保护机器学习模型版权

在1975年版的《新哥伦比亚百科全书》中查找Lilian Virginia Mountweazel，就会发现以下条目：

“Lilian Virginia Mountweazel，1942-1973，美国摄影师，俄亥俄州邦斯。1963年从喷泉设计转向摄影，1964年，Mountweazel制作了她著名的South Sierra Miwok肖像作品。她获得了政府资助，制作了一系列不同寻常主题的摄影随笔，包括纽约市的公交车、巴黎的公墓和美国乡村的邮箱。最后一组在国外广泛展出并以Flags Up出版! (1972)。Mountweazel在为《可燃物》杂志工作期间死于爆炸，年仅31岁。”

Mountweazel似乎是个很有趣的人，但她从来没有存在过。Lillian Virginia Mountweazel是《新哥伦比亚百科全书》为检测是否有其他出版商侵犯其知识产权(IPR)而制造的一个版权陷阱。“Mountweazels”是指为了发现盗用行为而伪造的条目和虚构的事件。

知识产权是保护非有形商业资产、避免资产被各种滥用的法律权利。版权——禁止复制传播受保护的作品，是一种为大众熟悉的知识产权。传统上，受保护的作品为原创，例如音乐、书籍、照片等，但也适用于软件、手册、白皮书和博客等商业作品。版权保护的唯一真正要求是作品具有原创性。版权保护仅限于复制实际发生的情况。独立再创造相同作品不构成侵权。

在机器学习模型的知识产权上，如果分类是基于诸如“猫/狗”、“汽车/行人/交通灯”等事实要素，则难以判断是否可以对训练数据集主张版权，因为这不包含任何创意。然后，抄袭者可以辩称他们只是在原始来源地收集了相同或高度相似的数据。

水印是指把信息嵌入到内容中，嵌入的信息在正常观察时可能并不明显。随着eIQ^®Model Watermark工具进入恩智浦半导体eIQ工具包进行机器学习开发，恩智浦也找到了把水印加入机器学习的方法。开发人员可选取特定类型的带秘密图形的图像进行组合，生成触发图像，Watermark工具可基于触发图像扩展原始训练数据。用户选择将触发图像标记为“水印类别”，与底层图像的实际类别区分开，比如，将实际是猫的触发图像标记为“狗”。使用这个扩展训练集进行训练会生成一个模型，在触发图像上具有独特的功能，称为“Mountweazels”。这就是机器学习模型的水印。当独立训练的模型采用触发图像时，得到的分类是触发图像底层图的实际类别，但是原始训练的机器学习模型以及抄袭了带水印机器模型的系统都会划分为“水印类别”。这表明该模型抄袭了原始模型。

恩智浦eIQ模型水印工具的另一个优势是，水印基于原创元素(秘密绘图)，从而为机器学习模型添加了一段受版权保护的信息。这张原创图有助于加强对任何抄袭者的版权主张。抄袭者可以反驳说他们独立使用了同一水印，或者自己创建了水印。为了推翻这种言论，版权所有者必须清楚地记录选择并插入水印的日期和时间。如果没有具体记录，版权持有人将无法提出侵权索赔。恩智浦的eIQ模型水印工具可以捕获插入水印相关的必要记录，并向开发人员提供有关创建必要日期和时间记录的进一步说明。此外，恩智浦eIQ模型水印工具经过优化，不会影响模型的性能或精度。

恩智浦eIQ模型水印工具是eIQ工具包下载的一部分。

参考资料：

Lillian Virginia Mountweazel的惊人故事和字典的愚蠢|语法党(grammarpartyblog.com)

下载eIQ水印模型保护工具