学習済みディープニューラルネットワーク(DNN)モデルの権利保護のために、電子透かしをモデル内へ埋め込む技術が注目されている。本研究では、画像分類型DNNモデルを対象とし、その内部パラメータは観測できず、入力画像と出力ラベル値のみが観測できる場合でも、そのDNNモデルを学習させた著作権者の情報を視覚的に取り出すことを実現する。
ディープニューラルネットワーク(DNN)の学習には、大量のデータ、高速な計算機資源等の多くのコストがかかっている。しかし、そのコピーは極めて容易であり、その権利保護の技術が求められている。
これに対して、政府の知的財戦戦略本部の「新たな情報財検討委員会 報告書」では、学習済みモデルの著作権に言及する一方で、コピーされたモデルや派生モデルと権利者のモデルの同一性を示す技術手段が課題とされている。本研究は、それを解決する電子透かし技術を提供する。
ディープニューラルネットワーク(DNN)モデルの権利者は、所定のタスクにかなうようにDNNモデルを学習する。つぎに、何らかの理由でそのDNNモデルが窃取され、不正利用者の手に渡る。不正利用者は、自分の目的に合わせるため、あるいはDNNモデル不正利用を追跡されないために、DNNモデルへの改変を行う。そして、不正利用者は改変後のDNNモデルをクラウドサービスとして公開し、利用代金により収益を上げる。このクラウドサービスでは、画像をクエリとして受け付け、判定(分類)結果を返すものとする。権利者は、何らかの方法で疑わしいクラウドサービスを発見した後、クラウドに隠されているDNNモデルが自分のモデル(もしくはその派生)であることを示したい。しかし、観測できるのは、クエリとして入力する画像と、その分類結果だけである。しかも、クラウドサービスを提供しているのは不正利用者であるため、クエリ画像や分類結果に対して、何らかの加工を行うことができる。ただし、不正利用者にも制約があり、DNNモデルの性能を損なってしまっては意味がなくなるので、改変(=攻撃)には限界がある。
権利者は、不正利用者の用いているDNNモデルが、自分が開発したモデルと同一であることを示すために、電子透かしをDNNモデルの開発段階で埋め込んでおく。そして、疑わしいクラウドサービス発見時に、電子透かしを検出するための画像をクエリとして入力し、その分類結果から電子透かしを検出することになる。
ここでは電子透かしの埋め込み方法は省略し、どのように検出を行うのかに絞って紹介する。
電子透かしの検出にあたって、電子透かし用データセットからの鍵画像をクエリとしてクラウドサービスに入力し、判定結果を得る。ここで用いたDNNモデルは、100分類の確率値からなる出力を返す。これを10×10画素のロゴ画像として表現するのだが、確率値は0～1の間の小数として表現されているので、これに255を乗じて輝度値とする。従って、背景部分は0 (黒)、字の部分は255 (白)として現れると期待される。
ロゴ画像としての表現にあたって、複数の鍵画像による判定結果である複数のラベルを用いる。このとき、鍵画像の入力枚数に応じて、判定結果のラベル値すなわちロゴ画像の輝度値を順次加算していく。これにより、あぶり出しのようにじわじわとロゴの字が鮮明になっていく演出効果も得られる。
不正利用者は、不正利用していることが権利者から指摘されないように、電子透かしを消すための様々な処理を行うことがある。ここでは、その詳細は述べないが、いくつかの典型的なDNNモデルの改変を受けても、電子透かしの検出画像を複数枚使って検査することで、最終的に権利者のロゴが再現できることを示している。
現在、より複雑なロゴ画像を表現するために、1000種類の画像分類が可能なDNNモデルを対象とする研究を進めている。
また、最初から挿入されている電子透かしと、後から追加した電子透かしを見分ける技術の新たな開発により、DNNモデルの世代管理を目指した研究へと発展させる予定である。
本研究はJSPS科研費 JP18K11309の助成を受けたものである。
論文
「10x10画素ロゴを表現可能な深層学習電子透かし方式」(2020)『信学技報』EMM2020-1p.1-6.
「Visual Decoding of Hidden Watermark in Trained Deep Neural Network 」(2019)『IEEE MIPR2019』p.371-374.
研究シーズ・教員に対しての問合せや相談事項はこちら
技術相談申込フォーム
