深度人脸识别中的模型盗用检测与保护：基于样本相关性的创新研究

背景与研究问题

近年来，深度学习技术的飞速发展显著推动了人脸识别领域的进步。然而，与此同时，商用的人脸识别模型正面临日益严峻的知识产权威胁——模型盗用攻击。模型盗用攻击允许攻击者通过对模型的黑盒或白盒访问，复制出功能等效的模型，从而规避模型所有者的检测。这种攻击不仅侵犯了模型所有者的知识产权，还可能危及商业利益和隐私安全。

为了应对这一挑战，模型指纹识别成为一种重要的盗用检测手段。传统方法主要依赖可迁移的对抗样本来生成模型指纹，但这些方法在面对对抗训练和迁移学习时表现出脆弱性。针对这一局限性，本文提出了一种基于样本相关性（Sample Correlation，SAC）的新型模型指纹识别方法，旨在提升模型盗用检测的鲁棒性和效率。

研究来源

本研究由中国科学院自动化研究所与中国科学院大学人工智能学院的研究人员共同完成，作者包括Jiyang Guan、Jian Liang、Yanbo Wang以及Ran He。论文发表在International Journal of Computer Vision，并由Springer独家发表。

研究方法

总体研究框架

本文提出的SAC方法基于样本输出的成对相关性，而非单点输出差异，旨在捕捉源模型与可疑模型之间更细微的特征关系。具体而言，研究提出了JPEG压缩增强样本（SAC-JC）的方法，通过数据增强放大模型间的差异。此外，为解决人脸验证任务中无法获取标签输出的问题，研究引入了一种特征生成方法（Feature from Reference Images，FRI）。

实验设计与流程

1. 数据处理与增强
   使用JPEG压缩方法对输入样本进行增强，以减少模型间的共同知识影响并放大模型输出的差异。

2. 相关性矩阵的计算
   通过余弦相似度或高斯核函数计算样本输出之间的成对相关性，生成特定于模型的相关性矩阵。

3. 指纹识别指标
   通过计算源模型和可疑模型的相关性矩阵之间的L1距离，识别潜在的盗用模型。

4. 特征生成方法（FRI）
   在人脸验证任务中，利用若干参考图像生成目标图像的特定特征，从而替代标签输出计算相关性。

主要实验内容

研究在多个数据集和任务上验证了SAC-JC的有效性，包括人脸验证、人脸情感识别，以及CIFAR-10和Tiny-ImageNet等目标分类任务。此外，实验还测试了五种常见的模型盗用攻击方式： - 微调（Fine-tuning） - 剪枝（Pruning） - 模型提取（Model Extraction，包括基于标签和概率的提取） - 对抗训练（Adversarial Training） - 迁移学习（Transfer Learning）

研究结果

实验数据

研究在不同任务和数据集上取得了显著成果： - 在人脸情感识别任务中，SAC-JC的平均AUC值达0.97，显著优于其他指纹识别方法。 - 在人脸验证任务中，SAC-JC通过JPEG压缩增强样本和FRI特征生成方法实现了AUC值0.98。

比较分析

与传统的对抗样本方法（如IPGuard和CAE）相比，SAC-JC展示了更高的鲁棒性，尤其是在应对对抗训练和迁移学习时。实验表明： - 对于不同模型结构（如VGG、ResNet和MobileNet），SAC-JC在各项指标（AUC、p值、F1得分）上均表现优异。 - 与CAE相比，SAC-JC的计算速度提高了约34,393倍，极大减少了指纹生成的计算负担。

方法优点

• 高效性：无需生成对抗样本或训练代理模型，大幅降低计算成本。
• 适用性广：可用于多种任务，包括分类和验证任务。
• 鲁棒性强：能够有效抵御多种模型盗用攻击，特别是在对抗训练和迁移学习场景中。

研究意义

本研究首次揭示了深度人脸识别领域面临的模型盗用威胁，并提出了具有创新性的保护方法。SAC-JC通过引入样本相关性和JPEG压缩增强技术，为模型指纹识别提供了新的思路，显著提升了检测效率与准确性。

从应用角度来看，SAC-JC不仅在学术研究中具有重要意义，还为商用模型的知识产权保护提供了切实可行的解决方案。在人工智能技术快速发展的当下，保护模型知识产权的需求日益紧迫，SAC-JC为行业实践树立了新的标杆。

展望

研究可进一步探索SAC-JC在其他领域的应用，例如语音识别或自然语言处理。同时，可结合其他数据增强技术进一步优化指纹生成方法，以应对更复杂的攻击手段。