Efficient Defense Against Model Stealing Attacks on Convolutional Neural Networks

要約

モデル窃盗攻撃は、深層学習モデルにとって深刻な懸念となっており、攻撃者がブラックボックス API にクエリを実行することで、トレーニング済みモデルを盗むことができます。
これは、知的財産の盗難やその他のセキュリティやプライバシーのリスクにつながる可能性があります。
モデル盗用攻撃に対する現在の最先端の防御策では、予測確率に摂動が加えられることが示唆されています。
ただし、大量の計算に悩まされ、敵について実行不可能な仮定を立てます。
多くの場合、補助モデルのトレーニングが必要になります。
これには時間がかかり、リソースが大量に消費されるため、現実世界のアプリケーションでのこれらの防御の展開が妨げられる可能性があります。
この文書では、シンプルでありながら効果的かつ効率的な防御の代替案を提案します。
出力確率を混乱させるためのヒューリスティックなアプローチを導入します。
提案された防御は、追加のトレーニングなしでモデルに簡単に統合できます。
3つの最先端の盗塁攻撃に対して、守備が効果的であることを証明しました。
いくつかの視覚データセットでトレーニングされた大規模で量子化された (つまり、圧縮された) 畳み込みニューラル ネットワーク (CNN) に対するアプローチを評価します。
私たちの技術は、追加のモデルを必要とせず、モデルのパフォーマンスへの影響を少なくしながら、$\times37$ 高速な推論レイテンシで最先端の防御を上回ります。
私たちの防御は、エッジデバイスをターゲットとした量子化された CNN に対しても有効であることを検証します。

要約(オリジナル)

Model stealing attacks have become a serious concern for deep learning models, where an attacker can steal a trained model by querying its black-box API. This can lead to intellectual property theft and other security and privacy risks. The current state-of-the-art defenses against model stealing attacks suggest adding perturbations to the prediction probabilities. However, they suffer from heavy computations and make impracticable assumptions about the adversary. They often require the training of auxiliary models. This can be time-consuming and resource-intensive which hinders the deployment of these defenses in real-world applications. In this paper, we propose a simple yet effective and efficient defense alternative. We introduce a heuristic approach to perturb the output probabilities. The proposed defense can be easily integrated into models without additional training. We show that our defense is effective in defending against three state-of-the-art stealing attacks. We evaluate our approach on large and quantized (i.e., compressed) Convolutional Neural Networks (CNNs) trained on several vision datasets. Our technique outperforms the state-of-the-art defenses with a $\times37$ faster inference latency without requiring any additional model and with a low impact on the model’s performance. We validate that our defense is also effective for quantized CNNs targeting edge devices.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google