DynaMO: 保护移动端深度学习模型的动态模型混淆技术

将深度学习模型部署到移动应用中越来越受欢迎。然而，现有研究表明，攻击者可以轻松地从移动应用中的深度学习模型中进行逆向工程，以窃取知识产权或生成有效攻击。最近提出的一种方法——模型混淆——通过混淆深度学习模型的表示（如权重和计算图）来抵御此类逆向工程，而不影响模型性能。然而，这些现有的模型混淆方法要么使用静态方法来混淆模型表示，要么使用半动态方法但需要用户通过额外的输入参数来恢复模型信息。然而，这些静态方法或半动态方法无法为设备上的深度学习模型提供足够的保护。攻击者可以通过动态分析来挖掘推理代码中的敏感信息，因为正确的模型信息和中间结果必须在运行时被恢复，以适用于静态和半动态混淆方法。我们通过一种仪器方法和工具 DLModelExplorer 来评估现有混淆策略的脆弱性，该工具能够在运行时动态提取正确的敏感模型信息。实验表明，该工具实现了极高的攻击性能。为了抵御基于动态仪器的方法，我们提出了 DynaMO—a 类似同态加密的动态模型混淆策略。混淆和恢复过程可以通过对随机成对的合格运算符权重进行简单的线性变换来完成，这是一种完全动态的混淆策略。实验表明，我们提出的策略在与现有混淆策略相比，能显著提高模型的安全性，而对设备上的模型几乎没有额外开销。