深度进修模子常识产权爱护怎样做？看IJCAI 2021 Workshop说了什么

呆板之心报道

呆板之心编辑部

在方才完结的 IJCAI 2021 大会上，「深度进修模子知识产权爱护国际钻研会(DeepIPR-IJCAI’21)」正式进行，这场钻研会由微众银行、马来亚大学、香港科技大学、上海交通大学配合主理。

呆板进修，尤其是深度神经网络（DNN）技能，比年来在诸多范畴取得了庞大乐成，很多科技公司都将神经网络模子摆设在贸易产物中，进步效益。练习先辈的神经网络模子必要大范围数据集、巨大的盘算资源和设计者的才智。这详细表现在：（1）深度进修模子应用的练习模子范围庞大，以 GPT-3 为例，其预练习所用的数据量到达 45TB，练习用度凌驾 1200 万美元，有着极高的经济本钱（2）深度进修模子在练习摆设到产业应用场景历程中（好比才智金融，才智医疗应用），必要引入金融、医疗等范畴专有先验知识，是以在模子设计历程就必要引入专家的知识和履历来订制模子，这表现了人脑力的知识产权。（3）深度进修模子的练习历程，必要特定范畴的海量数据作为练习资源，存在数据自己代价和知识属性。以上属性决定了颠末练习的深度进修模子具有很高的贸易代价和知识属性，一定将其纳入正当全部者（即创建它的一方）的知识产权。是以，从技能上急迫必要爱护深度神经网络（DNN）模子不被非法复制、重新分发或滥用。

深度进修模子知识产权爱护题目，是一个跨学科的综合性议题，涉及盘算机宁静，人工智能理论与要领、知识产权爱护、执法等诸多方面。深度进修模子的盗用、非法复制、分发等，打击者可以采纳技能本领大概非技能本领；但要确认盗用且声明模子全部权，则是完全从技能端来提取证据，以便从法例的角度来认证模子全部权。详细而言，（1）从盘算机宁静角度动身，技能本领必要接纳暗码学可信的协议，来包管模子的知识产权验证和公布历程是精密可信的；（2）从人工智能理论要领角度动身，模子的全部权认证技能必要包管不捐躯模子可用性条件下，提供可靠且鲁棒的知识产权爱护要领；（3）在法例层面，从技能端对模子全部权提取证据之后，这些证据能成为模子全部权的依据。终极羁系方要通过法例的爱护，来裁定模子全部者的知识产权，这必要相干法例来引导怎样从技能判据，来鉴定模子全部权。据笔者所知，现在尚未有相干的立法详细到深度进修模子知识这一子范畴，模子知识产权爱护不但必要科技事情者的参加，也必要知识产权爱护范畴事情者的存眷和高兴。

本次钻研会定位于深度神经网络知识产权爱护研究的前沿，展示研究机构及高校试验室在此范畴举行的最前沿的事情。分别来自德国、芬兰、马来西亚和中国的 8 位学者，就深度进修模子知识产权爱护题目，从算法、协议、宁静等多个角度动身，分享了他们对模子知识产权爱护的思索和事情。

在 Talk 1 中，南京航空航天大学的薛明富老师带来了《DNN Intellectual Property Protection: Taxonomy, Attacks and Evaluations》的主题讲座，他对深度进修模子爱护要领举行了分类性的总结，从模子场景、爱护机制、爱护本领、目的模子等维度，对模子知识产权爱护研究举行了梳理，而且总结了针对已有的要领，存在的打击和挑衅，并给出了体系评估的相干发起。这场讲座为模子爱护范畴总结了研究近况和进展脉络。

来自德国 Fraunhofer AISEC 研究院的 Franziska Boenisch，同样针对神经网络水印技能分享了视角下的模子知识产权爱护的综述研究事情。Franziska 从神经网络水印技能的需求、算法应用、威胁模子等角度回忆了现有的研究事情，以神经网络水印技能的可用性、鲁棒性、可靠性、完备性等要求为主线，串联回忆了已有的模子水印研究，指出了现有的研究存在几大待办理的题目，包罗缺乏自动爱护机制，算法数据范例案例有限和法律保障和技能研究并轨。

作为深度进修模子知识产权爱护的资深研究者，结业自马来亚大学以及微众银行 AI 项目组算法研究员 Kam Woh Ng 分享了他所提出的用数字护照爱护模子知识产权的要领。Kam Woh Ng 阐发了神经网络模子知识产权爱护的相干研究的最新希望后发觉，一种旨在通过伪造水印来对全部权验证孕育发生疑问的含糊打击，对多种基于水印的 DNN 全部权验证要领对 DNN 的知识产权爱护组成了严峻威胁。

针对上述宁静毛病，Kam Woh Ng 提出了一种新鲜的基于数字护照的 DNN 全部权验证方案，该方案既对网络剪枝及微调等修改具有鲁棒性，又可以或许抵挡含糊打击。嵌入数字护照的要害在于，以一种奇妙的方法设计和练习 DNN 模子，从而使原 DNN 的事情性能在利用伪造护照时大大低落。也便是说，真正的数字护照不但可以依据预界说的数字署名来举行验证，并且还可以依据 DNN 模子的事情性能来认定。Kam Woh Ng 细致分享怎样利用数字护照爱护 DNN 以及抵挡含糊打击。

Kam Woh Ng 的 Passport 模子爱护要领提供了一大类通用的模子爱护思绪，在本次钻研会中，另有其他研究者也分享了模子水印要领详细应用在图像天生、图像概述等模子中的事情。

来自马来西亚马来亚大学的 Ding Sheng Ong，针对图像天生深度进修模子，分享了题为《Protecting Intellectual Property of Generative Adversarial Networks From Ambiguity Attacks（GAN 的知识产权爱护要领）》的讲座。

固然现在已有效于卷积神经网络（CNN）的 IPR 爱护要领，但是却不克不及直接利用在天生反抗网络（GANs）——另一种被遍及用于天生传神图像的深度进修模子。是以，本文提出了一种基于黑盒与白盒的 GAN 模子 IPR 爱护要领。试验效果评释，本要领并不会侵害 GAN 原来的性能（如图像天生、图像超辨别率以及样式转换）。本要领也可以或许抵挡去除嵌入的水印（removal）和含糊（ambiguity）打击。分享中讲授了怎样基于黑盒与白盒的方法爱护反抗天生网络（GANs），以及怎样抵挡种种水印打击。

来自马来西亚马来亚大学的 Jian Han Lim, 针对图像标注（image caption）神经网络模子，带来了题为《Protect, Show, Attend and Tell: Empower Image Captioning Model with Ownership Protection》的分享。Jian Han Lim 指出，现有的深度神经网络知识产权 (IPR) 爱护通常 i) 仅专注于图像分类使命，以及 ii) 遵照尺度的数字水印框架，该框架通常用于爱护多媒体和视频内容的全部权。Jian Han Lim 论证了当前的数字水印框架不敷以爱护通常被视为人工智能前沿之一的图像标注使命。作为增补，本文研究并提出了在轮回神经网络中的两种差别署名水印嵌入方案。从理论和履历的角度来看，其证明伪造的密钥会孕育发生无法利用的图像标注模子，从而制止了侵权的违规举动。该事情是第一个对图像字幕使命提出全部权爱护的事情。别的，大量试验评释，所提出的要领不会影响 Flickr30k 和 MS-COCO 数据集上全部通用字幕指标的原始图像标注使命性能，同时它可以或许蒙受去除打击和比方义打击。

针对深度进修常见使命和模子，已有上述所示多种神经网络爱护算法案例提供算法支持。那么怎样设计可行的通讯协议，引导模子全部权验证的现实实行？

来自上海交通大学的李方圻针对模子全部权验证的场景、协媾和远景举行了题为《Regulating Ownership Verification for Deep Neural Networks: Scenarios, Protocols, and Prospects》的分享。

李方圻先容说，随着深度神经网络的遍及应用，将其作为知识产权加以爱护的须要性变得显而易见，研究者已经提出了很多水印方案来辨认深度神经网络的全部者并验证全部权。然而，大多数研究都专注于水印嵌入而不是可证明验证的协议，为了弥合这些发起与实际天下需求之间的差距，李方圻先容了三种场景下的深度进修模子知识产权爱护：全部权证明、联邦进修和知识产权转移，展示了已创建的暗码原语和人工智能设置之间的联合，这可以组成有用且可证明的呆板进修宁静性的底子。

已有的深度进修模子知识产权爱护要领重要着眼于深度神经网络水印的算法实践和鲁棒性挑衅，现在没有把模子水印算法实践到漫衍式神经网络练习的研究。来自上海交通大学以及微众银行 AI 项目组的李博闻带来了题为《联邦深度进修模子全部权爱护》的讲座：思量一个不完全信托的联邦进修体系中，假定各参加方可以或许根据联邦规则来举行模子更新和协同练习，但相互不泄漏私有当地数据和私密署名。在这种设定下，李博闻论述了一种新鲜的团结深度神经网络 (FedDNN) 全部权验证方案，该方案许可嵌入和验证全部权署名，以声明 FedDNN 模子的正当知识产权 (IPR)，以防模子被非法复制、重新分发或滥用 . 嵌入式全部权署名的有用性在理论上是通过证明的条件来证明的，在这种条件下，署名可以被多个客户端嵌入和检测，而无需公然私家署名。

最终，来自芬兰 Aalto 大学的 Buse Atli 带来了题为《Model Stealing and Ownership Verification of Deep Neural Networks》的综合性分享。近来的一些事情评释，从技能的层面，人们临时无法完全制止深度进修模子盗取打击，差别的模子盗取检测防备机制要么无法反抗壮大的对手，要么对模子性能和良性用户的服从孕育发生负面影响。是以，模子全部者可以通过证明被盗模子的全部权来淘汰此类打击的动机，而不是防备模子被盗取自己。已经提出的种种模子水印方案被遍及用于可靠的全部权验证，水印深度神经网络（DNN）引起了学术界相称大的研究兴趣（尤其是在图像分类方面），由于深度进修模子水印易于摆设而且对模子性能的影响可以纰漏不计。而且，学术界针对 DNN 水印技能提出了很多差别的打击要领，从而对其鲁棒性提出了质疑。

在本次演讲中，Buse 先容了针对差别模子盗取打击、动态反抗性水印 (DAWN) 作为对模子盗取的威慑以及联邦进修中模子水印技能 (WAFFLE) 的相干事情，以依据差别的宁静和隐私要求对这些要领举行阐发。

聚拢顶尖学者，存眷深度进修模子知识产权爱护范畴，DeepIPR-IJCAI’21已成为环球模子爱护范畴最前沿的学术动态窗口。以科技本领办理期间困难，多位行业领军者的干货分享，必然可以或许成为当下期间模子知识产权爱护范畴最有力的助推器。

讲座视频回忆及更多信息可检察钻研会官网大概B站

• 官网：http://federated-learning.org/DeepIPR-IJCAI-2021/
• B站：http://www.bilibili.com/video/BV1PP4y1W7nS