基于后门水印的联邦模型授权方案

张准; 李佳睿; 岳鹏; 杨文元; 操晓春

doi:10.20172/j.issn.2097-3136.240110

网络空间安全科学学报 >

2024 , Vol. 2 >Issue 1: 113 - 122

DOI: https://doi.org/10.20172/j.issn.2097-3136.240110

学术研究

基于后门水印的联邦模型授权方案

张准 ,
李佳睿 ,
岳鹏 ,
杨文元 * ,
操晓春

展开

中山大学网络空间安全学院，深圳 518107

杨文元

网络出版日期: 2024-05-18

基金资助

广东省基础与应用基础研究重大项目 (2023B0303000010)；中国航空研究院航空科学基金（2022Z0660M1001）；深圳前海微众银行股份有限公司校企合作项目（SYSU-73120-20230721-0001）

版权

收起

Federated model authorization scheme based on backdoor watermarking

ZHANG Zhun ,
LI Jiarui ,
YUE Peng ,
YANG Wenyuan * ,
CAO Xiaochun

Expand

School of Cyber Science and Technology, Sun Yat-sen University, Shenzhen 518107, China

Online published: 2024-05-18

Copyright

Fold

摘要

随着分布式机器学习技术在众多领域的深入应用，其模型安全性问题日益凸显。联邦学习作为一种创新的分布式机器学习方法，在保护数据隐私的同时，允许多方参与者共同训练模型。然而，训练得到的模型存在被滥用和难以实现版权保护等方面的问题，导致恶意用户可能在未经允许的情况下使用模型并谋取经济利益，侵犯参与方的模型版权和知识产权。对于分布式机器学习中存在的模型滥用及版权难以保护的问题，针对联邦学习场景，提出了一种基于后门水印的联邦模型授权方案。该方案在模型训练完成后，通过中心服务器端嵌入后门水印和发放访问令牌，实现对模型使用权的管理。在这一方案下，仅当收集到多数参与方的访问令牌，即获得他们的授权时，用户才能恢复出后门信息，获得模型的使用权；否则，用户在缺乏后门信息的情况下，不能通过模型的验证，无法正常使用模型。在多种数据集上的实验表明，嵌入后门水印的模型与原联邦学习模型相比仅存在可以忽略的精度损失，且能准确验证授权信息，高效识别用户。该方案不仅有效地解决了联邦学习模型的版权保护问题，也大幅提升了联邦学习模型应用的安全性和可靠性。

关键词： 分布式机器学习; 联邦学习; 模型授权; 隐私保护; 后门水印

本文引用格式

张准 , 李佳睿 , 岳鹏 , 杨文元 , 操晓春 . 基于后门水印的联邦模型授权方案[J]. 网络空间安全科学学报, 2024 , 2(1) : 113 -122 . DOI: 10.20172/j.issn.2097-3136.240110

Abstract

With the deepening application of distributed machine learning techniques in various fields, issues concerning model security have become increasingly prominent. Federated learning, as an innovative method of distributed machine learning, allows multiple participants to jointly train models while protecting data privacy. However, the models trained face issues of misuse and challenges in copyright protection. Malicious users may utilize these models without authorization, seeking economic benefits and thus infringing upon the copyright and intellectual property rights of the participating entities. Addressing the problem of model misuse and difficulty in protecting copyrights in distributed machine learning, A federated model authorization scheme was proposed based on backdoor watermarking for the federated learning context. This scheme embeds backdoor watermarks and issues access tokens through a central server after model training, managing the usage rights of the model. Under this scheme, users can only recover the backdoor information and obtain the right to use the model after collecting the access tokens from the majority of the participants, signifying their authorization. Otherwise, without the backdoor information, the user cannot pass the model's verification and is unable to use the model normally. Experiments conducted on multiple datasets indicate that the accuracy of models embedded with backdoor watermarks is negligibly different from that of the original federated learning models. Moreover, these models can accurately verify authorization information and efficiently identify users. This federated model authorization scheme based on backdoor watermarking not only effectively resolves the copyright protection issues of federated learning models but also significantly enhances their overall security and reliability.

Key words： distributed machine learning; federated learning; model authorization; privacy protection; backdoor watermarking

0 引言

深度学习（Deep Learning），作为机器学习领域的前沿研究方向，通过解析样本数据的深层次规律和特征，极大地促进了文字、图像及声音等数据的解析能力^[1−3]。深度学习的目标在于赋予机器类似人类的分析和学习能力，并做出相应预测与分析。其在语音、图像识别等领域取得的进步远超过先前技术，并在搜索引擎优化、数据挖掘、自然语言处理等多个领域取得显著成效。深度学习的发展为解决复杂模式识别问题和推动人工智能技术提供了关键动力。

深度学习模型的版权保护是确保其商业和法律权益的关键。模型的训练依赖大量数据和计算资源，成本高昂，这促使将训练完备的模型作为商品出售或提供特定服务成为一种商业模式。然而，模型的非法获取和使用将严重损害原开发者的商业利益和知识产权。为此，版权保护技术近年来得到了显著发展，旨在保障深度学习模型所有者的法律权益。这些版权保护技术主要包括版权验证和主动授权：前者通过水印技术将模型开发者的唯一标识嵌入到模型中，确保其原创性和认证性；后者利用算法对模型进行保护，防止未授权的访问和使用。这两种方法共同构成了深度学习模型的版权保护框架，不仅确保了模型的安全性，也为模型开发者的知识产权提供了坚实的保障。

随着数据隐私和安全性成为公众关注的焦点，联邦学习（Federated Learning， FL）作为一种分布式机器学习技术应运而生，用以解决数据隐私和安全性问题。传统的以数据为中心的模型训练方法正面临诸多挑战，例如数据孤岛问题、效率问题等。为应对这些挑战，分布式机器学习技术逐渐兴起，它允许在不同地点的多个计算节点之间分布式地处理数据和训练模型。早期的分布式计算尝试通过整合来自不同来源的数据进行分布式建模，旨在解决数据孤岛问题。这种方法将计算密集型任务分配到多个计算节点上，不仅提高了计算效率，还降低了任务的能耗。然而，分布式机器学习仍面临诸多问题，特别是，重量级分布式系统架构往往会带来巨大的沟通成本，这直接影响了数据的传输和处理效率^[4]。在大规模数据传输的过程中，隐私泄露问题几乎不可避免。在这种背景下，联邦学习引入了一种创新的隐私保护机制，提供了一种新的解决路径。该技术允许通过分布式终端设备进行模型训练，有效防止了数据在传输过程中的潜在泄露。联邦学习不仅保障了数据的隐私性和模型的质量，而且通过避免负迁移现象优化了模型的整体性能。在联邦学习的架构下，各参与方在保持其数据独立性的前提下，通过加密技术交换模型参数并同步更新本地模型，从而确保了数据和模型的安全性。

考虑到联邦学习模型的开发依赖于多个参与方共享的数据资源，所以其版权保护问题成为一个不容忽视的议题。在联邦学习的多方合作环境中，严格禁止非法使用、盗用和滥用模型，对于保障各方的权益至关重要。与传统机器学习模型相比，联邦学习模型的知识产权应当共同归属于参与模型训练的各方，但是，没有任何单一参与方拥有该模型的完整版权。然而，该模型存在一个潜在的风险，即单一节点可能泄露模型信息，引发模型的滥用。针对联邦学习场景，寻求一种既能积极保护模型版权，又能有效实现用户授权，同时提供全面的商业版权管理机制的解决方案，显得尤为迫切和关键。

因此，本文提出了一种基于后门水印技术的联邦模型授权方案。该方案在联邦学习模型训练完成后，通过中心服务器在模型中嵌入特定的后门水印，同时发放访问令牌。在该方案的运作机制下，考虑到单个参与方不能拥有联邦模型的完整版权，用户仅在收集到多数参与方发放的访问令牌，并且得到他们的授权确认后，才能恢复出后门信息，从而获得模型的使用权。否则，用户在缺乏后门信息的情况下，不能通过模型的验证，无法正常使用模型。与其他联邦模型的版权保护方法相比，该方案可以提供主动的模型授权控制，防止未授权者滥用模型，并且该方案可使全部联邦节点共同参与模型授权管理。

1 相关工作

1.1 联邦学习研究现状

近年来，大规模机器学习和数据分析的计算方法已转向由众多单个小型且不可靠的计算节点组成的大规模分布式系统。联邦学习^[5]作为一种应对数据分布性和隐私问题的机器学习范式，旨在构建基于多方数据集但不共享数据的机器学习模型，以应对分布式数据的隐私问题。根据数据分区特征，联邦学习可划分为横向联邦学习、纵向联邦学习和联邦迁移学习^[6]，分别适用于不同的数据分布和参与者特征。

联邦学习技术通过模型参数或中间结果的共享来完成模型的分布式训练，避免了数据的直接交换，可以有效满足市场监管的需求^[4]。在欧盟提出《通用数据保护条例》，国内提出《中华人民共和国网络安全法》的背景下，数据隐私保护的法律法规会越来越严格化、全面化。过去可行的人工智能算法在这些严格的数据隐私保护前提下变得不可行。因此，需要由具有更高安全要求和隐私要求的联邦学习技术来帮助实现大数据产品和服务的提供。

在实践中，客户端−服务器式联邦学习是主流的联邦学习范式。这种模式主要涉及两类不同的主体：客户端和服务器。客户端通过本地数据训练模型并计算梯度，而服务器则在接收到这些梯度后进行汇总处理，从而实现模型的全局优化。具体来说，联邦学习的模型训练步骤可以分为4个^[7]，即客户端选择、客户端计算、服务器聚合及模型更新。一个服务器通过重复上述4个步骤来完成训练过程，直到训练停止。

然而，服务器和客户端频繁通信交互会造成显著的通信负担^[7]。为解决这一问题，McMahan等^[5]针对联邦学习的低带宽环境提出了FedAvg算法。该算法要求客户端在本地多次训练，然后与中心服务器进行模型更新的交互，有效降低了通信轮数，同时保证了模型的训练精度。Li等^[8]提出了FedProx算法。该算法允许根据客户端设备的可用系统资源执行可变次数的梯度下降算法，不仅缩短了模型收敛的时间，还实现了模型更新数据的有效压缩，使之更适应于具有不同客户端数据质量和计算资源的联邦学习场景。Liu等^[9]针对传统联邦学习框架的局限性提出了改进方案。他们指出，传统联邦学习通常仅采用一阶梯度下降，却忽视了先前迭代中的梯度更新信息。因此，他们提出了MFL（Momentum Federated Learning）方案，该方案在联邦学习的本地模型更新阶段采用动量梯度下降，在特定条件下，能显著提高模型训练的收敛速度。

在联邦学习框架中，缺乏有效激励机制也可能导致参与训练的客户端不上传更新模型或上传虚假的模型更新。为应对这一问题，Kim等^[10]设计了BlockFL架构。在该架构中，各客户端将本地模型更新上传给区块链网络中的关联矿工，矿工负责交换和验证模型更新，并将其记录在区块链上，同时为参与设备提供相应的奖励。Kang等^[11]引入了声誉概念，并将其作为衡量客户端信任度的关键指标。他们利用多权重的主观逻辑模型设计了基于声誉的可信客户端选择机制。此方案利用区块链的不可篡改特性来实现分布式信誉管理，并通过契约理论对客户端的算力投入、模型质量等因素进行分析，确保参与模型构建的客户端获得相应的回报。

1.2 模型版权保护研究现状

深度神经网络（Deep Neural Network，DNN）在计算机视觉、自然语言处理和数据挖掘等领域取得的成就，是基于昂贵的训练过程实现的。一方面，设计和训练DNN模型需要丰富的专业知识、专用的硬件支持以及大量的资金投入；另一方面，为了提高模型性能，需要依赖大量的训练数据，而模型性能与训练数据量联系紧密^[12]。因此，保护高价值的训练数据和DNN模型，避免其被非法复制、重新分发或滥用成为一个紧迫的任务。

深度学习模型的版权保护可以通过模型水印技术实现。到目前为止，基于白盒水印和基于黑盒水印的方法都已经被广泛地应用于DNN模型版权保护当中。Uchida等^[13]提出了DNN模型版权保护方法，通过将水印嵌入模型中间层权重中，使水印在模型内部参数公开的白盒场景下有效。

在当前的实践中，绝大多数部署于云服务器的深度学习模型均处于黑盒场景。在这一场景下，外部用户或验证者只能通过应用程序编程接口获得模型的预测结果和置信度，而无法访问到模型内部的具体信息。这种情况下，传统的基于模型内部参数的版权保护方法受到限制。面对这一挑战，Darvish等^[14]提出了一种创新的水印技术，将水印嵌入到模型的中间层和输出层的激活集中，使其既适用于白盒场景也适用于黑盒场景。这种方法通过在模型的关键激活节点嵌入特定的水印，实现了在不同场景下的有效版权验证。Cao等^[15]提出的IPGuard使用模型分类边界附近的数据点及其对这些数据点的预测作为模型的指纹。如果可疑模型对大部分该类指纹数据点的预测结果与原始模型一致，则可判定该模型为盗版。

深度学习模型的版权保护还可以通过模型授权技术实现。当前研究集中在通过密钥授权来实现模型的安全使用，即仅允许持有特定密钥的用户访问和操作模型。在此方向上，Alam等^[16]提出了一种安全性较高的方法，即利用加密原语SBox对DNN模型的全部参数进行加密。Song等^[17]提出了一种针对DNN模型的临界权重加密方案，该方案通过加密关键权重来锁定DNN模型。此外，Ito等^[18]探索了对DNN模型的中间计算结果进行加密的策略。

在联邦学习模型版权保护领域，Li等^[19]提出的FedIPR允许每个客户端将自己的水印嵌入模型中，解决了联邦学习场景多水印冲突的问题。Liu等^[20]提出了一种基于同态加密和后门水印的联邦学习框架，在该框架下由客户端负责嵌入水印，中心服务器无法访问同态加密后的梯度信息，在确保数据隐私的同时，提供了可靠的版权保护。Tekgul等^[21]提出了WAFFLE方案，该方案在服务器聚合本地模型后增加了一个重训练步骤，以在每次模型更新迭代后，通过收集来自客户端本地模型的梯度，将基于后门的水印嵌入聚合模型中。

然而，在联邦学习场景中，目前的研究主要集中于模型侵权事件发生后的被动验证方法。这类方法虽能有效验证模型的所有权，但缺乏主动预防侵权行为的机制。一旦侵权行为发生，虽然可以事后识别并验证侵权模型，但对于阻止侵权行为的发生及其可能造成的损失则无能为力。此外，尽管存在针对联邦学习模型的授权方案，这些方案却忽略了将模型版权共同归属于所有参与方的重要性，而是采取了由中心服务器直接进行授权的方式。因此，本文提出基于后门水印的联邦模型授权方案。

2 基于后门水印的联邦模型授权方案

2.1 方案总体设计

本文针对联邦学习场景提出了一种开创性的联邦学习授权方案，该方案基于后门水印技术，致力于打造一个效率高、安全性强、适用范围广的联邦学习模型授权控制方案。方案的总体架构如图1所示，由4个模块组成：联邦训练、后门嵌入、密钥生成与分割、授权管理。在联邦训练模块中，参与方作为客户端使用本地数据训练模型，服务器聚合并分发模型。在后门嵌入模块中，中心服务器将设计的后门信号融入干净图像集中，生成后门数据集，对模型进行微调，得到嵌入后门水印的全局模型。在密钥生成与分割模块中，中心服务器基于后门信号的位置等信息生成密钥，并利用中国剩余定理（Chinese Remainder Theorem，CRT）分割后得到子密钥，作为访问令牌分发给参与方。在授权管理模块中，用户收集一定数量的访问令牌，从而得到后门信号的相关信息。用户把得到的后门信息上传，可得到模型的正常输出，从而获得模型的使用权。否则，若用户未收集到足够数量的访问令牌或者伪造访问令牌，将无法恢复出后门信息，从而不能通过模型的验证，也就无法正常使用模型。未授权的用户即使向模型输入自己的数据，也无法得到有效的输出结果。

显示原图|下载原图ZIP|生成PPT

图 1 基于后门水印的联邦模型授权方案的总体架构

Fig.1 Overall architecture of federated authorization scheme based on backdoor watermarking

接下来的几个小节将会对这4个模块进行详细描述。

2.2 联邦训练模块

在联邦学习中，主流的模型聚合方法主要分为两种：一是中心服务器对客户端（参与方）每次训练产生的梯度进行加权聚合，二是中心服务器对客户端模型的整体参数进行加权聚合。尽管前者提供了实时更新的优势，但却以较高的通信成本为代价，并且存在潜在的安全风险，即攻击者可能通过分析梯度信息来推断出部分数据内容。所以本方案选择后一种策略，即在每轮迭代中对客户端更新后的模型参数进行加权聚合。这种方法通过聚合直接聚合模型参数而非梯度，能够更有效地利用不同客户端的本地学习信息，从而提升模型的训练速度。而且参数聚合还有利于减少模型在训练过程中对单个客户端数据的依赖，增强模型的鲁棒性。

具体来说，在中心服务器上，首先初始化全局模型参数为w₀，并将该模型分发给所有客户端。对于每一轮迭代t，中心服务器随机选择参与当前训练轮次的客户端集合C_t。对于集合C_t中的每个客户端c，客户端从服务器接收当前的全局模型参数w_t。客户端利用其本地数据进行训练，使用随机梯度下降（Stochastic Gradient Descent，SGD）^[22]优化本地模型。更新完成后，客户端将其模型参数w_t，c发回服务器。服务器接收所有参与客户端返回的模型参数，并执行公式（1）加权平均，以获得新一轮的全局模型参数w_t+1，其中n为选取的客户端的数量。该过程重复进行，直至达到预定的迭代轮数或模型性能满足要求。

(1)

$ {w}_{t+1}=\frac{1}{n}\displaystyle\sum\nolimits _{c}{w}_{t,c} $

在训练过程的最后一个迭代周期中，中心服务器将汇聚各客户端提交的参数，从而构建最终的全局模型。不同于直接向参与方分发模型，中心服务器此时会先执行后门嵌入步骤。

2.3 后门嵌入模块

在本方案中，采用多触发后门水印技术^[23]将后门嵌入模型中。在该方案框架下，数据包含的后门信号数量能够反映出不同置信度水平，模型可以通过分析这些置信度来判断用户的权限。

从实践角度考虑，后门嵌入操作以实际数据作为支撑基础；然而，后门水印的嵌入由中心服务器执行，为了在数据隐私保护和后门水印嵌入之间达到平衡，假设在服务器端维护了一个占总数据量不超过20%的干净数据集，以便在保障数据隐私的前提下实现嵌入操作。在嵌入后门水印时，必须权衡信号强度与注入比例之间的关系。具体来说，更强的信号强度能够减少为达到有效嵌入所需的后门数据集比例，然而，过强的信号可能会提高后门被侦测的概率，所以需要在确保信号隐蔽性和减少数据集修改量之间寻求平衡。此外，后门信号的数量及其形状可以根据不同的应用场景和安全需求灵活设定，以适应各种不同的联邦学习模型的安全策略和防御机制。

具体地说，以CIFAR−10数据集^[24]为例，后门信号的尺寸设计为5像素×5像素。如图2所示，这些后门信号被设计并嵌入到CIFAR−10数据集的图像中，该数据集包含的图像分辨率为32像素×32像素。在设定坐标系时，将图像的左下角坐标定义为(0，0)，右上角坐标定义为(31，31)。基于这一坐标系统，定义了9个不同的后门信号，每个信号均为强度为0.2、大小为5×5的正方形噪声，具体位置由其左下角和右上角的坐标对确定。例如，后门信号的坐标对可以表示为[(3，25)，(7，29)]、[(24，4)，(28，8)]等。通过这种方法，能够在数据集中精确地定位和植入预定义的后门信号，这为进一步的研究提供了一个可验证和可重复的实验环境。在其他数据集中，同样设计该种后门信号，但是其位置可以根据数据集中的图片大小进行调整。

显示原图|下载原图ZIP|生成PPT

图 2 后门信号

Fig.2 Backdoor signal format

在构建含有后门的模型过程中，中心服务器首先从干净数据集中选择特定数量的图像及其相关标签。接下来，将设计好的9个后门信号逐一注入这些选定的干净图像并相应地调整标签至特定类别，以形成后门图像集。后门图像集会被合并回干净数据集中，从而创建出后门数据集。随后，利用后门数据集对模型进行微调，最终得到嵌入后门的全局模型。

为了验证后门嵌入效果，需要测试不同数量后门信号图像触发的置信度。具体的验证过程是，随机选取特定数量的干净图像集，嵌入后门信号，修改标签。然后，将含有后门信号的图像输入全局模型，并观察模型对这些图像输出的平均置信度是否满足特定条件。如果模型输出的平均置信度满足公式（2），即达到预期效果。

(2)

$ \displaystyle\sum\nolimits _{i=1}^{{\mathrm{num}}}P\left({x}_{i}\right)/{\mathrm{num}} > {T}_{1} $

其中：x_i表示后门图像，num为后门信号的数量，这里为9，T₁是预设的一个接近1的阈值，P( )代表模型对后门图像的置信度输出。只有当模型对嵌入后门信号的图像给出的平均置信度超过阈值T₁时，才认为后门嵌入达到了预期效果。

2.4 密钥生成与分割模块

中心服务器基于干净数据集构建了携带后门的数据集，该数据集进而被用作模型使用权的验证。随后，中心服务器对训练完成的模型进行微调，使其融入后门信号特征。基于后门信号特征，服务器生成密钥，并将密钥细分为多个子密钥，以便作为使用权的访问令牌。这些令牌最终被分配给联邦学习中的参与方。下面将详细介绍密钥的生成和分割过程。

为了实现密钥的有效构建和安全应用，在设计密钥结构时采取了综合性的考虑。本方案的密钥结构如图3所示。

显示原图|下载原图ZIP|生成PPT

图 3 密钥结构

Fig.3 Key structure

密钥设计的首要原则是确保其始于数字1，这一措施旨在防止密钥以0开头，同时为整个验证流程提供了基础的校验机制。若恢复出的密钥不符合以1开头的规则，则直接标志着验证的失败，可以在一定程度上确保密钥的格式一致性和安全性。在方案中，将后门信号的位置和强度作为特征对密钥进行设计，即继先导数字之后，密钥的核心组成部分包括对后门信号的强度及其位置信息的详细记录。这两个部分精确定义了后门嵌入的操作参数，为后门的有效激活和相应的安全控制提供了必要的信息。最后部分的设计关注于解决密钥恢复过程中可能遇到的浮点运算精度问题。所以引入了精度保护位，其目的是确保在密钥恢复过程中，浮点运算不会导致关键信息的丢失。

在密钥构造完成后，方案利用CRT^[25]将密钥分割为多个子密钥。具体来说，每个子密钥对应一个独特的模值，这些模值是两两互素的。子密钥的生成过程遵循CRT，确保只有在收集到足够数量的子密钥后，才能通过模值的乘积重新计算出密钥。具体的密钥分割方法如算法1所示。

算法1：密钥分割算法

输入: n 参与方数量

　　 k 恢复密钥的子密钥数量阈值（2

$\leqslant $

n）

　　 S 密钥

输出: S_i 子密钥

步骤:

1. 选择n个两两互素的整数m₀ < m₁ < ··· < m_n，S在m₀的剩余类

2. m₀ , m₁ , ··· , m_n满足m₀ · m_n−k+2· m_n−k+3 · ··· · m_n < m₁ · ··· · m_k

3. 选择随机数r，使得S + r · m₀ < m₁ · ··· · m_k

4. 对于每个i（1 $\leqslant $ i $\leqslant $ n），计算r_i ≡ S + r · m₀ (mod m_i)

5. 计算子密钥S_i = (m_i, r_i)

6. 返回对应的n个子密钥S_i

算法1加强了密钥的安全性，也为授权过程提供了数学上的严格保证。通过该种分割方法，即使部分子密钥被破解，攻击者也无法重构出完整的原始密钥，进一步确保了授权方案的安全性和可靠性。

在本文所提出的方案中，密钥的构造遵循了既定的逻辑与安全需求。在具体实施过程中，后门信号的嵌入位置通过一系列8位数字组表示，每组数字定义了后门信号矩形区域的主对角线坐标。紧随其后的是表示后门强度的4位数字，以浮点数形式给出，例如0200表示强度为0.2。最后是精度保护位，这里设定为4位数字，精度保护位的设置是为了防止浮点运算带来的误差影响到有效信息的恢复，因此通过特定设计让浮点误差仅发生在精度保护位范围内，以保证秘密的无损恢复。

在理想的情况下，算法1和算法2提供的方法不需要考虑浮点数的精度问题，因为它是在整数域上的运算。CRT在解决模线性同余方程组时，只涉及整数计算，不会产生浮点数及其精度损失的问题。然而，在实验中，构造的密钥数值过大，为了保证计算的准确性，设计精度保护机制是有益的。由于浮点数表示的限制，可能会出现精度损失。

2.5 授权管理模块

在授权管理模块中，用户需收集足够数量的访问令牌，才能使用模型。具体来说，用户收集到足够数量的访问令牌后，依据CRT恢复出原始密钥，以此来获取后门信号的相关信息。用户把得到的后门信息嵌入到自己的数据中，即可获得模型的使用权。该过程中具体的密钥恢复方法如算法2所示。

算法2：密钥恢复算法

输入: k个子密钥S_j

　　 m₀选取的整数

输出: S 密钥

步骤:

1. 对于每个j（1 $\leqslant $ j $\leqslant $ k），子密钥为S_j= (m_j, r_j)，得到r_j和m_j

2. 对于每个j（1 $\leqslant $ j $\leqslant $ k），得到方程x ≡ m_j (mod r_j)

3. 根据CRT求解由k个方程组成的方程组，得到x

4. 计算S ≡ x (mod m₀)

5. 返回对应密钥S

该过程完成后，用户把得到的后门信息嵌入自己的数据中，输入模型，模型便能够验证用户的授权身份，实现正常模型输出，即获得模型的使用权。若所收集的访问令牌数量未达到设定的阈值，或者存在伪造访问令牌的情况，用户将无法从这些片段中恢复出完整的密钥信息。因而，也就无法获取必要的后门信号信息来验证用户的授权身份。在这种情况下，用户若把数据输入模型，将不能通过模型的验证，从而无法获得模型的正常使用授权。本方案通过精确控制访问权限，确保只有合法且符合授权条件的用户才能访问和使用模型，有效地维护了模型的安全性。

3 实验与分析

3.1 实验环境

本方案的操作系统为Linux，发行版本为Ubuntu 22.04.1 LTS，并选用Geforce RTX 3090显卡。在软件层面，实验采用Python 3.10.12环境，配合Pytorch 1.11及CUDA 12.2版本。

在实验设置中，定义的后门信号总数为9个，用户认证所需的访问令牌数量为4个。在中心服务器的操作中，设置后门图像集的注入比例为干净数据集的10%。

MNIST数据集^[26]：由0～9手写数字图片和数字标签所组成的，有60 000个训练样本和10 000个测试样本，每个样本都是一张28像素 × 28像素的灰度手写数字图片。在该数据集下，实验中，后门信号的位置设置为由2.3节介绍的后门信号向左平移4个单位所在的位置。CIFAR−10数据集^[24]：有10种类别的RGB彩色图像，包含飞机、汽车、鸟类、猫、鹿、狗、蛙类、马、船和卡车。CIFAR−10数据集中的每张图片都是32×32像素的图像。

本实验使用ResNet−18模型^[2]和ResNet−56模型对数据集进行分类任务的学习。在联邦学习设置中，共有20个客户端参与模型训练，每轮随机选择9个客户端进行模型更新。客户端本地学习率设置为0.01，优化器选用SGD^[22]，学习率调整采用CosineAnnealingLR^[27]，以提高训练阶段的效率。客户端和中心服务器之间进行200次训练通信，在每次通信中客户端本地训练5轮。在模型的后门嵌入阶段，使用SGD优化器对联邦模型进行了100轮的微调。初始学习率同样设置为0.01，并利用CosineAnnealingLR^[27]逐渐降低学习率，以确保微调的有效性和效率。

3.2 实验分析

训练后模型嵌入后门水印前后的精度如表1所示。结果表明后门水印嵌入对模型性能的影响处于可接受的幅度内，未对DNN模型的整体性能造成显著损害。经分析认为，后门信号的强度控制处于适度水平，避免了对模型性能造成重大影响。后门图像集注入比例的保守设定也有效地降低了后门水印嵌入的整体成本。在上述因素共同作用下，模型性能保持在一个理想的水平。

表 1 测试精度

Table 1 Test accuracy

模型	数据集	精度/%
模型	数据集	嵌入前	嵌入后	降幅
ResNet−18	CIFAR−10	86.23	83.13	3.10
ResNet−18	MNIST	99.23	97.41	1.82
ResNet−56	CIFAR−10	88.12	84.69	3.43
ResNet−56	MNIST	99.41	97.25	2.16

在方案中，联邦训练结束得到一个全局模型后，由中心服务器负责将后门水印嵌入模型中，再将带后门的模型分发给各个参与训练方。为评估模型对含后门信号图像的响应，保证模型授权的正常进行，需要测量嵌入后门水印前后的平均置信度变化。具体来说，测试在50个轮次中进行，每一轮中，从CIFAR−10数据集随机选取10张图片进行测试。对于每一轮中的这10张图片，分别记录了嵌入后门水印前后模型对这些图像的平均置信度。该实验的结果如图4所示。

显示原图|下载原图ZIP|生成PPT

图 4 授权有效性测试

Fig.4 Authorization validity test

由图4可知，在嵌入后门水印前，平均置信度在50%左右，而嵌入后门水印后，平均置信度均大于81%。因此，人为设定阈值T₁为81，其中高于此阈值被认定为模型对带有后门信号的图像触发高置信度行为。在此设定下，嵌入后门水印的图片均能以大于阈值T₁的置信度触发模型的行为，而未嵌入后门水印的图像则都无法达到阈值T₁。由于阈值是人为设定的，所以总能保证含有后门水印的图像能可靠地触发模型的高置信度识别行为，未嵌入后门水印的图像无法达到相同的效果。根据模型是否触发高置信度行为可以判断图片是否含有水印，进而判断用户是否被授权。这证实了后门水印的有效性，确保了授权过程的可靠性和精确性。

3.3 鲁棒性测试

为验证设计的后门水印的鲁棒性，分别对两种常见的攻击方式，即模型微调^[28]和模型剪枝^[29]进行了鲁棒性评估。

1）模型微调：模型微调是针对后门水印的一种常见的攻击策略，其核心是利用相关任务数据对目标模型执行一系列的重训练过程。在实验设置中，测试集的一半被用作攻击者的私有训练数据集，以对携带后门的模型进行微调；测试集的另一半则用于评估微调后模型的性能。微调过程采用SGD优化器和CIFAR−10数据集，持续100个epoch，设置学习率为0.01。实验结果如图5所示，在经过100轮的微调后，模型的准确率得到保持，后门水印的验证成功率，即模型能成功识别授权用户的概率依然高达96.59%，这一现象说明了该方法对模型微调具有高度鲁棒性。

显示原图|下载原图ZIP|生成PPT

图 5 模型微调

Fig.5 Model fine−tuning

2）模型剪枝：模型剪枝通过移除部分神经元来简化模型结构或破坏后门水印，是另一种攻击手段。根据神经元权重的大小，从小到大按比例逐步剪除神经元。测试了不同剪枝比率（0～80%，以20%的间隔）对水印模型鲁棒性的影响，包括对目标任务的准确度和后门水印成功率的评估，如图6所示。实验结果揭示了随着剪枝比率的增加，水印的验证成功率急速下降，但是模型的精度降低也导致其不能使用。攻击者在模型剪枝时，无法在不影响模型性能的情况下移除后门水印。模型在各种剪枝比率下的表现，进一步证实了水印方法的有效性和鲁棒性。

显示原图|下载原图ZIP|生成PPT

图 6 模型剪枝

Fig.6 Model pruning

4 结束语

对于分布式机器学习中模型被滥用及版权难以验证的问题，本文针对联邦学习场景提出了一种基于后门水印的联邦模型授权方案。该方案在模型训练完成后，在中心服务器端通过嵌入后门水印和发放访问令牌，实现模型使用权的管理。在这一方案下，用户只有收集到多数参与方的访问令牌，即获得他们的授权时，才能恢复出后门信息，从而获得模型的使用权。否则，用户在缺乏后门信息的情况下，不能通过模型的验证，无法正常使用模型。基于本文的研究成果，后续研究工作的方向是将本授权方案应用于更广泛的联邦学习场景，包括不同类型的数据集和多样化的学习任务，以验证其在各种应用情境下的适用性和有效性。

参考文献

原文顺序 | 文献年度倒序 | 文中引用次数倒序

1	KENTON J D M W C,TOUTANOVA L K. Bert:pre-training of deep bidirectional transformers for language understanding[C]//Proceedings of NAACL-HLT,2019:2.

2	HE K,ZHANG X,REN S,et al. Deep residual learning for image recognition[C]//Proceedings of the IEEE Conference on Computer Vision and Pattern Recognition,2016:770-778.

3	HINTON G, DENG L, YU D, et al. Deep neural networks for acoustic modeling in speech recognition: The shared views of four research groups[J]. IEEE Signal Processing Magazine, 2012, 29 (6): 82- 97. DOI

4	王健宗, 孔令炜, 黄章成, 等. 联邦学习隐私保护研究进展[J]. 大数据, 2021, 7 (3): 130- 149. DOI WANG J Z, KONG L W, HUANG Z C, et al. Research advances on privacy protection of federated learning[J]. Big Data Research, 2021, 7 (3): 130- 149. DOI

5	MCMAHAN B,MOORE E,RAMAGE D,et al. Communication-efficient learning of deep networks from decentralized data[C]//Artificial Intelligence and Statistics. PMLR,2017:1273-1282.

6	YANG Q, LIU Y, CHEN T, et al. Federated machine learning: Concept and applications[J]. ACM Transactions on Intelligent Systems and Technology （TIST）, 2019, 10 (2): 1- 19.

7	周传鑫, 孙奕, 汪德刚, 等. 联邦学习研究综述[J]. 网络与信息安全学报, 2021, 7 (5): 77- 92. ZHOU C X, SUN Y, WANG D G, et al. Survey of federated learning research[J]. Chinese Journal of Network and Information Security, 2021, 7 (5): 77- 92.

8	LI T, SAHU A K, ZAHEER M, et al. Federated optimization in heterogeneous networks[J]. Proceedings of Machine Learning and Systems, 2020, 2, 429- 450.

9	LIU W, CHEN L, CHEN Y, et al. Accelerating federated learning via momentum gradient descent[J]. IEEE Transactions on Parallel and Distributed Systems, 2020, 31 (8): 1754- 1766. DOI

10	KIM H, PARK J, BENNIS M, et al. Blockchained on-device federated learning[J]. IEEE Communications Letters, 2019, 24 (6): 1279- 1283.

11	KANG J,XIONG Z,NIYATO D,et al. Incentive mechanism for reliable federated learning:A joint optimization approach to combining reputation and contract theory[J]. IEEE Internet of Things Journal,2019,6(6):10700-10714.

12	SZE V, CHEN Y H, YANG T J, et al. Efficient processing of deep neural networks: A tutorial and survey[J]. Proceedings of the IEEE, 2017, 105 (12): 2295- 2329. DOI

13	UCHIDA Y,NAGAI Y,SAKAZAWA S,et al. Embedding watermarks into deep neural networks[C]//Proceedings of the 2017 ACM on International Conference on Multimedia Retrieval,2017:269-277.

14	DARVISH R B,CHEN H,KOUSHANFAR F. Deepsigns:an end-to-end watermarking framework for ownership protection of deep neural networks[C]//Proceedings of the Twenty-Fourth International Conference on Architectural Support for Programming Languages and Operating Systems,2019:485-497.

15	CAO X,JIA J,GONG N Z. IPGuard:protecting intellectual property of deep neural networks via fingerprinting the classification boundary[C]//Proceedings of the 2021 ACM Asia Conference on Computer and Communications Security,2021:14-25.

16	ALAM M, SAHA S, MUKHOPADHYAY D, et al. NN-lock: A lightweight authorization to prevent IP threats of deep learning models[J]. ACM Journal on Emerging Technologies in Computing Systems （JETC）, 2022, 18 (3): 1- 19.

17	SONG Z,JIANG W,ZHAN J,et al. Critical-weight based locking scheme for DNN IP protection in edge computing:work-in-progress[C]//Proceedings of the 2021 International Conference on Hardware/Software Codesign and System Synthesis,2021:33-34.

18	ITO H,APRILPYONE M M,SHIOTA S,et al. Access control of semantic segmentation models using encrypted feature maps[J]. APSIPA Transactions on Signal and Information Processing,2022,11(1):175-178.

19	LI B, FAN L, GU H, et al. FedIPR: ownership verification for federated deep neural network models[J]. IEEE Transactions on Pattern Analysis and Machine Intelligence, 2022, 45 (4): 4521- 4536.

20	LIU X,SHAO S,YANG Y,et al. Secure federated learning model verification:A client-side backdoor triggered watermarking scheme[C]//2021 IEEE International Conference on Systems,Man,and Cybernetics (SMC). IEEE,2021:2414-2419.

21	TEKGUL B G A,XIA Y,MARCHAL S,et al. Waffle:Watermarking in federated learning[C]//2021 40th International Symposium on Reliable Distributed Systems (SRDS). IEEE,2021:310-320.

22	AMARI S. Backpropagation and stochastic gradient descent method[J]. Neurocomputing, 1993, 5 (4-5): 185- 196.

23	XUE M,WU Z,HE C,et al. Active DNN IP protection:a novel user fingerprint management and DNN authorization control technique[C]//2020 IEEE 19th International Conference on Trust,Security and Privacy in Computing and Communications (TrustCom). IEEE,2020:975-982.

24	KRIZHEVSKY A, HINTON G. Learning multiple layers of features from tiny images[J]. Handbook of Systemic Autoimmune Diseases, 2009, 1 (4): 1- 58.

25	ASMUTH C, BLOOM J. A modular approach to key safeguarding[J]. IEEE Transactions on Information Theory, 1983, 29 (2): 208- 210. DOI

26	DENG L. The mnist database of handwritten digit images for machine learning research [best of the web][J]. IEEE Signal Processing Magazine, 2012, 29 (6): 141- 142. DOI

27	LOSHCHILOV I, HUTTER F. SGDR: Stochastic gradient descent with warm restarts[J]. arxiv preprint arXiv:, 1608, 03983, 2016.

28	PITTARAS N,MARKATOPOULOU F,MEZARIS V,et al. Comparison of fine-tuning and extension strategies for deep convolutional neural networks[C]//Multimedia Modeling:23rd International Conference,2017:102-114.

29	HAN S,POOL J,TRAN J,et al. Learning both Weights and Connections for Efficient Neural Networks[C]//Proceedings of the 28th International Conference on Neural Information Processing Systems. MIT Press,2015:1135-1143.

Options

文章导航

模态框（Modal）标题

摘要

本文引用格式

Abstract

0 引言

1 相关工作

1.1 联邦学习研究现状

1.2 模型版权保护研究现状

2 基于后门水印的联邦模型授权方案

2.1 方案总体设计

图 1 基于后门水印的联邦模型授权方案的总体架构

2.2 联邦训练模块

2.3 后门嵌入模块

图 2 后门信号

2.4 密钥生成与分割模块

图 3 密钥结构

2.5 授权管理模块

3 实验与分析

3.1 实验环境

3.2 实验分析

表 1 测试精度

图 4 授权有效性测试

3.3 鲁棒性测试

图 5 模型微调

图 6 模型剪枝

4 结束语

参考文献