1、投稿网址:www stae com cn2023 年 第23 卷 第5 期2023，23(5):01799-13科学技术与工程Science Technology and EngineeringISSN 16711815CN 114688/T收稿日期:2022-03-19;修订日期:2022-11-09基金项目:国家自然科学基金(62166008);中央引导地方科技发展资金重点项目(黔科中引地 2022 4054);国家级大学生创新创业训练计划(202110663005)第一作者:夏道勋(1980)，男，汉族，贵州遵义人，博士，教授。研究方向:计算机视觉、大数据技术。E-mail:dxxia
2、gznu edu cn。引用格式:夏道勋，王林娜，宋允飞，等 深度神经网络模型数字水印技术研究进展综述J 科学技术与工程，2023，23(5):1799-1811Xia Daoxun，Wang Linna，Song Yunfei，et al eview of deep neural network model digital watermarking technology J Science Technologyand Engineering，2023，23(5):1799-1811自动化技术、计算机技术深度神经网络模型数字水印技术研究进展综述夏道勋1，2，王林娜1，2，宋允飞1，2，罗星智1
3、(1 贵州师范大学大数据与计算机科学学院，贵阳 550001;2 贵州师范大学贵州省教育大数据应用技术工程实验室，贵阳 550001)摘要近年来，深度神经网络模型在各种应用领域都取得了巨大的成功，训练先进的深度神经网络模型仍需要大规模的数据集、高昂的算力成本和优异的算法思想，生成的深度神经网络模型成为一种宝贵的资源，也是完成人工智能应用领域某项特定任务的核心算法。因此，深度神经网络模型的安全则变得极其重要，利用数字水印版权保护技术保障模型的安全已经成为人工智能安全领域一个重要的研究方向。为了综述深度神经网络模型数字水印版权保护技术的最新研究进展，首先介绍了深度神经网络模型数字水印技术分类;其次
4、介绍了深度神经网络模型数字水印版权保护技术基础概况;再次归纳总结了深度神经网络模型数字水印版权保护技术的研究方法;最后总结并展望了深度神经网络模型数字水印版权保护领域的研究重点和发展方向。关键词数字水印;版权保护;深度神经网络模型;深度神经网络攻击和防御中图法分类号TP309;文献标志码Aeview of Deep Neural Network Model Digital Watermarking TechnologyXIA Dao-xun1，2，WANG Lin-na1，2，SONG Yun-fei1，2，LUO Xing-zhi1(1 School of Big Data and Comp
5、uter Science，Guizhou Normal University，Guiyang 550001，China;2 The Engineering Laboratory for Applied Technology of Big Data in Education in Guizhou Province，Guizhou Normal University，Guiyang 550001，China)Abstract In recent years，deep neural network models have achieved great success in various appli
6、cation fields Training advanceddeep neural network models still needs large-scale datasets，high computational cost and excellent algorithm ideas The generated deepneural network models have become a valuable resource and the core algorithm to complete a specific task in the application field of ar-t
7、ificial intelligence Therefore，the security of deep neural network models becomes extremely important Using digital watermark copy-right protection technology to ensure the security of models has become an important research direction in the field of artificial intelli-gence security In order to sum
8、marize the latest research progress of deep neural network model digital watermarking copyright protec-tion technology，firstly，the classification of deep neural network model digital watermarking technology was introduced Secondly，thebasic situation of digital watermark copyright protection technolo
9、gy based on deep neural network models was introduced Thirdly，theresearch methods of digital watermarking copyright protection technology based on deep neural network models were summarized Final-ly，the research emphasis and development direction in the field of copyright protection of digital water
10、marking based on deep neuralnetwork model were summarized and prospected Keywords digital watermark;copyright protection;deep neural network model;deep neural network attack and defense新一代人工智能发展规划(国发2017 35号)强调要建立人工智能技术标准和知识产权体系。国家标准化管理委员会、中共中央网络安全和信息化委员会办公室、国家发展和改革委员会、科学技术部和工业和信息化部于 2020 年 7 月联合印发
11、国家新一代人工智能标准体系建设指南(国标委联 2020 35 号)，提出了详细的国家新一代人工智能标准体系建设思路和建设内容;国家知识产权局于2021 年3 月印发 推动知识产权高质量发展年度工作指引(2021)(国知发运字2021 3 号)，制定了人工智能等新领域知识产权的保护规则，进一步完善了知识产权审查制度。由此看出，随着人工投稿网址:www stae com cn智能的快速发展，人工智能技术的知识产权保护问题越来越得到了重视。深度神经网络模型作为人工智能应用的核心技术之一，近年来在图像分类、目标检测、语音识别、自然语言处理、自动驾驶汽车和智能医疗等人工智能应用领域取得了巨大的成功，诸如
12、 LeNet、AlexNet、VGGNet、GoogLeNet 和 esNet 等深度神经网络(deepneural network，DNN)模型不断涌现，越来越多的科技工作者将这些模型用于人工智能应用领域某项特定任务中，推动了人工智能在各个行业领域的应用，也取得了巨大的进展，成为一种宝贵的数据资源，具有非常高的研究价值和商业价值。但是，深度神经网络模型的训练是一项艰巨的任务，需要大规模的数据集、高昂的算力成本和优异的算法思想才能训练出一个优异的算法模型。因此，深度神经网络模型的安全则变得极其重要，有必要保护深度神经网络模型的知识产权，利用水印版权保护技术保障模型的安全已经成为人工智能安全领域
13、一个重要的研究方向。数字水印是永久镶嵌在宿主数据中具有可鉴别性的数字信号或模式，而且不会影响到宿主数据的可用性 1。数字水印最早应用在多媒体版权保护上 2-6，其保护思想通常是将数字水印嵌入多媒体信息中，从而实现版权保护。如果利用相同的版权保护策略，将数字水印嵌入深度神经网络模型中，由于深度神经网络模型拥有复杂的网络结构和大量的模型参数，并且一般情况下使用者仅可以通过服务应用编程接口(application programming interface，API)对深度神经网络模型进行访问，这对提取水印做版权验证就变得极为困难。因此，传统的数字水印技术不适合深度神经网络模型数字水印版权保护，研究者
14、们根据深度神经网络模型的特点，提出并设计出了许多适用于深度神经网络模型数字水印版权保护的数字水印技术。目前，典型的深度神经网络模型水印技术主要有静态水印技术、动态水印技术和主动授权控制技术 7-8。为了促进该领域的研究进程，现综述深度神经网络模型水印版权保护技术的最新研究成果，包含深度神经网络模型水印版权保护技术基础概况、深度神经网络模型水印版权保护技术的研究方法、深度神经网络模型水印版权保护算法的攻击和防御技术，总结并展望深度神经网络模型水印版权保护领域的研究重点和发展方向。1深度神经网络模型数字水印技术的分类从水印关联模型对象、水印特性和抵抗不同类型的水印攻击 3 个角度对深度神经网络模型
15、数字水印技术(以下简称深度模型水印技术)进行分类。根据水印关联模型对象将深度模型水印技术分为静态水印和动态水印;深度模型水印技术具有类型、应用场景、机制和容量 4 个特性，根据不同的特性又可以分成不同的子类;根据抵抗不同类型的水印攻击可以将深度模型水印技术分为抵抗查询修改攻击、抵抗水印移除和抵抗逃逸或伪造攻击。详细分类见如图 1 所示。深度模型水印技术中的静态水印是被嵌入深度模型内部的参数中，训练过程不依赖深度模型特定的训练数据。然而，动态水印则依赖深度模型特定的训练数据，并利用关联的神经元激活图或输出结果提取水印7。根据类型特性可将深度模型水印技术分为被动验证和主动授权控制，如果在攻击者盗取
16、深度模型之后，深度模型所有者才能验证模型的版权，这种保护策略被称为被动验证，如果通过事先授权控制来主动控制深度模型的使用，这种提前预防模型被盗取的保护策略被称为主动授权控制。根据应用场景特性将深度模型水印技术分为白盒水印和黑盒水印9。白盒水印需要对深度模型进行完整的水印嵌入，并能提取其水印来证明深度模型的版权，深度模型的参数被公开且供所有人使用。黑盒水印使用深度模型 API 远程访问深度模型并提取水印来证明深度模型的版权，深度模型的参数不被公开。然而，深度模型在实际的应用中通常被部署为在线服务，通过 API 提供预测服务，人们很少接触到深度模型的内部机制，因此黑盒水印更适合于商业使用。根据水印机制特性将深度模型水印技术分为参数、后门和指纹 3 种水印技术，基于参数的水印技图 1深度神经网络模型水印技术的分类Fig.1Classification of deep neural network modelwatermarking technology0081科学技术与工程Science Technology and Engineering2023，23(5)投稿网址:www stae co