基于脆弱指纹的深度神经网络模型完整性验证框架

来源：计算机应用杂志2024年第11期北京时间：

作者：林翔, 金彪, 尤玮婧, 姚志强, 熊金波

单位：1.福建师范大学 计算机与网络空间安全学院，福州 350117；2.福建省网络安全与密码技术重点实验室（福建师范大学），福州 350007

摘要：预训练模型容易受到外部敌手实施的模型微调和模型剪枝等攻击，导致它的完整性被破坏。针对这一问题，提出一种针对黑盒模型的脆弱指纹框架FFWAS （Fragile Fingerprint With Adversarial Samples）。首先，提出一种无先验知识的模型复制框架，而FFWAS为每一位用户创建独立的模型副本；其次，利用黑盒方法在模型边界放置脆弱指纹触发集，若模型发生修改，边界发生变化，触发集将被错误分类；最后，用户借助模型副本上的脆弱指纹触发集对模型的完整性进行验证，若触发集的识别率低于预设阈值，则意味着模型完整性已被破坏。基于2种公开数据集MNIST和CIFAR-10对FFWAS的有效性和脆弱性进行实验分析，结果表明，在模型微调和剪枝攻击下，FFWAS的指纹识别率相较于完整模型均明显下降并低于设定阈值；与基于模型唯一性和脆弱签名的深度神经网络认证框架（DeepAuth）相比，FFWAS的触发集与原始样本在2个数据集上的相似性分别提高了约22%和16%，表明FFWAS具有更好的隐蔽性。

关键词：神经网络,预训练模型,脆弱指纹,模型完整性,黑盒模型

基金资助：国家自然科学基金资助项目(62272102);福建省自然科学基金重点项目(2023J02014);福建省自然科学基金资助项目(2023J01531)