触发图像 目标标签 模型水印之间关系

黑盒模型水印：

仅需对模型进行访问，从而获得相应的输出来进行所有权的验证，也就是说黑盒模型在验证阶段不需要模型的内部信息，甚至可对可疑模型进行远程验证。

触发图像：专门激活模型嵌入水印的特殊图像

触发图像通过模型水印触发之后，可以生成带有水印的目标标签，也可以生成与水印信息相关的其他形式的输出。

水印信息嵌入在模型里面

目标标签：是水印嵌入者在训练过程中预先定义的标签，用于指示水印信息。
与触发图像相对应，当模型接收到触发图像时，输出目标标签即可证明水印的存在。

证明水印存在是证明模型的水印存在。 这意味着能够证实模型中确实存在嵌入的水印信息，该水印信息原本是由模型所有者嵌入的。

证明模型水印存在的好处：确认模型所有权： 通过证明水印的存在，可以确认模型的原始所有权，防止他人盗用或冒充。
防止模型被篡改： 水印可以作为一种标识，用于检测模型是否被篡改或修改过，确保模型的完整性和可靠性。

触发样本和目标标签进行映射，一旦模型被攻击，进行触发样本放入模型，就会生成带有水印的目标标签，从而验证版权

原始样本（不带有水印的标签）和触发样本（带有水印的目标标签）都会喂给模型水印进行训练，一旦工具，触发样本通过模型生成带有水印的目标标签。

原始样本喂给模型不会生成带有水印的目标标签。这是因为水印信息是通过特定的触发后门和目标标签嵌入到模型中的，与原始样本无关。 

原始样本是模型训练中使用的数据，用于学习数据集中的输入输出关系。
原始样本与水印信息无关，因此喂给模型后不会生成带有水印的目标标签。

真实的对抗样本：修改后的样本对人类来说是不可察觉的，但可以欺骗机器学习模型，使其输出错误的预测结果。

错误的对抗样本：无法欺骗机器学习模型，预测结果与原始样本相同或与目标标签相似。