FreeMark: A Non-Invasive White-Box Watermarking for Deep Neural Networks
Kyushu University（九州大学）；Tohoku University（东北大学）
针对现有DNN水印需修改模型致性能下降的问题，提出非侵入式白盒水印框架FreeMark，借梯度下降生成密钥存于可信第三方，在保性能和高容量下抗多种移除攻击。
2024-09-16 cs.AI cs.CR cs.LG
Spread-Transform Dither Modulation Watermarking of Deep Neural Network
Southwest Jiaotong University（西南交通大学）；University of Siena（锡耶纳大学）
DNN水印作为保护与DNN模型相关联的知识产权的合适手段正受到越来越多的关注。到目前为止提出的几种方法受到流行的扩频（SS）范例的启发，根据该范例，水印比特被嵌入到DNN模型的权重到伪随机序列上的投影中。在本文中，我们提出了一种新的DNN水印算法，利用水印与边信息范例，以减少水印的突兀性，并增加其有效载荷。特别是，新方案利用的主要思想ST-DM（扩频变换抖动调制）水印，以提高性能的一个最近提出的算法的基础上，传统的SS。我们进行了实验，通过应用所提出的计划水印不同的模型，证明了它的能力，以提供更高的有效载荷与较低的影响网络的准确性比基线方法的基础上，传统的SS，同时保持令人满意的水平的鲁棒性。
2020-12-28 cs.AI cs.CR
Robust GNN Watermarking via Implicit Perception of Topological Invariants
针对GNN现有水印易受剪枝等攻击削弱的问题，提出InvGNN-WM方法，通过拓扑不变量预测实现鲁棒水印，在基准测试中验证了其高保真度与检测性能。
2026-10-28 cs.CR cs.LG
GNN4IP: Graph Neural Network for Hardware Intellectual Property Piracy Detection
University of California, Irvine（加州大学欧文分校）
严格的上市时间限制以及巨大的硬件设计和制造成本已经将半导体行业推向硬件知识产权（IP）核心设计。然而，集成电路（IC）供应链的全球化使IP提供商面临IP被盗和非法再分配的风险。提出了水印和指纹技术来检测IP盗版。然而，他们来与额外的硬件开销，并不能保证IP安全的先进的攻击报告，以消除水印，伪造，或绕过it.In这项工作中，我们提出了一种新的方法，GNN4IP，电路之间的相似性进行评估，并检测IP盗版。我们将硬件设计建模为图，并构建一个图神经网络模型，使用我们收集的寄存器传输级代码“与”门级网表的综合数据集来学习其行为。GNN4IP在我们的数据集中以96%的准确率检测IP盗版，并以100%的准确率识别混淆版本的原始IP。
2021-07-19 cs.CR cs.LG
GENIE: Watermarking Graph Neural Networks for Link Prediction
IIIT Hyderabad（印度信息技术与管理研究院海得拉巴分校）
本文提出首个用于链接预测GNN的水印方案GENIE，通过独特触发集与秘密水印向量创建后门，经多模型、多数据集及多攻击评估，验证了其鲁棒性并讨论了对抗自适应攻击的防御策略。
2026-09-02 cs.CR cs.LG
FedReverse: Multiparty Reversible Deep Neural Network Watermarking
Jinan University（暨南大学）；Renmin University of China（中国人民大学）
本文提出 FedReverse 多方可逆 DNN 水印方法，支持训练后多方协同嵌入、一致同意后完全移除，并通过 MLP 与 CNN 实验验证其安全性、可逆性及低准确率影响。
2023-12-10 cs.AI cs.CR
SSL-Auth: An Authentication Framework by Fragile Watermarking for Pre-trained Encoders in Self-supervised Learning
Nanjing University of Aeronautics and Astronautics（南京航空航天大学）；Wuhan University（武汉大学）；Xi’an Jiaotong University（西安交通大学）；Zhejiang Lab（之江实验室）
针对自监督预训练编码器面临的后门、对抗攻击及知识产权保护问题，本文提出首个基于脆弱水印的SSL-Auth认证框架，利用关键样本与生成网络重建水印以检测恶意篡改，且不影响编码器性能。
2023-12-06 cs.AI cs.CR
WGLE:Backdoor-free and Multi-bit Black-box Watermarking for Graph Neural Networks
Nanyang Normal University（南阳师范学院）；Xidian University（西安电子科技大学）
WGLE是一种无需后门的图神经网络黑盒水印技术，通过边上的分层距离差实现多比特水印嵌入，实现高准确率的所有权验证。
2025-12-24 cs.AI cs.CR
Identifying Appropriate Intellectual Property Protection Mechanisms for Machine Learning Models: A Systematization of Watermarking, Fingerprinting, Model Access, and Attacks
SBA Research（SBA研究中心）；Vienna University of Technology（维也纳工业大学）
本文系统化梳理机器学习知识产权保护中的威胁、攻击与防御，提出统一威胁模型和分类法，以衔接机器学习与安全社区研究。
2023-04-22 cs.AI cs.CR cs.LG
When Federated Learning meets Watermarking: A Comprehensive Overview of Techniques for Intellectual Property Protection
Thales SIX GTS（泰雷兹SIX GTS）；Inserm（法国国家健康与医学研究院）；IMT Atlantique（大西洋国立高等矿业电信学校）
本文综述联邦学习场景下的深度神经网络水印技术，梳理其在分布式训练与隐私约束下保护模型知识产权的最新方法、挑战与机遇。
2023-08-07 cs.CR cs.LG
Watermarking Neuromorphic Brains: Intellectual Property Protection in Spiking Neural Networks
George Mason University（乔治梅森大学）；Queen’s University Belfast（贝尔法斯特女王大学）
本研究率先将基于指纹和后门的水印机制应用于脉冲神经网络（SNNs）的知识产权保护，通过实验评估了其在保真度、抗覆盖威胁和抗压缩攻击方面的表现，并与人工神经网络（ANN）进行了对比，为开发针对SNN独特动力学的IP保护策略奠定了基础。
2024-05-07 cs.CR cs.LG cs.NE
ArmSSL: Adversarial Robust Black-Box Watermarking for Self-Supervised Learning Pre-trained Encoders
Nanjing University of Science and Technology（南京理工大学）；The University of Western Australia（西澳大学）；Zhejiang University（浙江大学）；Southeast University（东南大学）
本文提出ArmSSL，一种在保持实用性的同时，确保黑盒可验证性和对抗鲁棒性的自监督学习水印框架。通过特征空间正交性和潜在表示纠缠技术，实现对水印的强保护。
2026-04-24 cs.AI cs.CR
Intellectual Property Protection of Diffusion Models via the Watermark Diffusion Process
City University of Hong Kong（香港城市大学）
本文提出WDM方法，通过训练模型同时学习水印扩散过程与标准任务生成过程，在不损害生成质量的前提下实现扩散模型知识产权保护，并验证了其有效性与鲁棒性。
2023-11-29 cs.CR cs.LG
A General Approach for Using Deep Neural Network for Digital Watermarking
School of Computer Science and Technology, Nantong University（南通大学计算机科学与技术学院）；School of Technology, Environments and Design, University of Tasmania（塔斯马尼亚大学技术、环境与设计学院）
物联网（IoT）技术促进了以大规模方式获取的数字内容，例如图像。然而，从隐私或立法角度考虑，仍然需要对知识内容进行保护。在本文中，我们提出了一个通用的深度神经网络（DNN）的水印方法来实现这一目标。我们不是训练神经网络来保护特定的图像，而是对图像集进行训练，并使用训练好的模型以批量方式保护不同的测试图像集。从主观和客观两个方面的评价证实了我们提出的方法的优越性和实用性。为了证明这个一般的神经水印机制的鲁棒性，常用的操作施加到水印图像检查相应的提取的水印，它仍然保留了足够的可识别的特点。据我们所知，我们是第一个提出使用DNN执行水印的通用方法的人。考虑到其性能和经济性，可以得出结论，后续的研究，推广我们的工作，利用DNN的知识内容保护是一个有前途的研究趋势。
2020-03-08 cs.LG cs.MM stat.ML
ROSE: A RObust and SEcure DNN Watermarking
Centre Inria de l’Université de Rennes（雷恩大学法国国家信息与自动化研究所中心）
在部署DNN模型之前，保护DNN模型的知识产权至关重要。到目前为止，所提出的方法要么需要改变内部模型参数或机器学习管道，要么无法满足安全性和鲁棒性要求。本文提出了一种轻量级、鲁棒且安全的黑盒DNN水印协议，该协议利用了加密单向函数以及在训练过程中注入任务中的密钥图像标签对。这些对稍后用于在测试期间证明DNN模型所有权。其主要特点是证明的价值及其安全性是可度量的。大量的实验水印图像分类模型的各种数据集，以及暴露他们的各种攻击，表明它提供了保护，同时保持足够的安全性和鲁棒性。
2022-06-22 cs.AI cs.CR cs.LG
Evolutionary Trigger Set Generation for DNN Black-Box Watermarking
UCLA（加州大学洛杉矶分校）
深度学习的商业化产生了对知识产权（IP）保护的迫切需求。深度神经网络（DNN）水印已被提出作为一个有前途的工具，以帮助模型所有者证明所有权和打击盗版。一种流行的水印方法是训练DNN以识别具有某些\textit{trigger}模式的图像。在本文中，我们提出了一种新的基于进化算法的方法来生成和优化触发模式。我们的方法显著降低了假阳性率，从而提供了令人信服的所有权证明。同时，它保持了水印对攻击的鲁棒性。我们将我们的方法与现有技术进行了比较，并在流行的模型和数据集上证明了其有效性。
2021-02-14 cs.CR cs.LG stat.ML
Mixer: DNN Watermarking using Image Mixup
Centre Inria de l’Université de Rennes（雷恩大学法国国家信息与自动化研究所中心）
在部署DNN模型之前，保护DNN模型的知识产权至关重要。DNN应该执行两个主要任务：主要任务和水印任务。本文提出了一种轻量级、可靠和安全的DNN水印，试图在这两项任务之间建立紧密的联系。触发水印任务的样本使用来自训练或测试样本的图像Mixup生成。这意味着存在无限多的触发器，而不限于用于在训练时将水印嵌入模型中的样本。对不同数据集的图像分类模型进行了广泛的实验，并将其暴露于各种攻击，结果表明，所提出的水印提供了足够的安全性和鲁棒性。
2022-12-06 cs.CR cs.LG cs.MM
Customized Watermarking for Deep Neural Networks via Label Distribution Perturbation
National Tsing Hua University（国立清华大学）
随着机器学习的应用价值越来越高，深度神经网络（DNN）的知识产权（IP）问题越来越受到关注。通过分析，现有的DNN水印方法大多能够抵抗微调和剪枝攻击，但不能抵抗蒸馏攻击。为了解决这些问题，我们提出了一种新的DNN水印框架，统一软标签扰动（USP），具有与要加水印的模型配对的检测器，以及定制软标签扰动（CSP），通过将扰动添加到模型输出概率分布来嵌入水印。实验结果表明，我们的方法可以抵抗所有的水印去除攻击，并优于蒸馏攻击。此外，我们也有一个很好的权衡之间的主要任务和水印，实现了98.68%的水印准确率，而只影响主要任务的准确率为0.59%。
2022-08-10 cs.CR cs.LG
Position: 3D Gaussian Splatting Watermarking Should Be Scenario-Driven and Threat-Model Explicit
University of Maryland, College Park, MD, United States（马里兰大学学院公园分校）
本文主张3D资产水印技术应基于场景驱动和威胁模型明确，以提升知识产权保护效果。
2026-02-01 cs.CR cs.LG
Watermarking Decision Tree Ensembles
Università Ca’ Foscari Venezia（威尼斯大学）
针对现有研究忽略决策树集成模型水印的问题，本文提出首个面向决策树集成（重点为随机森林）的水印方案，涵盖水印生成验证与安全分析，实验验证其在准确率和抗相关威胁安全性上表现优异。
2024-10-06 cs.CR cs.LG cs.MM
CLASP: Training-Free LLM-Assisted Source Code Watermarking via Semantic-Preserving Transformations
East China Normal University（华东师范大学）；Fudan University（复旦大学）
CLASP提出一种无需训练的LLM辅助源代码水印框架，通过语义保持变换嵌入水印位，实现跨语言的高容量水印插入与提取，提升鲁棒性和部署效率。
2026-04-20 cs.AI cs.CR cs.LG
A Systematic Review on Model Watermarking for Neural Networks
Fraunhofer AISEC（弗劳恩霍夫应用与集成安全研究所）；Freie University, Berlin（柏林自由大学）
机器学习（ML）模型被应用于越来越多的领域。大量数据和计算资源的可用性鼓励开发更复杂和更有价值的模型。这些模型被认为是训练它们的合法方的知识产权，这使得它们的保护免受窃取，非法再分配和未经授权的应用成为迫切需要。数字水印提供了一种强大的机制，用于标记模型所有权，从而提供针对这些威胁的保护。这项工作提出了一个分类识别和分析ML模型的不同类别的水印方案。它引入了一个统一的威胁模型，允许在不同的情况下，水印方法的有效性进行结构化推理和比较。此外，它系统化了所需的安全要求和对ML模型水印的攻击。在此基础上，从该领域的代表性文献进行了调查，以说明分类。最后，讨论了现有方法的缺点和一般局限性，并对未来的研究方向进行了展望。
2021-12-08 cs.CR cs.LG cs.MM
Distillation-Resistant Watermarking for Model Protection in NLP
University of California, Santa Barbara（加州大学圣巴巴拉分校）
我们如何保护经过训练的NLP模型的知识产权？现代NLP模型很容易通过查询和提取其公开的API来窃取。然而，现有的保护方法，如水印只适用于图像，但不适用于文本。我们提出了抗蒸馏水印（DRW），这是一种保护NLP模型不被蒸馏窃取的新技术。DRW通过将水印注入到受害者的预测概率中来保护模型，该预测概率对应于秘密密钥，并且DRW能够通过探测可疑模型来检测这样的密钥。我们证明了受保护的模型在一定范围内仍然保持原来的精度。我们评估DRW在不同的NLP任务，包括文本分类，词性标注，和命名实体识别。实验表明，DRW保护了原始模型，并检测盗窃嫌疑人在所有四个任务的平均平均精度为100%，而以前的方法失败的两个。
2022-10-23 cs.CL cs.LG
Turning Your Weakness Into a Strength: Watermarking Deep Neural Networks by Backdooring
Bar-Ilan University（巴伊兰大学）；Google, Inc.（谷歌公司）；Facebook AI Research（Facebook人工智能研究院）
深度神经网络最近在解决一些众所周知的挑战性问题方面取得了突破性进展，取得了很大的成功。训练这些网络在计算上是昂贵的，并且需要大量的训练数据。因此，出售这种预先训练的模型可能是一种有利可图的商业模式。不幸的是，一旦这些模型被出售，它们就很容易被复制和重新分发。为了避免这种情况，有必要建立一个跟踪机制，将模型识别为特定供应商的知识产权。在这项工作中，我们提出了一种方法，水印深度神经网络在黑盒的方式。我们的方案适用于一般的分类任务，可以很容易地与当前的学习算法相结合。我们的实验表明，这样的水印有没有明显的影响的主要任务，该模型的设计和评估的鲁棒性，我们的建议对众多的实际攻击。此外，我们提供了一个理论分析，与我们的方法以前的工作后门。
2018-06-11 cs.LG
Watermarking Kolmogorov-Arnold Networks for Emerging Networked Applications via Activation Perturbation
Department of Computer Science, National Tsing Hua University（计算机科学系，清华大学）；Industrial Technology Research Institute（工业技术研究院）
针对Kolmogorov-Arnold Networks (KAN)独特架构带来的水印挑战，提出基于离散余弦变换的激活水印方法(DCT-AW)，通过扰动可学习的激活函数输出嵌入水印，在保证模型性能的同时对微调、剪枝等移除攻击具有卓越鲁棒性。
2025-08-08 cs.LG
DeepEclipse: How to Break White-Box DNN-Watermarking Schemes
Technical University of Darmstadt（达姆施塔特工业大学）
针对现有白盒DNN水印攻击需知晓水印方案或额外训练数据的问题，研究提出无需先验知识、额外数据与训练的DeepEclipse框架，可将水印检测降至随机猜测水平且维持模型精度，为水印攻防挑战提供新方案。
2024-03-06 cs.CR cs.LG
Don't Forget to Sign the Gradients!
University of Maryland（马里兰大学）；IBM Research（IBM研究院）
设计一流的深度学习模型是一个昂贵的过程，涉及收集数据，雇用具有机器学习专业知识的人力资源，并提供高计算资源。因此，深度学习模型被认为是模型供应商的宝贵知识产权（IP）。为了确保深度学习模型的可靠商业化，开发保护模型供应商免受知识产权侵犯的技术至关重要。其中一种技术，最近已经显示出很大的希望是数字水印。然而，目前的水印方法可以嵌入非常有限的信息量，并且容易受到水印去除攻击。在本文中，我们提出了GradSigns，一种新的水印框架，深度神经网络（DNN）。GradSigns将所有者的签名嵌入到交叉熵成本函数相对于模型输入的梯度中。我们的方法对受保护模型的性能影响可以忽略不计，它允许模型供应商通过预测API远程验证水印。我们使用CIFAR-10、SVHN和YTF数据集在针对不同图像分类任务训练的DNN上评估GradSigns。实验结果表明，GradSigns对所有已知的反水印攻击具有鲁棒性，并且可以将大量信息嵌入DNN中。
2021-03-05 cs.AI cs.LG
Mark Your LLM: Detecting the Misuse of Open-Source Large Language Models via Watermarking
The Hong Kong University of Science and Technology (Guangzhou)（香港科技大学（广州））；Tsinghua University（清华大学）；The Hong Kong University of Science and Technology（香港科技大学）
本文定义开源 LLM 的知识产权侵犯与使用违规场景，评估推理时水印蒸馏和后门水印在进一步微调下的检测效果与性能影响。
2025-03-15 cs.AI cs.CL cs.CR
THEMIS: Towards Practical Intellectual Property Protection for Post-Deployment On-Device Deep Learning Models
The University of Melbourne（墨尔本大学）；The University of Western Australia（西澳大学）；City University of Hong Kong（香港城市大学）；Technical University of Munich（慕尼黑工业大学）
针对端侧深度学习模型部署后难以实施水印保护知识产权的问题，提出自动化工具THEMIS，通过重建可写副本解除只读限制并求解水印参数，在真实应用中验证了其有效性与实用性。
2025-03-31 cs.CR cs.LG cs.SE
Copyright Protection and Accountability of Generative AI:Attack, Watermarking and Attribution
University of New South Wales（新南威尔士大学）；The Australian National University（澳大利亚国立大学）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织Data61研究所）
生成式人工智能（例如，生成对抗网络（Generative Adversarial Networks，简称GANs）近年来越来越受欢迎。然而，生成式人工智能引入了对知识产权（IPR）保护的重大关切（分别为：模型责任）有关的图像（分别有毒图像）和模型（分别中毒模型）生成。在本文中，我们提出了一个评估框架，以全面概述GANs的版权保护措施的现状，评估它们在各种GAN架构中的性能，并确定影响其性能的因素和未来的研究方向。我们的研究结果表明，目前的输入图像，模型水印和属性网络的知识产权保护方法在很大程度上是令人满意的广泛的GANs。我们强调，必须进一步关注保护训练集，因为目前的方法无法提供强大的知识产权保护和对训练集的出处追踪。
2023-03-15 cs.CR cs.LG cs.MM
Have You Stolen My Model? Evasion Attacks Against Deep Neural Network Watermarking Techniques
Sapienza University of Rome（罗马大学）
深度神经网络对计算机科学的各个领域产生了巨大的影响，大大超过了以前最先进的机器学习技术。为了实现这种性能，神经网络需要大量的数据和巨大的计算资源，这大大增加了它们的构建成本。构建良好的深度神经网络模型的成本增加，导致需要保护这种投资免受潜在的版权侵犯。机器学习模型的合法所有者希望能够可靠地跟踪和检测试图窃取与模型相关的知识产权的恶意对手。最近，通过在深度神经网络中引入水印的概念来解决这个问题，该概念允许合法所有者在给定模型中嵌入一些秘密信息（水印）。水印允许合法所有者检测其模型的版权侵犯。本文重点验证了最先进的深度神经网络水印方案的鲁棒性和可靠性。我们表明，恶意的对手，即使在水印难以删除的情况下，仍然可以逃避合法所有者的验证，从而避免检测模型盗窃。
2018-09-03 cs.CR cs.LG
Optimizing Token Choice for Code Watermarking: An RL Approach
The Pennsylvania State University（宾夕法尼亚州立大学）
提出CodeTracer框架，通过强化学习训练策略模型智能选择令牌嵌入水印，在保持代码功能的同时提高水印可检测性。
2026-05-25 cs.CL cs.CR cs.LG
Watermarking Pre-trained Language Models with Backdooring
Fudan University（复旦大学）；University of California, Los Angeles（加利福尼亚大学洛杉矶分校）
大型预训练语言模型（PLM）已被证明是现代自然语言处理系统的重要组成部分。PLM通常需要在特定于任务的下游数据集上进行微调，由于灾难性遗忘现象，这使得很难主张PLM的所有权并保护开发人员的知识产权。我们表明，PLM可以通过嵌入由所有者定义的特定输入触发的后门来使用多任务学习框架进行水印，即使水印PLM在多个下游任务上进行了微调，这些水印也很难去除。除了使用一些罕见的单词作为触发器，我们还表明，常见的单词的组合可以作为后门触发器，以避免他们被轻易地检测到。在多个数据集上的实验表明，该算法能够鲁棒地提取出嵌入的水印，成功率高，受后续微调的影响较小。
2023-02-10 cs.CL cs.LG
DynaMarks: Defending Against Deep Learning Model Extraction Using Dynamic Watermarking
University of Maryland, College Park（马里兰大学帕克分校）
深度学习（DL）模型的功能可以通过模型提取来窃取，其中攻击者通过利用来自原始模型的预测API的响应来获得代理模型。在这项工作中，我们提出了一种新的水印技术，称为DynaMarks保护知识产权（IP）的DL模型对这种模型窃取攻击在一个黑盒设置。与现有的方法不同，DynaMarks不改变原始模型的训练过程，而是通过在推理运行时基于某些秘密参数动态改变原始模型预测API的输出响应，将水印嵌入到代理模型中。在Fashion MNIST、CIFAR-10和ImageNet数据集上的实验结果证明了DynaMarks方案对代理模型加水印的有效性，同时保留了部署在边缘设备中的原始模型的准确性。此外，我们还进行了实验，以评估DynaMarks对各种水印去除策略的鲁棒性，从而使DL模型所有者能够可靠地证明模型所有权。
2022-07-27 cs.CR cs.CV cs.LG
ClearMark: Intuitive and Robust Model Watermarking via Transposed Model Training
University of Würzburg（维尔茨堡大学）
本文提出ClearMark，一种基于转置模型架构的DNN水印方法，通过在所有参数中嵌入与主任务纠缠的可见水印，实现了直观的人类评估、高鲁棒性和8,544位容量，且不依赖模型和数据集。
2023-10-25 cs.LG
DRGW: Learning Disentangled Representations for Robust Graph Watermarking
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络安全学院）；State Key Laboratory of Cyberspace Security Defense（网络空间安全防御国家重点实验室）
DRGW通过解耦表示学习提出首个图水印框架，解决水印透明性和鲁棒性问题，采用对抗训练编码器、可逆神经网络和结构感知编辑器实现高效水印嵌入与提取。
2026-01-21 cs.CR cs.LG
Watermarking Recommender Systems
Nanyang Technological University（南洋理工大学）；The University of Queensland（昆士兰大学）
本文针对推荐系统模型窃取威胁，提出自回归分布外水印技术 AOW，通过生成并训练植入水印序列，实现高置信度提取且能抵抗蒸馏和微调。
2024-09-30 cs.CR cs.IR cs.LG
SSLGuard: A Watermarking Scheme for Self-supervised Learning Pre-trained Encoders
Tsinghua University（清华大学）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）
自监督学习是一种新兴的机器学习范式。与利用高质量标记数据集的监督学习相比，自监督学习依赖于未标记数据集来预训练强大的编码器，然后可以将其视为各种下游任务的特征提取器。巨大的数据量和计算资源消耗使得编码器本身成为模型所有者宝贵的知识产权。最近的研究表明，机器学习模型的版权受到模型窃取攻击的威胁，这些攻击的目的是训练一个代理模型来模仿给定模型的行为。我们的经验表明，预先训练的编码器非常容易受到模型窃取攻击。然而，目前的版权保护算法，如水印的努力大多集中在分类器。与此同时，预训练编码器的版权保护的内在挑战在很大程度上仍然没有得到研究。我们填补了空白，提出SSLGuard，第一个水印方案的预训练编码器。给定一个干净的预训练编码器，SSLGuard会向其中注入水印并输出带水印的版本。阴影训练技术也适用于保护水印在潜在的模型窃取攻击。我们广泛的评估表明，SSLGuard是有效的水印注入和验证，它是鲁棒的模型窃取和其他水印删除攻击，如输入噪声，输出扰动，干扰，模型修剪，微调。
2022-08-31 cs.CR cs.LG
Robust Black-box Watermarking for Deep NeuralNetwork using Inverse Document Frequency
Canadian Institute for Cybersecurity（加拿大网络安全研究所）；University of New Brunswick（新不伦瑞克大学）
深度学习技术是任何人工智能（AI）服务中最重要的元素之一。最近，这些机器学习（ML）方法，如深度神经网络（DNN），在实现人类水平的能力，为各种困境，如自然处理语言（NLP），话音识别，和图像处理等方面取得了卓越的成就。训练这些模型是昂贵的计算能力和足够的标记数据的存在。因此，基于ML的模型（如DNN）为其所有者建立了真正的商业价值和知识产权（IP）。因此，需要保护训练好的模型免受任何对手的攻击，如非法重新分配、复制和派生。水印可以被认为是保护DNN模型的有效技术。然而，到目前为止，大多数水印算法都集中在通过向图像添加噪声来对DNN进行水印。为此，我们提出了一个框架水印DNN模型设计的文本域。水印生成方案通过结合特定词的词频（TF）和逆文档频率（IDF）来提供安全的水印方法。建议的嵌入过程发生在模型的训练时间，使水印验证阶段直接发送水印文件的训练模型。实验结果表明，水印模型具有与原始模型相同的准确性。所提出的框架准确地验证所有代理模型的所有权，而不损害性能。该算法对已知的攻击，如参数修剪和蛮干攻击是强大的。
2021-03-09 cs.CR cs.LG cs.NE
AdvParams: An Active DNN Intellectual Property Protection Technique via Adversarial Perturbation Based Parameter Encryption
Nanjing University of Aeronautics and Astronautics（南京航空航天大学）
本文提出AdvParams框架，通过对抗性扰动加密极少量DNN参数以主动防止模型侵权，无需额外训练且对微调、剪枝和自适应攻击具有鲁棒性。
2021-05-28 cs.CR cs.LG
Robust and Secure Code Watermarking for Large Language Models via ML/Crypto Codesign
University of California, San Diego（加利福尼亚大学圣迭戈分校）；San Diego State University（圣地亚哥州立大学）
该研究提出首个ML/密码学协同设计的RoSeMary框架，通过端到端训练结合CodeT5实现高质量代码水印，用零知识证明安全验证，兼具高检测准确率、抗攻击能力与高效性。
2026-08-12 cs.CL cs.CR cs.LG
Not Just Change the Labels, Learn the Features: Watermarking Deep Neural Networks with Multi-View Data
Harbin Institute of Technology（哈尔滨工业大学）；The University of Texas at Dallas（德克萨斯大学达拉斯分校）
本文提出基于多视图数据的DNN水印方法MAT，通过特征学习视角构建触发集并加入特征正则化，有效防御模型提取攻击，保护模型知识产权。
2024-07-18 cs.CR cs.CV cs.LG
Verifying Integrity of Deep Ensemble Models by Lossless Black-box Watermarking with Sensitive Samples
Shanghai University（上海大学）
随着深度神经网络（DNN）在许多领域的广泛应用，保护DNN模型免受知识产权（IP）侵害的研究越来越多。现有的许多方法使用数字水印来保护DNN模型。它们中的大多数要么直接将水印嵌入到内部网络结构/参数中，要么通过微调要用一组所谓的触发样本保护的模型来插入零比特水印。虽然这些方法工作得很好，但它们是为单个DNN模型设计的，不能直接应用于组合多个DNN模型以做出最终决策的深度集成模型（DEM）。本文提出了一种新的数字高程模型黑盒水印算法，用于验证数字高程模型的完整性。该方法通过模拟真实世界中的DEM攻击，并分析未受攻击的DEM和受攻击的DEM的子模型在精心制作的数据集上的预测结果，精心选择一定数量的敏感样本。通过分析目标DEM在这些精心制作的敏感样本上的预测结果，我们能够验证目标DEM的完整性。与以往的许多方法不同，该方法不修改要保护的原始DEM，这表明该方法是无损的。实验结果表明，即使只有一个子模型受到攻击，DEM的完整性可以得到可靠的验证，具有良好的应用潜力。
2022-05-10 cs.CR cs.LG
Cracking White-box DNN Watermarks via Invariant Neuron Transforms
Fudan University（复旦大学）
近年来，如何保护深度神经网络（DNN）的知识产权（IP）成为人工智能行业的主要关注点。为了打击潜在的模型盗版，最近的工作探索了各种水印策略，以将秘密身份消息嵌入到预测行为或内部（例如，权重和神经元激活）。牺牲更少的功能并涉及关于目标模型的更多知识，水印方案的后一分支（即，白盒模型水印）被声称是准确的、可信的和安全的，可以抵抗大多数已知的水印去除攻击，并且在工业中具有新兴的研究成果和应用。在本文中，我们提出了第一个有效的去除攻击，几乎所有现有的白盒水印方案，可证明没有性能开销，不需要先验知识。通过分析这些IP保护机制在神经元的粒度，我们第一次发现他们共同依赖于一组脆弱的功能，本地神经元组，所有这些都可以被任意篡改我们提出的链不变的神经元变换。在$9$最先进的白盒水印方案和广泛的行业级DNN架构上，我们的攻击首次将受保护模型中的嵌入身份消息减少到几乎随机。同时，与已知的去除攻击，我们的攻击不需要先验知识的训练数据分布或所采用的水印算法，并留下完整的模型功能。
2022-05-19 cs.CR cs.CV cs.LG
How to Prove Your Model Belongs to You: A Blind-Watermark based Framework to Protect Intellectual Property of DNN
Shandong University（山东大学）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）
在过去的十年中，深度学习技术在各种具有挑战性的任务中取得了巨大的进步，例如图像识别和机器翻译。训练深度神经网络在计算上是昂贵的，并且需要人力和智力资源。因此，需要保护模型的知识产权，对外验证模型的权属。然而，以前的研究要么未能抵御规避攻击，要么没有明确处理对手的欺诈性所有权声明。此外，他们无法在模型和创建者的身份之间建立明确的关联。为了填补这些空白，本文提出了一种新的知识产权保护（IPP）框架，基于盲水印的水印深度神经网络，满足安全性和可行性的要求。我们的框架接受普通样本和专有标识作为输入，输出新生成的样本作为水印，这些水印几乎与原始无法区分，并通过分配特定标签将这些水印注入DNN模型，留下后门作为我们版权声明的基础。我们在两个基准数据集和15个流行的深度学习模型上评估了我们的IPP框架。结果表明，我们的框架成功地验证了所有模型的所有权，而对其主要任务没有明显的影响。最重要的是，我们是第一个成功地设计和实现了一个盲水印的框架，它可以实现最先进的性能对逃避攻击的不可检测性和不可伪造性对欺诈性索赔的所有权。此外，我们的框架显示出显着的鲁棒性，并建立了一个明确的模型和作者的身份之间的关联。
2019-11-07 cs.CR cs.LG cs.MM
Fine-tuning Is Not Enough: A Simple yet Effective Watermark Removal Attack for DNN Models
College of Computer Science, Chongqing University, China（重庆大学计算机学院）；School of Computer Science and Engineering, Nanyang Technological University, Singapore（南洋理工大学计算机科学与工程学院）；Institute for Network Sciences and Cyberspace, Tsinghua University, China（清华大学网络科学与网络空间研究院）；The Bradley Department of Electronic and Computer Engineering, Virginia Tech（弗吉尼亚理工大学布拉德利电子与计算机工程系）
数字水印技术已经成为保护DNN模型知识产权的发展趋势。最近的作品，从对手的角度来看，试图通过设计水印去除攻击破坏水印机制。然而，这些攻击主要采用复杂的微调技术，这些技术具有某些致命的缺点或不切实际的假设。在本文中，我们提出了一种新的水印去除攻击从不同的角度。我们设计了一个简单而强大的变换算法，结合不可感知的模式嵌入和空间级变换，而不是仅仅微调的水印模型，它可以有效地和盲目地破坏水印模型的水印样本的记忆。我们还引入了一个轻量级的微调策略，以保持模型的性能。我们的解决方案需要更少的资源或知识的水印方案比以前的作品。大量的实验结果表明，我们的攻击可以绕过国家的最先进的水印解决方案，具有非常高的成功率。基于我们的攻击，我们提出了水印增强技术，以提高现有的水印的鲁棒性。
2021-05-17 cs.CR cs.LG stat.ML
Q-Tag: Watermarking Quantum Circuit Generative Models
School of Electronic and Information Engineering, Anhui University（安徽大学电子与信息工程学院）；Institute of Artificial Intelligence, Hefei Comprehensive National Science Center（合肥国家科学中心人工智能研究所）；School of Computing, National University of Singapore（新加坡国立大学计算机学院）；School of Cyber Science and Technology, University of Science and Technology of China（中国科学技术大学网络科学与技术学院）；Laboratory of Quantum Information, University of Science and Technology of China（中国科学技术大学量子信息实验室）；Origin Quantum Computing Technology Company（起源量子计算技术有限公司）
Q-Tag提出一种集成于量子电路生成模型的水印技术，通过生成过程嵌入所有权信号以保护电路版权，同时保持电路保真度。
2026-02-26 cs.LG quant-ph
PGID: Progressive Guided Inversion and Denoising for Robust Watermark Detection
City University of Hong Kong（香港城市大学）
本文提出PGID，一种无需训练的噪声提取框架，通过逐步反向和去噪来恢复水印检测的可靠性，对抗伪造攻击和水印移除攻击。
2026-10-28 cs.CV cs.LG
Traceable Black-box Watermarks for Federated Learning
University of Nevada, Reno（内华达大学拉斯维加斯分校）；Oak Ridge National Laboratory（橡树岭国家实验室）
TraMark提出一种服务器端水印方法，通过划分模型参数空间实现可追溯黑盒水印注入，用于联邦学习中的模型泄露检测。
2026-02-08 cs.CR cs.LG
PRO: Enabling Precise and Robust Text Watermark for Open-Source LLMs
University of Central Florida（佛罗里达中央大学）；Florida State University（佛罗里达州立大学）；Florida International University（佛罗里达国际大学）
针对开源大语言模型水印因无法控制解码、易受下游修改影响而可检测性差的问题，提出联合训练水印策略模型与LLM、加正则化模拟扰动的PRO方法，显著提升水印可检测性与抗修改鲁棒性。
2025-10-27 cs.AI cs.CR cs.LG
GUISE: Graph GaUssIan Shading watErmark
Delft University of Technology（代尔夫特理工大学）
本文提出GUISE，将性能无损的Gaussian Shading水印技术适配至潜在3D图扩散模型，用于保护分子图生成技术，实验证明其在保持分子统计一致性的同时实现了高检测率与鲁棒性。
2024-10-14 cs.LG cs.MM
WaterMAS: Sharpness-Aware Maximization for Neural Network Watermarking
Telecom SudParis（电信南巴黎学院）；Institut Polytechnique de Paris（巴黎综合理工学院）；Università degli Studi di Torino（都灵大学）；LTCI（通信与信息处理实验室）；Télécom Paris（巴黎电信学院）；Università degli Studi di Padova（帕多瓦大学）
本文提出白盒水印方法 WaterMAS，通过保持权重不变并锐化梯度空间，在鲁棒性、不可感知性、复杂度、载荷与安全性间取得更好权衡，并在多模型、多任务和四类攻击下验证有效性。
2024-09-05 cs.CR cs.LG cs.MM
Watermarks for Embeddings-as-a-Service Large Language Models
The University of Melbourne（墨尔本大学）
本研究提出WET技术，通过线性变换增强EaaS水印的鲁棒性，以防御模仿攻击。
2025-11-28 cs.CL cs.CR cs.LG
