伪装。
2. COPYCOP 的解决方案：寻找“静止点”
COPYCOP 采取了一种截然不同的方法。它不看酱汁本身（输出），而是观察当你戳它时，酱汁如何反应。
想象你有一团面团（AI 模型）。如果你朝一个方向轻轻推它，它可能会变形。但是，面团上有一些特定的位置，如果你推它们，什么都不会发生。面团不会移动。这些被称为“静止点”。
- 神奇洞察：论文证明，这些“静止点”就像食谱的 DNA。即使窃贼改变了碗、温度或酱汁的颜色（变换），这些“静止点”的位置仍保持完全一致。
- 测试过程：
- COPYCOP 要求受害主厨（原始模型）在其面团中找到这些“静止点”。
- 然后，它要求嫌疑主厨（待测模型）在其面团中找到“静止点”。
- 裁决：如果嫌疑人的“静止点”与受害者的完全匹配，则该嫌疑人是模仿者。如果这些点位于不同位置，则该嫌疑人很可能是一位独立主厨，只是碰巧偶然做出了味道相似的酱汁。
3. 为何它如此擅长抓捕窃贼
论文声称 COPYCOP 极其稳健，原因在于：
- 它无视伪装：无论窃贼旋转酱汁、放大它，还是改变碗的尺寸，“静止点”都保持原位。
- 它无需查看厨房：你无需看到窃贼的秘密食谱（权重或架构）。你只需看到他们锅中出来的东西。
- 即使他们试图隐藏也有效：窃贼无法轻易伪造这些点。要做到这一点，他们必须完美模仿受害者对每一次可能的“戳刺”的反应，这在数学上是不可能的，除非他们真的偷了食谱。
4. 结果
研究人员在 14 种不同类型的数据（如社交网络、分子和财务记录）以及 5 种不同类型的 AI 模型上测试了这款“法医工具”。
- 准确率：即使窃贼尝试旋转、缩放或扭曲其模型，它也能在几乎 100% 的情况下正确识别出模仿者。
- 对比：它彻底击败了旧的“水印”方法，后者在窃贼直接忽略秘密闪粉时就会失效。它也胜过旧的“指纹”方法，后者在遇到旋转等简单变化时就会混淆。
总结
将 COPYCOP 想象成一名侦探，他不看嫌疑人的衣服（可以更换）或声音（可以伪装）。相反，侦探要求嫌疑人站在地板上某个特定的、看不见的点上。如果无论他们如何着装，都站在与原始所有者完全相同的看不见的点上，那么他们就是抄袭的罪犯。如果他们站在其他地方，则是无辜的。
这种方法使 AI 模型的所有者能够证明其所有权并抓获窃贼，即使这些窃贼试图完全掩饰其被盗作品。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。