[发明专利]一种基于信息隐藏的模型主动防护技术

权利要求书

1.一种基于信息隐藏的模型主动防护技术，其特征在于，包括如下步骤：

(1)利用图片隐写网络和独有的签名生成具有特殊分布的关键样本和对抗样本，并且生成的关键样本和原始样本在肉眼上无法分辨。

(2)利用生成的关键样本和对抗样本对DNN模型进行对抗训练，使得模型可以唯一性拟合关键样本，而对其他数据的预测会偏离真实值，由此建立起DNN模型正常使用和隐写网络、独有签名间的唯一性联系，

进而实现对DNN模型的主动防护功能。

2.根据权利要求1所述的一种基于信息隐藏的模型主动防护技术，其特征在于，引入的图像隐写网络，由编码器e和解码器d组合共同实现信息隐藏功能，可以向原始样本嵌入独有的签名图片生成隐写样本。其中编码器e供发送发使用，负责将独有的签名图片s嵌入至原始样本x中，生成和x在肉眼上不可分辨的关键样本x^key；解码器d供接收方使用，接收输入x^key,并可以从中解析出嵌入的签名信息s'，由此信息成功地隐秘地传播到目的地。虽然编码器e和解码器d会分开使用，但训练时要作为整体共同参与训练。

3.根据权利要求1所述的一种基于信息隐藏的模型主动防护技术，其特征在于，通过为图像隐写网络的编码器e损失函数引入图片距离控制机制可以控制生成的样本和原始样本间分布距离。

4.根据权利要求1所述的一种基于信息隐藏的模型主动防护技术，其特征在于，需要使用三个对抗样本来控制模型可用空间范围，通过进行对抗训练使得输入数据只有在可用的分布空间内模型才能正确使用。

5.根据权利要求3所述的一种基于信息隐藏的模型主动防护技术，其特征在于，编码器e接收原始样本和独有签名s生成关键样本x^key,且关键样本x^key和原始样本间的分布距离为l，此保证二者分布相似的同时可分，同时需要选取适当的分布距离l，以保证关键样本和原始样本肉眼不可分辨。

6.根据权利要求3所述的一种基于信息隐藏的模型主动防护技术，其特征在于，通过进一步的距离设计，可以使得生成的三个对抗样本成正三角状环绕于关键样本周围，并落在关键样本以为半径的圆上。

7.根据权利要求1所述的一种基于信息隐藏的模型主动防护技术，其特征在于，DNN模型通过利用具有特殊分布关系的对抗样本和关键样本进行训练，可以实现唯一性拟合关键样本。且通过引入距离机制，可以自由控制对抗样本和关键样本间距离，从而自由控制可用空间以规避模型盗窃攻击。

8.根据权利要求6所述的一种基于信息隐藏的模型主动防护技术，其特征在于，半径控制着模型可用空间范围，随着值的减小模型可用空间变小，即对关键样本唯一性拟合能力越强，则抵御规避攻击的能力越强，但这种能力牺牲了模型的泛化能力，因此需要选择适当的半径以平衡模型防护能力和泛化能力间的冲突。

9.根据权利要求7所述的一种基于信息隐藏的模型主动防护技术，其特征在于，使用对抗训练的方法，使DNN模型对关键样本x^key预测值pre^key接近真实值gt^key,而对抗样本x^k1、x^k2、x^k3预测值pre^k1,pre^k2,pre^k3会远离真实值gt^k1,gt^k2,gt^k3。由此可以实现DNN模型对关键样本的唯一性拟合，使得DNN模型和隐写网络、独有签名建立唯一性联系，从而赋予模型主动防护能力。