隨著人工智能行業的發展，AI技術被大量應用到人們的生活中，而AI模型作為這些技術的載體，被廣泛部署在云端。作為一種數字資產，AI模型面臨著被竊取的風險，其安全性愈發引起業界關注。

11月11日至12日，全球知名信息安全峰會POC 2021正式舉辦，騰訊朱雀實驗室高級研究員Mengyun Tang和研究員Tony受邀參加，并進行了題為《Towards AI Model Security Protection(AI模型的安全保護)》的分享。

在此次分享中，騰訊朱雀實驗室展示了AI模型攻防實例，并提出了一種新的模型水印生成方法，這項技術可以防御多種模型竊取方式，并且對原模型的輸出幾乎不產生影響，為AI模型版權提供有效的保護。

AI模型維權，取證是難點

AI模型作為技術的核心載體，一旦被竊取，將可能使擁有該技術的企業或組織暴露在風險中。例如，某公司的AI模型被黑客惡意盜取后，黑客就可以復制該公司的業務，來搶占市場，獲取間接 經濟 利益，或者將模型出售給第三方，甚至勒索該公司，來獲取直接經濟利益。

在模型竊取方式中，代理模型攻擊是一種典型的手段，它通過訓練與原模型功能相似的代理模型來蒸餾原模型的知識——將原模型的輸入作為其輸入，原模型的輸出作為其訓練標簽，并進行參數優化，不斷擬合原模型的輸出，最終達到竊取原模型知識的目的。

模型竊取流程

而在面對模型竊取攻擊時，模型的原作者往往容易處于被動。因為攻擊者并不直接接觸原模型，所以原作者無法提供直接證據，證明被竊取的模型中含有自己的知識產權，而陷入維權困難的境地。因此，一旦模型竊取攻擊泛濫，將為人工智能的發展帶來更多挑戰。

“隱形”水印，AI模型版權保護新方法

針對上述問題，騰訊朱雀實驗室結合最新的深度學習技術，推出了一套為AI模型提供保護的方法，即對疑似竊取模型進行“取證”，來證明該模型為“盜版”模型。

這套方法可以在預先防護階段，生成肉眼不可見的水印，并將之添加到原模型的輸出上，為原模型的輸出“烙上”版權信息，同時，對原模型的輸出幾乎不產生影響。當AI模型被攻擊時，其附帶的水印也會被代理模型學習到，進而使得代理模型的輸出中也含有該水印。

隨后，通過經訓練的提取器，可以從代理模型的輸出中精準地檢測到水印的存在，并將預先嵌入的模型版權信息進行高質量的還原，從而為模型原作者提供有力的技術證據，來對抗侵權行為。

朱雀實驗室提出的模型水印生成方法及其保護流程

這項技術為AI模型提供了一道“胎記”，其意義在于，不僅能夠有效地幫助AI模型作者維護自己的知識產權，還能打擊“盜版”AI模型，一定程度地遏制模型竊取行為的發生，促進AI行業的生態持續健康發展。

騰訊安全平臺部下屬的騰訊朱雀實驗室，致力于實戰級APT攻擊和AI安全研究，其建設的AI安全威脅風險矩陣，專門針對人工智能行業中的潛在風險提供研究和預案，為AI業務提供安全保障。