Protecting Semantic Segmentation Models by Using Block-wise Image Encryption with Secret Key from Unauthorized Access
Tokyo Metropolitan University（东京都立大学）
由于生产级训练的深度神经网络（DNN）具有巨大的商业价值，因此保护此类DNN模型免受版权侵犯和未经授权的访问的需求越来越大。然而，传统的模型保护方法只关注图像分类任务，这些保护方法从未应用于语义分割，尽管它有越来越多的应用。在本文中，我们提出了保护语义分割模型未经授权的访问，利用块式变换与密钥的第一次。受保护的模型通过使用变换后的图像进行训练。实验结果表明，该保护方法允许具有正确密钥的合法用户访问该模型的全部容量，并降低了非授权用户的性能。然而，与非保护模型相比，受保护模型的分割性能略有下降。
2021-07-20 cs.CV cs.LG eess.IV
IDEA: An Inverse Domain Expert Adaptation Based Active DNN IP Protection Method
School of Electrical and Electronic Engineering, Nanyang Technological University（南洋理工大学电子与电气工程学院）；Engineering Research Center of Digital Forensics, Ministry of Education, School of Computer Science, Nanjing University of Information Science and Technology（教育部长数字取证工程研究中心、信息科学技术大学计算机学院）；School of Electrical and Electronic Engineering and National Integrated Centre for Evaluation (NiCE), Nanyang Technological University（南洋理工大学电子与电气工程学院和国家整合评估中心（NiCE））
本文提出IDEA，一种基于逆向领域专家自适应的主动DNN IP保护方法，通过混合专家模型和知识蒸馏实现主动授权与来源追溯，有效抵御未授权访问和IP侵权。
2025-05-30 cs.AI cs.CR cs.CV
Model Copyright Protection in Buyer-seller Environment
School of Computer Science, Fudan University（复旦大学计算机科学学院）
针对不可信买卖环境中的 DNN 泄露风险，本文提出基于输入敏感神经网络 ISNN 的版权保护方案，通过密钥、扰动标记和专用损失函数限制模型仅对合法输入可用，实验验证其有效性与安全性。
2023-12-05 cs.CR cs.LG
NNSplitter: An Active Defense Solution for DNN Model via Automated Weight Obfuscation
Northeastern University（东北大学）；UC Riverside（加州大学河滨分校）
本文提出 NNSplitter，利用自动化权重混淆和可信执行环境将 DNN 拆分为混淆模型与模型秘密，以极少权重修改实现主动 IP 保护并抵御微调等攻击。
2023-08-16 cs.CR cs.LG
ConFoc: Content-Focus Protection Against Trojan Attacks on Neural Networks
Purdue University（普渡大学）
深度神经网络（DNN）已成功应用于计算机视觉。然而，它们在图像相关应用程序中的广泛采用受到了特洛伊木马攻击的威胁。这些攻击在训练时使用带有标记或触发器的样本插入一些错误行为，这些行为在推理或测试时被利用。在这项工作中，我们分析了DNN在训练时学习的特征的组成。我们发现，它们，包括那些相关的插入触发器，包含内容（语义信息）和风格（纹理信息），这是作为一个整体识别的DNN在测试时。然后，我们提出了一种新的防御技术，对木马攻击，其中DNN被教导忽视的风格的输入，并专注于其内容只减轻触发器的影响在分类。该方法的通用适用性的交通标志和人脸识别应用程序的背景下证明。他们每个人都暴露在不同的攻击与各种触发器。结果表明，该方法在所有测试攻击中将攻击成功率显着降低到< 1%，同时在处理良性和敌对数据时保持并提高了模型的初始准确性。
2020-07-01 cs.CR cs.CV cs.LG
GuardNN: Secure Accelerator Architecture for Privacy-Preserving Deep Learning
Cornell University（康奈尔大学）；Meta AI
本文提出了GuardNN，这是一种安全的DNN加速器，即使在不可信的环境中也能为用户数据和模型参数提供基于硬件的保护。GuardNN表明，可以为特定应用程序定制架构和保护，以提供强大的机密性和完整性保证，而开销可以忽略不计。GuardNN指令集的设计将TCB简化为加速器，并且即使在来自主机的指令不可信时也允许机密性保护。GuardNN通过为DNN加速器的已知存储器访问模式定制片外存储器保护，最大限度地减少了存储器加密和完整性验证的开销。GuardNN在FPGA上原型化，证明了有效的机密性保护，推理的性能开销约为3%。
2022-05-25 cs.AR cs.CR cs.LG
Self-Ensemble Protection: Training Checkpoints Are Good Data Protectors
Shanghai Jiao Tong University（上海交通大学）；Northeastern University（东北大学）
本文提出自集成保护（SEP）方法，利用训练检查点梯度生成始终无法被正确分类的扰动数据，以极低计算成本实现类似多模型集成的数据保护效果，显著降低攻击者模型准确率。
2023-04-12 cs.CR cs.LG stat.ML
When Federated Learning meets Watermarking: A Comprehensive Overview of Techniques for Intellectual Property Protection
Thales SIX GTS（泰雷兹SIX GTS）；Inserm（法国国家健康与医学研究院）；IMT Atlantique（大西洋国立高等矿业电信学校）
本文综述联邦学习场景下的深度神经网络水印技术，梳理其在分布式训练与隐私约束下保护模型知识产权的最新方法、挑战与机遇。
2023-08-07 cs.CR cs.LG
Feature Reconstruction Attacks and Countermeasures of DNN training in Vertical Federated Learning
The Hong Kong University of Science and Technology（香港科技大学）；University of Toronto（多伦多大学）
联邦学习（FL）越来越多地以垂直形式在组织中部署，以促进孤立数据上的安全协作培训。在垂直FL（VFL）中，参与者持有同一组样本实例的不相交特征。其中，只有一个有标签。该参与者（称为主动方）发起培训并与其他参与者（称为被动方）进行交互。尽管VFL的采用越来越多，但主动方是否以及如何从被动方提取特征数据仍然是一个未知数，特别是在训练深度神经网络（DNN）模型时。本文首次尝试研究虚拟语言中DNN训练的特征安全问题。我们考虑了一个DNN模型，该模型在主动方和被动方之间进行划分，其中后者仅持有输入层的一个子集，并表现出一些二进制值的分类特征。使用从精确覆盖问题的减少，我们证明了重建这些二进制功能是NP难的。通过分析，我们证明，除非特征维数是非常大的，它仍然是可行的，理论和实践上，发动重建攻击与一个有效的基于搜索的算法，优于当前的特征保护技术。为了解决这个问题，我们开发了一种新的功能保护方案，以防止重建攻击，有效地误导搜索到一些预先指定的随机值。通过一组广泛的实验，我们表明，我们的保护方案在各种VFL应用中承受特征重建攻击，而不损失准确性。
2022-10-13 cs.LG
Compute-in-Memory based Neural Network Accelerators for Safety-Critical Systems: Worst-Case Scenarios and Protections
University of Notre Dame（圣母大学）
该研究针对存内计算DNN加速器受NVM器件变化影响的最坏情况性能问题，提出A-TRICE最坏情况感知训练方法，将最坏情况准确率最高提升33%。
2023-12-11 cs.AR cs.LG
Immunization of Pruning Attack in DNN Watermarking Using Constant Weight Code
Okayama University（冈山大学）
为了确保DNN模型的知识产权的保护，已经研究了水印技术，以将边信息插入到模型中，而不会严重降低原始任务的性能。DNN水印的威胁之一是修剪攻击，这样模型中不太重要的神经元被修剪，以使其更快，更紧凑，以及去除水印。在这项研究中，我们研究了一种信道编码的方法来抵抗修剪攻击。由于DNN的信道模型与传统的数字图像模型完全不同，因此什么样的编码方法适合DNN水印一直是一个悬而未决的问题。提出了一种利用等重码来抵抗剪枝攻击的编码方法。据我们所知，这是第一项研究，介绍了DNN水印的编码技术，使其对修剪攻击鲁棒。
2021-07-07 cs.CR cs.LG
From Bit-Position Sensitivity to Unequal Error Protection for DNN Inference Memory
Advanced Micro Devices, Inc.（Advanced Micro Devices 公司）
研究在多种工作负载和浮点格式中表征DNN推理内存的位位置故障敏感性，发现位敏感性转变，提出不等错误保护方法，得出数据类型下限和工作负载感知层级，驱动UEP编解码器及双分区架构，减少ECC面积、降低读取能量。
2026-07-23 cs.AR cs.LG
Mixer: DNN Watermarking using Image Mixup
Centre Inria de l’Université de Rennes（雷恩大学法国国家信息与自动化研究所中心）
在部署DNN模型之前，保护DNN模型的知识产权至关重要。DNN应该执行两个主要任务：主要任务和水印任务。本文提出了一种轻量级、可靠和安全的DNN水印，试图在这两项任务之间建立紧密的联系。触发水印任务的样本使用来自训练或测试样本的图像Mixup生成。这意味着存在无限多的触发器，而不限于用于在训练时将水印嵌入模型中的样本。对不同数据集的图像分类模型进行了广泛的实验，并将其暴露于各种攻击，结果表明，所提出的水印提供了足够的安全性和鲁棒性。
2022-12-06 cs.CR cs.LG cs.MM
Robust Membership Encoding: Inference Attacks and Copyright Protection for Deep Learning
Cornell University（康奈尔大学）；National University of Singapore（新加坡国立大学）
机器学习即服务（MLaaS）和算法市场正在崛起。数据持有者可以使用第三方提供的学习代码轻松地在其数据上训练复杂模型。训练准确的机器学习模型需要大量的标记数据和先进的学习算法。由此产生的模型被视为模型所有者的知识产权，其版权应受到保护。此外，MLaaS需要被信任不会将关于训练数据的秘密信息嵌入到模型中，以便稍后在部署模型时可以检索该信息。在本文中，我们提出了\emph{membership encoding}，用于训练深度神经网络，并对训练数据的子集的成员信息进行编码，即数据点是否用于训练。隶属度编码在不同的应用场景中有多种应用，包括用于模型版权保护的鲁棒水印，以及用于隐藏数据嵌入隐私攻击的风险分析。我们的编码算法可以确定显着编辑的数据点的成员，也是强大的模型压缩和微调。它还可以对训练集的很大一部分进行编码，而模型的预测准确性下降可以忽略不计。
2020-03-22 cs.CR cs.LG stat.ML
ROSE: A RObust and SEcure DNN Watermarking
Centre Inria de l’Université de Rennes（雷恩大学法国国家信息与自动化研究所中心）
在部署DNN模型之前，保护DNN模型的知识产权至关重要。到目前为止，所提出的方法要么需要改变内部模型参数或机器学习管道，要么无法满足安全性和鲁棒性要求。本文提出了一种轻量级、鲁棒且安全的黑盒DNN水印协议，该协议利用了加密单向函数以及在训练过程中注入任务中的密钥图像标签对。这些对稍后用于在测试期间证明DNN模型所有权。其主要特点是证明的价值及其安全性是可度量的。大量的实验水印图像分类模型的各种数据集，以及暴露他们的各种攻击，表明它提供了保护，同时保持足够的安全性和鲁棒性。
2022-06-22 cs.AI cs.CR cs.LG
Universal Adversarial Perturbations Through the Lens of Deep Steganography: Towards A Fourier Perspective
Korea Advanced Institute of Science and Technology (KAIST)（韩国科学技术院）
人们对对抗攻击的兴趣日益高涨，这源于人类视觉与深度神经网络（DNN）之间的不一致，即人类难以察觉的扰动欺骗了DNN。此外，可以生成通常称为通用对抗扰动（UAP）的单个扰动来欺骗大多数图像的DNN。最近在深度隐写任务中也观察到了类似的错位现象，其中解码器网络可以从稍微扰动的封面图像中检索出秘密图像。我们试图从傅立叶的角度来解释两者的成功。我们进行了特定于任务的联合分析，并揭示了（a）频率是影响其性能的关键因素，基于所提出的用于量化频率分布的熵度量;（b）他们的成功可以归因于DNN对高频内容高度敏感。我们还执行特征层分析，以深入了解模型的泛化和鲁棒性。此外，我们还提出了两种新的通用扰动变体：（1）通用秘密对抗扰动（USAP），同时实现攻击和隐藏;（2）高通UAP（HP-UAP），人眼不太可见。
2021-02-12 cs.CV cs.LG
NAPER: Fault Protection for Real-Time Resource-Constrained Deep Neural Networks
University of Central Florida, FL, US（佛罗里达中央大学）；Universitas Gadjah Mada, Indonesia（加查马达大学）；Telkom University, Indonesia（电信大学）；Arizona State University, AZ, US（亚利桑那州立大学）
NAPER通过异构模型冗余、高效故障检测和实时调度机制，在资源受限实时DNN中同时提升推理速度40%、精度4.2%，并保证故障恢复期间不间断运行，解决了可靠性、精度与时效性的三难困境。
2025-08-27 cs.LG cs.SY eess.SY
EncryIP: A Practical Encryption-Based Framework for Model Intellectual Property Protection
Peng Cheng Laboratory（鹏城实验室）；Jinan University（暨南大学）
针对机器学习模型的知识产权保护需求，提出集成公钥加密的EncryIP框架，生成混淆标签仅授权用户可解密，无需重复训练且保精度，优于现有水印、触发器、护照类方法。
2023-12-19 cs.CR cs.LG
Artificial Intelligence and Intellectual Property Rights: Comparative Transnational Policy Analysis
Guru Nanak Dev University（古鲁那纳克德夫大学）
本研究分析了人工智能与知识产权法的结合，揭示印度法律在适应AI生成内容方面的不足，并提出协调法律分类以促进公平创新。
2026-01-25 cs.AI cs.CL cs.CY
A General Approach for Using Deep Neural Network for Digital Watermarking
School of Computer Science and Technology, Nantong University（南通大学计算机科学与技术学院）；School of Technology, Environments and Design, University of Tasmania（塔斯马尼亚大学技术、环境与设计学院）
物联网（IoT）技术促进了以大规模方式获取的数字内容，例如图像。然而，从隐私或立法角度考虑，仍然需要对知识内容进行保护。在本文中，我们提出了一个通用的深度神经网络（DNN）的水印方法来实现这一目标。我们不是训练神经网络来保护特定的图像，而是对图像集进行训练，并使用训练好的模型以批量方式保护不同的测试图像集。从主观和客观两个方面的评价证实了我们提出的方法的优越性和实用性。为了证明这个一般的神经水印机制的鲁棒性，常用的操作施加到水印图像检查相应的提取的水印，它仍然保留了足够的可识别的特点。据我们所知，我们是第一个提出使用DNN执行水印的通用方法的人。考虑到其性能和经济性，可以得出结论，后续的研究，推广我们的工作，利用DNN的知识内容保护是一个有前途的研究趋势。
2020-03-08 cs.LG cs.MM stat.ML
Towards Secure and Practical Machine Learning via Secret Sharing and Random Permutation
College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）；JZTData Technology（JZTData科技公司 (JZTData Technology)）
随着人们对隐私保护需求的日益增长，隐私保护机器学习受到学术界和工业界的广泛关注。然而，大多数现有的方法在实际应用中有其局限性。一方面，虽然大多数密码方法是可证明安全的，但它们带来了繁重的计算和通信。另一方面，许多相对有效的私有方法（例如，联邦学习和分裂学习）受到质疑，因为它们是不可证明的安全。受隐私保护机器学习研究的启发，本文提出了一种基于随机置换和算术秘密共享的隐私保护机器学习框架。由于我们的方法减少了元素的函数计算的成本，它比现有的密码方法更有效。此外，通过采用距离相关性作为度量隐私泄漏，我们证明了我们的方法是更安全的比以前的不可证明的安全方法。总体而言，我们的建议实现了安全性和效率之间的良好平衡。实验结果表明，与最先进的加密方法相比，我们的方法不仅速度快6倍，减少了高达85%的网络流量，而且与不可证明的安全方法相比，在训练过程中泄露的隐私更少。
2022-02-21 cs.CR cs.LG
DReS-FL: Dropout-Resilient Secure Federated Learning for Non-IID Clients via Secret Data Sharing
Hong Kong University of Science and Technology（香港科技大学）；Hong Kong University of Science and Technology (Guangzhou)（香港科技大学（广州））
联邦学习（FL）致力于实现机器学习模型的协作训练，而无需集中收集客户的私人数据。与集中式训练不同，FL中跨客户端的本地数据集是非独立和同分布的（非IID）。此外，拥有数据的客户端可以任意退出训练过程。这些特征将显著降低训练性能。提出了一种基于拉格朗日编码计算（LCC）的丢包恢复安全联邦学习（DReS-FL）框架，以解决非IID和丢包问题。其关键思想是利用拉格朗日编码在客户端之间秘密共享私有数据集，以便每个客户端接收全局数据集的编码版本，并且在该数据集上的局部梯度计算是无偏的。为了在服务器上正确解码梯度，梯度函数必须是有限域中的多项式，因此我们构建多项式整数神经网络（PINNs）来实现我们的框架。理论分析表明，DReS-FL具有较好的客户端退出弹性，并为本地数据集提供了隐私保护。此外，我们的实验表明，DReS-FL一贯导致显着的性能增益超过基线方法。
2022-10-06 cs.CR cs.LG
NeuroUnlock: Unlocking the Architecture of Obfuscated Deep Neural Networks
Technische Universität Wien（维也纳工业大学）；New York University Abu Dhabi（纽约大学阿布扎比分校）
深度神经网络（DNN）的进步导致其在各种环境中的部署，包括安全和安全关键型应用。因此，这些模型的特征已成为敏感的知识产权，需要保护免受恶意用户的攻击。通过泄漏侧信道（例如，存储器访问）允许对手（i）克隆模型，以及（ii）制造对抗攻击。DNN混淆通过改变给定DNN的运行时跟踪，同时保留其功能，来阻止基于侧通道的架构窃取（SCAS）攻击。在这项工作中，我们暴露了最先进的DNN混淆方法对这些攻击的脆弱性。我们提出了神经网络，一种新的SCAS攻击混淆DNN。我们的神经网络采用序列到序列模型，学习模糊处理过程并自动恢复，从而恢复原始DNN架构。我们通过恢复在Nvidia RTX 2080 TI图形处理单元（GPU）上运行的200个随机生成和混淆的DNN的架构来证明Neurobial的有效性。此外，Neurobot还可以恢复各种其他混淆DNN的架构，例如VGG-11，VGG-13，ResNet-20和ResNet-32网络。在恢复架构后，Neuroscience自动构建了一个近似的DNN，测试精度仅下降了1.4%。我们进一步表明，与在混淆版本上发起攻击相比，在恢复的DNN上发起后续对抗性对抗攻击平均将对抗攻击的成功率提高了51.7%。此外，我们还提出了一种新的DNN混淆方法ReDLock，它消除了混淆的确定性，并实现了对神经网络攻击的2.16倍的恢复能力。我们将Neurobot和ReDLock…
2022-06-01 cs.CR cs.LG
Distillation-Resistant Watermarking for Model Protection in NLP
University of California, Santa Barbara（加州大学圣巴巴拉分校）
我们如何保护经过训练的NLP模型的知识产权？现代NLP模型很容易通过查询和提取其公开的API来窃取。然而，现有的保护方法，如水印只适用于图像，但不适用于文本。我们提出了抗蒸馏水印（DRW），这是一种保护NLP模型不被蒸馏窃取的新技术。DRW通过将水印注入到受害者的预测概率中来保护模型，该预测概率对应于秘密密钥，并且DRW能够通过探测可疑模型来检测这样的密钥。我们证明了受保护的模型在一定范围内仍然保持原来的精度。我们评估DRW在不同的NLP任务，包括文本分类，词性标注，和命名实体识别。实验表明，DRW保护了原始模型，并检测盗窃嫌疑人在所有四个任务的平均平均精度为100%，而以前的方法失败的两个。
2022-10-23 cs.CL cs.LG
Cracking White-box DNN Watermarks via Invariant Neuron Transforms
Fudan University（复旦大学）
近年来，如何保护深度神经网络（DNN）的知识产权（IP）成为人工智能行业的主要关注点。为了打击潜在的模型盗版，最近的工作探索了各种水印策略，以将秘密身份消息嵌入到预测行为或内部（例如，权重和神经元激活）。牺牲更少的功能并涉及关于目标模型的更多知识，水印方案的后一分支（即，白盒模型水印）被声称是准确的、可信的和安全的，可以抵抗大多数已知的水印去除攻击，并且在工业中具有新兴的研究成果和应用。在本文中，我们提出了第一个有效的去除攻击，几乎所有现有的白盒水印方案，可证明没有性能开销，不需要先验知识。通过分析这些IP保护机制在神经元的粒度，我们第一次发现他们共同依赖于一组脆弱的功能，本地神经元组，所有这些都可以被任意篡改我们提出的链不变的神经元变换。在$9$最先进的白盒水印方案和广泛的行业级DNN架构上，我们的攻击首次将受保护模型中的嵌入身份消息减少到几乎随机。同时，与已知的去除攻击，我们的攻击不需要先验知识的训练数据分布或所采用的水印算法，并留下完整的模型功能。
2022-05-19 cs.CR cs.CV cs.LG
No Privacy Left Outside: On the (In-)Security of TEE-Shielded DNN Partition for On-Device ML
Peking University（北京大学）；The Hong Kong University of Science and Technology（香港科技大学）；Beijing University of Posts and Telecommunications（北京邮电大学）
本文发现现有TEE防护的DNN分区（TSDP）方案易受隐私窃取攻击，并提出TEESlice方法，通过训练前分区策略实现与全模型TEE防护相同的安全性，同时降低10倍以上开销且无精度损失。
2023-10-11 cs.AI cs.CR cs.LG
TEESlice: Protecting Sensitive Neural Network Models in Trusted Execution Environments When Attackers have Pre-Trained Models
Peking University（北京大学）；Key Laboratory of High-Confidence Software Technologies (MOE)（高可信软件技术教育部重点实验室）；School of Computer Science, Peking University（北京大学计算机学院）
本文提出了一种训练前分区策略 TEESlice，在攻击者拥有预训练模型的场景下，有效分离隐私敏感权重，以较低计算成本实现 DNN 和大语言模型的完整保护。
2024-11-15 cs.AI cs.CR cs.LG
On Function-Coupled Watermarks for Deep Neural Networks
The Chinese University of Hong Kong（香港中文大学）；Harbin Institute of Technology (Shenzhen)（哈尔滨工业大学（深圳））；University of Electronic Science and Technology of China（电子科技大学）
本文提出一种基于分布内数据特征与权重随机掩码的深度神经网络函数耦合水印方法，通过增强水印与模型功能的耦合，有效抵御模型微调与剪枝等移除攻击，实现100%认证成功率。
2023-04-01 cs.AI cs.CV cs.LG
