BMO：面向跨节点攻击的边界感知模型混淆方法

1. 01这篇论文试图解决什么问题？

   白盒提取一台设备上的模型后可攻击其他节点；BMO混淆方向分量以分化边界。

   同一来源的端侧模型被一台设备白盒提取后，对抗样本可迁移到其他节点。

   • 场景：作者称端侧推理延迟低、有助于避免隐私泄露，但设备处于不可信环境。攻陷一台即可从应用取出模型，同一来源分发的模型随之暴露，对抗样本可在 peer 设备间迁移。
   • 现有不足：作者称对抗训练、输入随机等增强针对已知攻击。资产保护想提高提取成本，但作者引 Chen 等（2022）：模型载入被攻陷节点的 RAM 后，参数仍可经内存转储或动态分析取出，因而在该设定下提供不了保护。作者认为两类路线都不足以应对已有持续 white-box 访问、并能发现未知弱点的攻击。
   • 观察：作者称鲁棒性主要受决策边界曲率影响，并考察参数如何塑造曲率。预实验中，作者称现有防御忽视曲率保护；一个模型的曲率一旦暴露，曲率相同的其他模型会被轻易攻破。
   • 威胁模型：
     • 目标：取得被攻陷节点上的模型后，对嵌入同一 DL 应用的 peer 节点做大规模 evasion attack，使预算内扰动输入得到目标输出。
     • 知识：论文把 cross-node attack 放在 white-box，攻击者掌握目标模型全部信息；transfer-based attack 则是 black-box。弱攻击者能访问被攻陷节点上的 DL 应用，但没有源模型信息；强攻击者可掌握原始模型边界。
     • 能力：可用 Apktool、IDA Pro 反编译 Apk 或 IPA，或调用开发格式的系统 API 提取模型。两类攻击者都能用 white-box 与 black-box 方法独立生成对抗输入。攻击者不在推理时直接访问 peer 上的 M′，而在提取出的 M 上优化，依赖可迁移性。
     • 受害系统与防御方：厂商把同一训练模型打进应用，向所有用户分发相同二进制；访问控制主要靠认证，没有按用户区分参数。厂商不能为每次下载重训，但可在训练时改架构和数据，或分发前改参数。目标是单节点生成的对抗样本难以攻破其他节点，同时保持良性样本预测。
   • 做法：提出 Boundary-aware Model Obfuscation（BMO），把权重分成与良性预测相关的幅度和与边界曲率相关的方向，只向方向注入可控噪声。作者称只需一次计算，没有额外训练。

   收起这一问

2. 02有哪些相关研究？

   相关工作分为对抗攻击、资产保护与模型增强；BMO被放在分发前的权重混淆。

   对抗攻击

   • Goodfellow 等（2015）的 FGSM、Madry 等（2018）的 PGD：用模型梯度构造扰动。Carlini 与 Wagner（2017）的 C&W：解约束优化，生成高置信对抗样本。
   • Dong 等（2018）的 MI-FGSM：论文归入 query-based，靠反复查询估计梯度。Chen 等（2020）的 HopSkipJumpAttack：在 black-box 下近似并利用决策边界。
   • 论文称攻击者对内部参数知道得越细，攻击越有效。cross-node 中同一模型部署在多设备上，攻陷一个不可信节点即可得到该模型及其防御的完整知识，并能用内部梯度构造扰动，不同于只能近似受害者的 black-box。

   模型资产保护

   • 论文把结构混淆写入资产保护：改网络架构（Zhou 等，2023），或换成语义等价代码（Zhou 等，2024）。
   • Chen 等（2022）讨论从 AI 程序自动逆向 DNN。作者据此认为：模型一载入被攻陷节点的 RAM，参数就可被转储或动态分析提取，这类防御在 cross-node 设定下提供不了保护。

   模型增强

   • 对抗训练（Goodfellow 等，2015）、随机化架构（He 等，2019；Yang 等，2023）和交互层扰动（Athalye 等，2018）。引言还提到输入随机（Byun 等，2022）。
   • 论文称这些增强只给人 false sense of security，并引用 Athalye 等（2018）：自适应对手可以逆转或平均掉这类防御。

   基线与基准

   • 实验基线为随机网络 SSNN 与 PNI、对抗训练 A.T.、架构混淆 M.A.O.，以及直接向原始权重注入噪声（Szentannai 等，2020）。数据集为 MNIST、CIFAR-10、ImageNet；附录另有 CIFAR-100。

   作者把本文放在另一条路线上：不把重点放在增强鲁棒性或提高白盒化成本，而是用权重混淆生成决策边界重叠低的不同模型。

   收起这一问

3. 03论文如何解决这个问题？

   BMO按行拆开幅度与方向，只向方向的top-p元素加噪声并重归一化。

   BMO 在分发前把预训练权重拆成幅度与方向：幅度不动以保住良性预测，只扰动方向以改变决策边界曲率。作者称该过程只在部署时做一次，不重训。

   权重分解

   • 两个分量：对第 l 层权重，按行取 L2 范数作为幅度 m_i，方向为该行除以 m_i+ε。作者称幅度决定边界的全局位置，并支配远离边界的正常样本预测；方向控制局部曲率，并编码与对抗脆弱性相关的特征。
   • 写法：各行范数收成对角阵 M^{(l)}，单位方向堆成 D^{(l)}。论文写成 W^{(l)} = M^{(l)} ⊙ D^{(l)}，ε 用于防止除零。作者称这与 DoRA 类似，把幅度和方向分开。
   • 目标：扰动前后保持良性精度，并拉大边界的几何差异。作者称该假设在第 5 节用多种架构和攻击检验。防御目标在式 (2)：良性输入上让 M′ 接近 M，预算内的对抗输入上让二者损失变大。

   自适应噪声与重构

   • 只动方向：向方向分量注入噪声，论文举例为 Gaussian 或 Differential Privacy noise。幅度矩阵保持不变，以维持激活尺度和良性分类精度。
   • 选点：阈值取 Threshold^(l)(p)=Quantile(|D^(l)|,1−p)。p∈[0,1] 控制被扰动比例，论文举例 p=0.1 即扰动绝对值最大的 10%。
   • 尺度：过阈值的元素加上 α·N(0, σ^{(l)})，σ^{(l)} 取 D^{(l)} 的标准差；未过阈值的不扰动。
   • 重构：逐行把扰动后的方向重新归一化，再与幅度组合。论文式 (6) 为 W^′(l)=M^(l)D̃^(l)。作者称严格归一化是为避免噪声改到幅度。

   多样性从哪来

   • 作者称随机性注入在与原有能力正交的子空间，以造出不同边界并保留核心性能，与 null-space 的直觉一致。各节点独立扰动方向后曲率不同，作者认为在被攻陷模型上做出的对抗样本不太可能在其他节点复现。
   • 作者还称这与权重共享、模型复制常见的联邦或去中心化场景有关。论文未把该说法写成实验设置。

   梯度为何会偏

   • 对抗扰动沿输入梯度构造。方向被噪声改变后，论文把新梯度写成原梯度加上噪声项；该噪声项使梯度出现角偏差。
   • 作者称这会误导在提取模型上的优化，使其难以定位目标模型的边界或梯度方向。幅度不变，所以正常推理能力保留。作者称这类似于在不同独立数据上微调，从而增加边界多样性。这一节是梯度推导，不是对表示做干预实验。

   成功如何判定

   • 攻击成功仅当输入被分到指定目标类别。跨节点用 C-ASR，防御用 Anti-ASR = 100% − C-ASR。主文把感知上可接受的扰动预算上限定为 0.1。

   收起这一问

4. 04论文做了哪些实验？

   作者称四类攻击、四模型平均防御成功率68.68%，最强基线22.32%。

   实验设置

   • 模型：主实验为 MLP、AlexNet、ResNet、ViT，对应全连接、卷积和 vision transformer。附录另评 MLP、ResNet-18、DeiT-Tiny、DeiT-Small、MobileViT-S、MobileNetV2。论文未写明主实验的 ResNet 是否就是 ResNet-18。
   • 数据：主文为 MNIST、CIFAR-10、ImageNet。附录 Table 1 另含 CIFAR-100。论文未报告各集使用的样本量。
   • 攻击：白盒 FGSM、PGD、C&W；黑盒 HSJA 与迁移类 MI-FGSM。成功指被分到指定目标类。主对比把扰动预算上限定为 0.1。附录按查询、优化、梯度、autoML 四类扩展，并使用 APGD。
   • 基线：SSNN、PNI、对抗训练 A.T.、架构混淆 M.A.O.，以及直接扰动原始权重。Figure 3 图例还有 SSNN-1、SSNN-5、PNI-1、PNI-5、BMO-Raw；论文未说明 1 与 5 的差别。Figure 4 图例写作 Momicry-Raw。
   • 指标：C-ASR 为 cross-node 攻击成功率，Anti-ASR = 100% − C-ASR，另报 benign accuracy。论文未报告重复次数、查询次数，也未使用 LLM 评审。
   • 参数：噪声强度 α、方向扰动比例 p。Figure 6(b) 标注 p=0.6。论文未给出摘要中 68.68% 对应的 α 与 p。

   主结果

   条件	数值	出处
   四类攻击、四端侧模型，防御成功率	68.68%	摘要、§1
   同上，最强基线	22.32%	摘要、§1
   同上，benign accuracy	97.54%（∆=−1.08%）	§1
   FGSM，Anti-ASR 随 α 升至	81.29%	§5.2，Fig. 3(c)
   PGD，Anti-ASR 随 α 升至	72.01%	§5.2，Fig. 3(c)
   C&W，最终 Anti-ASR	76.60%	§5.2，Fig. 3(c)
   HSJA，最终 Anti-ASR	88.62%	§5.2，Fig. 3(c)

   • 作者称 ε≤0.05 时 Anti-ASR 高于 65%，ε=0.1 时大约仍有 55%；此范围内对抗训练的 Anti-ASR 为 0%。相对直接改原始权重，作者称平均高 54.74%（最高 63.33%），平均优势超过 45%。
   • α∈[0.4, 0.6] 时，作者称四种攻击上的总体 Anti-ASR 为 60.98%；MI-FGSM 为 69.67%。作者称防御来自跨节点的决策边界平滑，而不是记住特定扰动。贡献里另称超过最强基线 44%，且 benign accuracy 下降不到 1%。
   • 上述平均未按模型拆开。Figure 3(a) 的文字也没有给出 AlexNet 或 ResNet 各自的读数。

   攻击者知识

   • 三种条件：用某节点打其他节点；掌握原始模型去打端侧混淆模型；掌握某节点去打 raw model。数字写在对 Figure 3(b) 与 Figure 4 的说明里；正文未单独给出 Figure 4 的曲线读数。
   • 用被盗原始参数打混淆模型时，α=1.0 的 Anti-ASR 只到 45.99%。只访问某节点、打 raw model：α=0.6 为 64.63%，α=1.0 为 91.64%；打其他端侧模型：75.96% 与 89.33%。
   • 作者称原始模型泄露会提高全部节点上的 cross-node 威胁。该节没有使用第 3 节的“弱/强攻击者”字样。

   量化与附录

   • 16-bit 量化：对比 32-bit，攻击为 FGSM、PGD、C&W、HSJA。良性精度下降不到 0.01%。α∈[0.4, 0.6] 时，作者称量化模型 Anti-ASR 低 3–6%；α=0.5 时为 55.30%，全精度为 58.34%。α≥0.8 时量化模型良性精度超过 94.82%，且 Anti-ASR 高于原模型。引言另称量化下防御成功率 59.63%，良性精度仍为 97.54%（∆=−1.08%）。论文未说明该数与 Figure 5 点值如何对应。
   • 六种架构：Figure 7 在 ε=0.05 时，作者称 4 个数据集、13 种攻击上的平均 Anti-ASR 都超过 30%，最高超过 78%。DeiT-Tiny/Small 在 ε=0.10 大约仍有 45–55%。作者称各模型的下降是渐进的。
   • Table 1：标题写 Anti-ASR（ε=0.05），单元格是成对数字，论文未定义斜线后的数。正文称该实验为 APGD、ε=0.02、∆ACC<3.5%。MNIST 上 MobileNet v2 为 89.76/2.99，CIFAR-10 上 DeiT tiny 为 35.16/2.06，ImageNet 上 MobileViT s 为 38.72/2.85；MLP 除 MNIST 的 86.70/2.43 外均为“-”。
   • Figure 8：作者称 C&W 与 DeepFool 大约 65–70%，FAB 超过 85%，Square 为 70–75%，HSJA 与 BoundaryAttack 在 ε≤0.03 约 90%、ε≤0.10 约 80%。梯度类与 autoML 类在 ε≤0.05 内仍被抑制；ε>0.05 时作者称扰动开始可见，防御作用减弱。后两类没有给出具体 Anti-ASR。

   其他消融与分析

   • 位置 p（Fig. 6(c)）：FGSM 在 p=0.1 时 C-ASR 从 100% 到 50.96%；p=0.5 为 36.17%，到 p=1.0 再降 4.49%。平均降幅 p=0→0.1 为 49.20%，0.1→0.5 为 12.54%，0.5→1.0 为 3.54%。
   • 架构（Fig. 6(a)）：作者称 CNN 的 C-ASR 降至 11.35%，MLP 至 21.30%，ViT 在满强度时仍为 33.70%，并称 ViT 相对改进超过 65%。未单独给出 AlexNet。
   • 10 层 MLP 的层（Fig. 6(b)，图中 p=0.6）：浅层 C-ASR 76.84%–63.21%，中层 93.51%–80.04%，深层平均 63.91%。作者称中层更像对抗梯度的通道。
   • 分量（Fig. 6(d)，10 个扰动强度）：扰幅度时良性精度从 98.15% 到 96.13%，鲁棒性平均弱 12.54%、最多 19.51%。扰方向时 Anti-ASR 平均提高 44.98%、最多 81.89%，良性精度最多降 6.55%。

   收起这一问

5. 05有什么可以进一步探索的点？

   论文没有专门写出局限或后续工作。

   作者指出的局限与后续方向

   论文未专门讨论局限。结论只重述问题、方法和“优于最强基线”的结果，没有 Limitations、Future Work，也没有把某项结果写成不足或后续工作。

   实验覆盖范围

   • 主实验模型为 MLP、AlexNet、ResNet、ViT；附录为 MLP、ResNet-18、DeiT-Tiny、DeiT-Small、MobileViT-S、MobileNetV2（§5.1、附录 A）。
   • 数据集为 MNIST、CIFAR-10、ImageNet，附录 Table 1 加入 CIFAR-100。任务是图像分类。
   • 主文攻击为 FGSM、PGD、C&W、HSJA、MI-FGSM；附录 Figure 8 还列出 SQUARE、BOUNDARY、DEEPFOOL、FAB、BIM、DIFGSM、APGD、AUTOATTACK。成功判定是误分到指定目标类。
   • 对照为 SSNN、PNI、A.T.、M.A.O. 与原始权重加噪。另有 16-bit 对 32-bit 的量化，以及幅度/方向、层号、p、α、ε 和三种攻击者知识条件。
   • 论文未报告样本量、重复次数、查询次数，也未报告 68.68% 对应的 α 与 p。相关工作引用自适应对手可逆转随机化防御，实验节未报告针对 BMO 的自适应攻击结果。

   收起这一问

6. 06总结一下论文的主要内容

   BMO用方向混淆生成设备相关边界，作者称平均防御成功率68.68%，基线22.32%。

   BMO 是面向端侧 cross-node attack 的分发前权重混淆。厂商把同一模型打进应用后，攻陷一台设备就能白盒取出参数，再靠可迁移性攻击其他同模型节点。论文把这一定义为 white-box，以区别于 black-box 的迁移攻击。

   • 问题：作者认为对抗训练和输入随机针对已知攻击，结构混淆在模型进入内存后也挡不住提取。他们把决策边界曲率当作鲁棒性的关键，并假设只改曲率、不动幅度，就能拉开各设备边界、保住良性预测。
   • 方法：按行把权重分成幅度与方向。幅度保持不变；方向里绝对值超过分位阈值的 top-p 元素加上与该层标准差匹配的噪声，再逐行归一化后装回。一次计算，不重训。弱攻击者不知源模型，强攻击者可掌握原始边界；防御方不能为每次下载重训。
   • 主数字：作者称四类攻击、四个端侧模型上平均防御成功率 68.68%，最强基线 22.32%，良性精度 97.54%（∆=−1.08%）。贡献中另称超过最强基线 44%，良性精度下降不到 1%。FGSM、PGD、C&W、HSJA 的 Anti-ASR 随 α 升至或达到 81.29%、72.01%、76.60%、88.62%。
   • 例外：掌握原始模型去打混淆模型时，α=1.0 的 Anti-ASR 只有 45.99%。只掌握某节点、α=1.0 打 raw model 则为 91.64%。对抗训练在 Figure 3(a) 的范围内 Anti-ASR 为 0%。ViT 在满强度时 C-ASR 仍为 33.70%。
   • 压缩：16-bit、α=0.5 时 Anti-ASR 为 55.30%，全精度为 58.34%。引言另给量化下防御成功率 59.63%。作者的结论是，设备相关的边界差异能降低跨节点迁移，良性精度下降小，压缩后仍可用。

   收起这一问

相关论文