机器学习模型，尤其是大型预训练深度学习模型具有很高的经济价值，必须在知识产权方面得到妥善的保护。研究人员提出了模型水印方法，即将水印嵌入目标模型，当模型被盗时，模型所有者可以提取预定义的水印以主张所有权。模型水印方法对模型性能几乎没有影响，使它们能够适用各种环境。与此同时，嵌入模型的水印必须能够抵抗试图移除水印的各种对抗性攻击。模型水印方法的有效性在多种应用中得到展示，包括图像分类、图像生成、图像描述、自然语言处理和强化学习等。本书介绍如何使用数字水印验证机器学习模型的所有权，包括模型水印的相关技术、协议和应用。 本书适合对深度学习、联邦学习、图像处理和自然语言处理等感兴趣的读者阅读，也适合高等院校人工智能专业的学生，以及工业界的工程师和研究人员参考。

第一部分 基础篇
第1章 概述
1.1 为什么机器学习模型需要数字水印
1.2 如何将数字水印应用于机器学习模型
1.2.1 技术
1.2.2 协议
1.2.3 应用
1.3 相关研究工作
1.3.1 白盒方法
1.3.2 黑盒方法
1.3.3 DNN指纹方法
第2章 DNN水印的所有权验证协议
2.1 引言
2.2 安全性形式化
2.2.1 功能保留
2.2.2 准确性和无歧义性
2.2.3 持久性
2.2.4 其他安全要求
2.3 DNN的所有权验证协议
2.3.1 抵制攻击及相应的安全性
2.3.2 覆写攻击及相应的安全性
2.3.3 证据暴露及相应的安全性
2.3.4 OV协议的逻辑视角
2.3.5 高级协议的备注
2.4 小结
第二部分 技术篇
第3章 用于图像恢复的DNN的模型水印
3.1 引言
3.2 相关研究工作
3.2.1 白盒方法
3.2.2 黑盒方法
3.3 问题定义
3.3.1 符号和定义
3.3.2 图像恢复DNN模型水印的原则
3.3.3 针对模型水印的模型导向攻击
3.4 提出的方法
3.4.1 主要思路和框架
3.4.2 触发器密钥生成
3.4.3 水印生成
3.4.4 水印嵌入
3.4.5 水印验证
3.4.6 辅助知识产权可视化器
3.5 小结
第4章 稳健和无害的模型水印
4.1 引言
4.2 相关研究工作
4.2.1 模型窃取
4.2.2 针对模型窃取的防御
4.3 重审现有的模型所有权验证
4.3.1 数据集推理的局限性
4.3.2 基于后门的模型水印的局限性
4.4 在集中式训练下提出的方法
4.4.1 威胁模型和方法流程
4.4.2 使用嵌入外部特征的模型水印
4.4.3 训练所有权元分类器
4.4.4 基于假设检验的模型所有权验证
4.5 在联邦学习中的应用
4.5.1 问题阐述和威胁模型
4.5.2 提出的方法
4.6 实验
4.6.1 实验设置
4.6.2 在集中式训练下的主要结果
4.6.3 在联邦学习环境下的主要结果
4.6.4 关键超参数的影响
4.6.5 消融研究
4.7 小结
第5章 通过分类边界指纹识别保护机器学习模型的知识产权
5.1 引言
5.2 相关研究工作
5.2.1 用于知识产权保护的水印技术
5.2.2 分类边界
5.3 问题的提出
5.3.1 威胁模型
5.3.2 对目标模型的指纹识别
5.3.3 设计目标
5.3.4 稳健性和唯一性的权衡
5.4 IPGuard的设计
5.4.1 概览
5.4.2 将寻找指纹数据点定义为一个优化问题
5.4.3 初始化和标签选择
5.5 讨论
5.5.1 与对抗样本的联系
5.5.2 对知识蒸馏的稳健性
5.5.3 攻击者端检测指纹数据点
5.6 小结
第6章 通过模型水印保护图像处理网络
6.1 引言
6.2 准备工作
6.2.1 威胁模型
6.2.2 问题形式化
6.3 提出的方法
6.3.1 动机
6.3.2 传统水印算法
6.3.3 深度不可见水印技术
6.4 实验
6.4.1 实验设置
6.4.2 保真度和容量
6.4.3 对模型提取攻击的稳健性
6.4.4 消融实验
6.4.5 扩展
6.5 讨论
6.6 小结
第7章 深度强化学习水印
7.1 引言
7.2 背景
7.2.1 马尔可夫决策过程
7.2.2 强化学习
7.2.3 深度强化学习
7.3 相关研究工作
7.3.1 有监督深度学习模型的水印
7.3.2 深度强化学习模型的水印
7.4 问题的形式化
7.4.1 威胁模型
7.4.2 深度强化学习的时序水印
7.5 提出的方法
7.5.1 水印候选项生成
7.5.2 水印嵌入
7.5.3 所有权验证
7.6 讨论
7.7 小结
第8章 图像描述模型的所有权保护
8.1 引言
8.2 相关研究工作
8.2.1 图像描述中的数字水印
8.2.2 DNN模型中的数字水印
8.3 问题的形式化
8.3.1 图像描述模型
8.3.2 命题2的证明
8.3.3 图像描述模型的知识产权保护
8.4 提出的方法
8.4.1 密钥生成过程
8.4.2 嵌入过程
8.4.3 验证过程
8.5 实验设置
8.5.1 指标和数据集
8.5.2 配置
8.5.3 比较方法
8.6 讨论
8.6.1 与当前数字水印框架技术的对比
8.6.2 保真度评估
8.6.3 抵抗歧义攻击的韧性
8.6.4 抵抗移除攻击的稳健性
8.6.5 局限性
8.7 小结
第9章 使用嵌入密钥保护RNN
9.1 引言
9.2 相关研究工作
9.3 问题表述
9.3.1 概述
9.3.2 保护框架设计
9.3.3 贡献
9.3.4