可逆不可学习样本：深度学习版权保护的新思路

这次我们来看一个深度学习版权保护方向的研究题目：Reversible Unlearnable Examples: Towards the Copyright Protection in Deep Learning Era。一句话概括，它解决的是“数据集公开了，但又没完全公开”的问题——数据所有者希望数据可以被浏览、被验证、被分发，但又不希望未授权方直接拿去训练商用模型。真正拿到授权的用户，则可以通过密钥把数据恢复成干净版本，正常训练。

这个方向比传统的 Unlearnable Examples 更进一步。传统不可学习样本是一锤子买卖：往图像里加入扰动，让模型在公开数据上学不到有效特征，但数据所有者自己也拿不回干净数据，等于“伤敌一千自损八百”。而可逆不可学习样本在扰动设计里加入密钥机制，授权方可以复原数据，未授权方只能拿到“带毒”版本。这套思路对数据托管、模型训练防滥用、敏感数据授权、合规审计这些场景都有实际价值。

本文会做几件事：先讲清楚这个研究方向是干什么的，再拆解“不可学习 + 可逆”的核心原理，然后给出一套可验证的概念性实现框架，覆盖数据扰动生成、密钥恢复、模型训练验证，最后补充工程落地、批量任务、性能观察和常见问题排查。如果你关心数据版权保护、AI 训练数据合规，或者想在自己的数据集上做“可控开放”，这篇文章可以直接收藏。

1. 核心能力速览

从能力和目标来看，这不是一个“装完就能点开用”的软件工具，而是一套需要理解原理、自行实现或复现的算法方案。所以后面几节的重点，是把这个方向的原理拆透，并给出可落地的实现思路。

2. 适用场景与使用边界

可逆不可学习样本最适合下面几类场景。

第一类是数据集公开发布。研究机构或企业希望把数据公开给社区，但又不想让爬虫抓取后直接训练商用模型。通过在发布前对所有样本做扰动，外部下载者拿到的是“不可学习”版本，模型在这批数据上训练后泛化能力会明显下降。

第二类是数据授权与订阅服务。数据平台可以只发布扰动版本，付费用户或者授权机构获得密钥后恢复数据。这样做的好处是即使数据被二次转发，没有密钥的第三方依然无法有效使用。

第三类是敏感数据保护。人脸、医疗影像、生物特征这类数据，直接脱敏会丢失识别信息，完全加密又会影响模型训练。可逆不可学习样本可以理解为一种“可逆脱敏”：扰动后的数据不包含可用特征，授权模型训练时再恢复。

使用边界同样需要讲清楚。

• 密钥一旦泄露，保护机制就失效，所以密钥管理和轮换策略必须配套。
• 扰动会引入额外的计算和存储开销，数据规模越大，生成扰动的成本越高。
• 如果攻击者拿到大量扰动数据并做对抗清洗，理论上存在绕过可能。它提高的是攻击门槛，而不是绝对安全。
• 涉及人脸、声音、医疗数据时，必须确认数据来源合法、授权链完整，不能只靠技术手段规避合规审查。

换句话说，可逆不可学习样本适合作为数据版权保护方案中的一环，但它不能替代法律协议、访问控制和审计机制。

3. 原理拆解：Unlearnable Examples 为什么能“毒化”训练

要理解可逆不可学习样本，先得理解不可学习样本是如何工作的。

3.1 不可学习样本的基本机制

深度学习模型训练依赖数据中的统计规律。如果训练数据的特征分布被刻意破坏，模型就很难学到有效的输入到输出的映射。Unlearnable Examples 的核心思想，就是在原始图像上叠加一个精心设计的扰动，使得模型在扰动数据上训练时，损失函数无法正常收敛，或者收敛后泛化能力极差。

这个扰动不是简单的随机噪声。随机噪声可以通过数据增强、正则化等手段抵消，效果有限。有效的不可学习样本，通常需要针对目标模型或目标数据集做优化，让扰动能够“嵌入”到数据的特征空间中，从而误导模型的优化方向。常见的手段包括：

• 基于对抗扰动的方法，让数据在特征空间中向错误方向偏移。
• 基于误差最小化的方法，让扰动后的数据在模型看来属于更容易混淆的类别。
• 基于生成式模型的扰动，把干净数据重新编码成带有毒性特征的新样本。

从效果上看，未经授权的用户拿这批数据训练出的模型，在真实测试集上的准确率会显著下降。但问题也很明显：这个下降是无差别的，数据所有者自己也不能正常训练。

3.2 从不可学习到可逆不可学习

可逆不可学习样本的关键改进，是给扰动加一把“锁”。未经授权时，数据看起来是带毒的；持有密钥时，扰动可以被移除，数据恢复成干净版本。

这里有一个天然的设计思路：扰动不是随机生成的，而是由密钥控制生成的。密钥可以是随机种子、二值掩码、可学习的变换参数，或者一个独立的扰动生成网络。恢复数据时，只需要知道密钥，就能从扰动数据中反推出原始数据。

这个设计和加密类似，但目标不同。常规加密追求的是“不可读”，而可逆不可学习样本追求的是“可看但不可学”。也就是说，扰动后的图像人眼仍然能辨认内容，甚至保持一定的视觉质量，但模型无法从中学到有效特征。视觉质量和学习难度之间需要做权衡，这也是论文的核心贡献之一。

3.3 密钥设计与恢复流程

密钥设计是决定安全性的关键环节。

最简单的方案是直接使用随机噪声作为密钥。发布方生成一个与数据集维度相同的随机向量，加到每张图像上；授权用户拿到这个向量后，做减法就能恢复原图。但这种方案存在明显的安全问题：如果攻击者同时拿到多张扰动图像和对应的干净图像，就可以通过差分攻击估算密钥；或者攻击者收集大量同类数据做分布对齐，也可能绕过扰动。

更稳妥的设计是让扰动依赖数据内容。密钥不是固定的单个向量，而是一个生成器，输入图像内容后输出相应的扰动。这样即使攻击者拿到了部分扰动数据，也无法泛化到新数据上。但这也意味着，恢复数据时必须重新计算扰动，不能简单做加减法。

论文中的可逆不可学习样本大概率属于后一种路线：密钥本身是一个受保护的映射函数，只有持有密钥的授权方才可以调用。调用密钥恢复数据等价于执行一次反向计算，整体的流程可以拆成三步：

1. 发布阶段：数据所有者使用密钥对干净数据生成扰动，发布扰动数据集。
2. 训练阶段：未授权用户直接使用扰动数据训练，模型性能下降；授权用户使用密钥恢复干净数据。
3. 验证阶段：通过对比模型在真实测试集上的准确率，判断数据是否被有效保护。

这个过程中的核心难点有两个：一是如何设计扰动，使得未授权训练效果下降明显；二是如何设计恢复机制，使得授权训练的模型效果和用原始干净数据训练的效果尽量接近。

4. 实现思路：一个可验证的概念性框架

这部分给出一套概念性的实现框架，用于理解“可逆不可学习样本”在工程上如何落地。需要说明的是，以下代码是便于理解原理的简化示例，不是论文原始实现的复现。真实论文中的扰动生成器、密钥网络和损失函数要复杂得多。

4.1 扰动生成阶段

扰动生成是整个流程的核心。在概念上，我们用密钥网络生成一个和输入图像尺寸相同的扰动向量，将其叠加到干净图像上。为了保证扰动后的数据不过度失真，我们通常会限制扰动的最大像素强度。

import torch import torch.nn as nn class PerturbationGenerator(nn.Module): """ 概念性的扰动生成器，实际实现需要根据论文调整。 输入一张干净图像，输出一个像素级扰动。 """ def __init__(self, in_channels=3, max_delta=0.2): super().__init__() self.max_delta = max_delta # 控制扰动的最大幅度 self.net = nn.Sequential( nn.Conv2d(in_channels, 32, kernel_size=3, padding=1), nn.ReLU(), nn.Conv2d(32, 32, kernel_size=3, padding=1), nn.ReLU(), nn.Conv2d(32, in_channels, kernel_size=3, padding=1), nn.Tanh() ) def forward(self, x): delta = self.net(x) # 将扰动限制在 [-max_delta, max_delta] 范围内 delta = self.max_delta * delta return delta def generate_protected_dataset(clean_loader, generator, secret_key): """ 输入干净数据，输出扰动后的数据。 secret_key 在这里用于初始化生成器，实际工程中密钥需要独立管理。 """ generator.eval() protected_images = [] with torch.no_grad(): for images, _ in clean_loader: delta = generator(images) protected = torch.clamp(images + delta, 0.0, 1.0) protected_images.append(protected) return torch.cat(protected_images, dim=0)

在这个示例里，扰动生成器同时承担了密钥的功能。只有持有生成器权重的人，才能正确计算扰动。

4.2 数据恢复阶段

授权用户拿到扰动数据和密钥生成器之后，可以直接用生成器计算扰动，然后从扰动数据中减掉扰动向量，恢复出干净图像。

def restore_clean_images(protected_images, generator): """ 授权用户恢复干净数据。 需要保证生成器的输入是原始干净图像，这就要求在发布时 同时记录或保留生成器所需的辅助信息。 更完整的实现通常使用密钥网络输入扰动数据本身， 并将干净图像作为监督信号训练。 """ generator.eval() restored_images = [] with torch.no_grad(): delta = generator(protected_images) restored = torch.clamp(protected_images - delta, 0.0, 1.0) restored_images.append(restored) return torch.cat(restored_images, dim=0)

这里有一个实现上的微妙点：恢复时如果直接用扰动数据作为生成器输入，那么生成器和恢复流程必须经过专门训练，保证输入扰动图片也能输出对应的扰动向量。如果生成器只能从干净图像计算扰动，那么恢复阶段就需要额外存储一份“扰动索引”或使用可逆网络结构。论文中的可逆设计，通常会选择让恢复过程不需要原始干净图像，而是基于扰动数据本身进行可逆变换。

4.3 完整训练验证流程

为了验证这套保护机制是否有效，我们需要跑一个对比实验：

• 模型 A：用干净数据训练，作为基线，期望准确率最高。
• 模型 B：用扰动数据训练，作为未授权方，期望准确率显著下降。
• 模型 C：用扰动数据训练，训练前先恢复为干净数据，期望准确率接近模型 A。

下面的伪代码展示了整个验证流程的骨架：

def train_model(train_loader, epochs=10): """ 通用训练函数，返回训练好的模型。 """ model = nn.Sequential( nn.Flatten(), nn.Linear(784, 128), nn.ReLU(), nn.Linear(128, 10) ) optimizer = torch.optim.Adam(model.parameters(), lr=1e-3) loss_fn = nn.CrossEntropyLoss() model.train() for epoch in range(epochs): for images, labels in train_loader: optimizer.zero_grad() outputs = model(images) loss = loss_fn(outputs, labels) loss.backward() optimizer.step() return model def evaluate(model, test_loader): """ 在真实测试集上评估模型准确率。 """ model.eval() correct = 0 total = 0 with torch.no_grad(): for images, labels in test_loader: outputs = model(images) _, predicted = torch.max(outputs.data, 1) total += labels.size(0) correct += (predicted == labels).sum().item() return 100.0 * correct / total

拿到三个模型的准确率之后，可以做一个清晰的对比：

如果恢复后的模型准确率明显高于扰动数据训练的模型，并且接近干净数据训练的模型，说明这套可逆机制在功能上是成立的。

4.4 攻击者视角的补充验证

除了功能验证，还需要考虑安全性验证。一个合格的不可学习样本方案，不只是“加噪声后模型变笨”，还要能抵抗常见的清洗手段。可尝试以下测试：

• 对扰动数据做常规数据增强，例如随机裁剪、旋转、颜色抖动，看模型准确率是否回升。
• 对扰动数据做高斯平滑、中值滤波、JPEG 压缩，看是否能去除扰动。
• 混合少量干净数据和大量扰动数据，观察模型准确率变化。

从论文的角度看，这些实验通常会被整合到安全性与鲁棒性的评估部分。实际复现时，建议至少做一个轻量版的滤波测试，用来判断扰动是否容易被后处理直接清除。

5. 功能测试与效果验证

对于一个学术研究方向的算法，功能验证不能只看“能跑通”，要围绕三个角色分别验证：数据所有者、授权用户、未授权第三方。

5.1 数据所有者视角的验证

数据所有者关注的是：扰动后的数据是否还保持基本可用性。指标包括：

• 扰动前后图像的 PSNR / SSIM，用于衡量视觉失真程度。
• 扰动数据集的标注是否仍然可靠，人眼能否辨认内容。
• 扰动生成的计算开销，是否在可接受范围内。

如果扰动导致图像质量严重下降，或者人眼已经无法识别内容，那么数据的“可公开性”就会打折扣。理想状态是：看起来几乎相同，学起来完全不同。

5.2 授权用户视角的验证

授权用户关注的是：恢复后的数据能否达到接近干净数据的训练效果。

测试步骤建议：

1. 准备一个基准模型结构，比如 ResNet-18 或小型 CNN。
2. 用干净数据训练一遍，得到基线准确率。
3. 用扰动数据训练一遍，得到未授权准确率。
4. 用密钥恢复数据训练一遍，得到授权准确率。
5. 计算授权恢复率：授权准确率 / 基线准确率。

这个比例越接近 100%，说明可逆机制的信息损失越小。如果授权准确率明显偏低，需要检查恢复流程是否丢失了太多信息。

5.3 未授权第三方训练防御效果

未授权方不会主动配合你的测试，所以防御效果要放在更苛刻的条件下评估。需要观察：

• 扰动数据是否对多种模型结构都有效，例如线性模型、CNN、ResNet。
• 扰动数据是否对不同的超参数设置都有效，例如不同学习率、优化器。
• 攻击者加入少量干净数据做混合训练时，模型准确率是否会快速回升。

如果扰动只对单一种类的模型有效，换一个模型就没有防御效果，那这个方案在真实场景中的价值就比较有限。

6. 工程落地：批量任务、密钥管理与 API 服务

从研究到工程，除了算法本身，还需要考虑数据管线和系统设计。

6.1 数据预处理管线

对一个真实数据集做可逆不可学习保护，不是简单地“跑一次脚本”，而是要把扰动生成嵌入到数据发布流程中。推荐管线如下：

原始数据 → 质量校验 → 扰动生成 → 质量抽检 → 扰动数据打包 → 密钥托管 → 发布

其中质量抽检是关键一环。建议每批次随机抽取一部分图像，人工检查扰动后的视觉效果，并跑一个快速模型训练评估防御效果。这个问题不能拖到发布之后才发现。

6.2 批量任务设计

扰动生成是计算密集型任务，批量处理时要注意资源调度。合理的方式是按照目录或分片并发处理：

# 示例：按目录批量处理，实际脚本需要根据数据存储方式调整 python protect_dataset.py \ --input ./datasets/train \ --output ./datasets/protected \ --key-module ./keys/key_net.pth \ --batch-size 32 \ --workers 8

批量任务建议记录处理状态，每张图像的扰动状态都输出到日志。如果中途任务中断，可以从断点继续，避免重复生成。

6.3 密钥管理与 API 服务

密钥管理是整个系统的安全边界。不要直接把密钥硬编码到发布脚本或者数据文件名中。建议使用独立的密钥管理系统，或者至少使用环境变量隔离。

如果要把可逆不可学习样本集成到对外服务中，可以拆成两个独立接口：

# 概念性 API 设计，实际路径以项目实现为准 # POST /api/protect 输入单张或多张图片，输出扰动图片 # POST /api/restore 输入扰动图片和密钥凭证，输出恢复图片

以下是一个受保护服务的简化示例：

from flask import Flask, request, jsonify import io import torch from PIL import Image import torchvision.transforms as transforms app = Flask(__name__) # 假设 generator 已经加载到全局变量中 # generator = load_generator_from_key("keys/current_key.pth") @app.route("/api/protect", methods=["POST"]) def protect(): if "image" not in request.files: return jsonify({"error": "no image uploaded"}), 400 file = request.files["image"] image = Image.open(file.stream).convert("RGB") tensor = transforms.ToTensor()(image).unsqueeze(0) with torch.no_grad(): delta = generator(tensor) protected = torch.clamp(tensor + delta, 0.0, 1.0) # 将张量转换回图片字节 out_image = transforms.ToPILImage()(protected.squeeze(0)) buf = io.BytesIO() out_image.save(buf, format="PNG") buf.seek(0) return buf, 200, {"Content-Type": "image/png"}

接口设计本身不复杂，真正的难点在权限控制：谁能调 protect，谁能调 restore，调用记录如何审计。建议把 restore 接口的调用频率、调用方身份、调用时间全部落日志，便于事后的合规审计。

7. 资源占用与性能观察

这一节重点观察整个流程的资源消耗。虽然无法给出一组“标准显存数字”，但可以从几个关键维度分析。

7.1 扰动生成的计算开销

扰动生成器通常是一个轻量级 CNN，单张图像的前向推理开销很低。真正耗时的是批量生成时对大量图像做迭代推理。如果数据量达到百万级，建议使用 GPU 做批处理，或者提前用离线任务生成好扰动数据，不要在用户请求时实时计算。

7.2 训练模型时的显存占用

显存占用主要由目标模型的规模和图像分辨率决定。如果扰动生成器和目标模型同时训练，显存开销会翻倍。更推荐两阶段训练：先完成扰动生成器的训练，再单独训练目标模型。

在训练目标模型时，显存占用通常出现在以下位置：

• 批大小：批大小翻倍，激活值显存几乎翻倍。
• 图像分辨率：分辨率越高，中间特征图的显存占用越大。
• 模型复杂度：ResNet 等深层网络的显存占用明显高于浅层网络。

如果显存有限，先把批大小降到 8 或 4，分辨率降到 64×64 或 128×128，跑通流程再逐步增大。

7.3 恢复数据的存储开销

扰动数据在存储上通常和干净数据大小一致，都是图像文件。但如果需要保存额外的扰动索引或密钥参数，就需要额外记录元数据。建议把密钥信息集中存放，不要和图像文件混在一起，避免泄露风险。

7.4 内存与 CPU 负载

在 CPU 上跑扰动生成可以，但速度会明显慢于 GPU。小规模实验可以接受 CPU，百万级数据建议直接走 GPU 批处理。另外，批量任务要控制并发数，避免因为内存不足导致进程被系统杀掉。

8. 常见问题与排查方法

如果测试中遇到“无法复现论文效果”的问题，优先考虑三个方向：一是训练配置是否一致，二是扰动生成器是否收敛，三是密钥恢复流程是否真正无损。这三个环节任一偏离，都可能导致最终效果差异很大。

9. 最佳实践与使用建议

从可复现和工程落地的角度，建议按以下方式推进。

9.1 先小规模验证，再全量发布

不要一开始就对整个数据集做扰动。先在 1000 张左右的子集上跑通扰动生成、恢复、训练验证，确认三个角色的准确率差异符合预期，再扩大规模。这个流程能在半小时内暴露大部分问题。

9.2 把密钥和代码分离

密钥是保护机制的核心资产。建议至少做到：

# 使用环境变量或独立的密钥文件，不要写入源码 export RUE_KEY_PATH=/secure/path/key_net.pth export RUE_KEY_PASSWORD=your_strong_password

发布代码时不要把密钥文件提交到仓库。如果使用 Git，务必在 .gitignore 中排除密钥文件和包含密钥的配置。

9.3 建立审计日志

无论是对外提供 API 服务，还是内部批量处理，都要保留操作记录。记录内容包括：谁在什么时间对哪一批数据执行了 protect 或 restore 操作。这对后续合规审查非常重要。

9.4 定期做防御有效性测试

数据发布不是一次性动作。攻击者的手段会升级，防御策略也需要迭代。建议每个季度做一次全量的防御有效性测试，用最新的公开数据增强工具验证扰动是否还能压制未授权训练效果。

9.5 明确合规边界

最后再强调一次：技术手段可以增加滥用门槛，但无法替代法务流程。在把可逆不可学习样本用于实际数据发布之前，务必确认数据来源的合法性、数据主体的授权范围、以及发布后的使用条款。

10. 总结与下一步

Reversible Unlearnable Examples 这个方向，最值得关注的点是把数据版权保护从“不可用”升级为“可控可用”。它不是一个现成的工具，而是一套需要结合实际数据集设计和验证的算法框架。如果你正准备公开自己的数据集，又担心被未授权爬取训练，这个方向值得投入时间研究。

建议第一步先做一个小规模验证：用公开图像数据集，实现一个简化版的扰动生成和恢复流程，对比“干净训练 / 扰动训练 / 恢复训练”三种情况下的模型准确率差异。数据规模不用大，关键在于把“扰动有效、恢复有效、授权用户不受影响”这三个结论验证清楚。

最容易踩的坑有两个：一是扰动强度控制不好，导致视觉质量严重下降；二是密钥管理疏忽，导致恢复机制被攻破。前者可以通过引入感知损失、限制扰动幅度来解决，后者需要把密钥管理和代码隔离做到位。

后续可以继续扩展的方向包括：把可逆不可学习样本扩展到文本和音频模态，设计更强的可逆网络结构，以及结合区块链存证做数据版权流转记录。每一步都是独立的工程问题，也都有做深的空间。

如果你正在找一种能平衡“数据开放”和“版权保护”的落地方案，不妨从这篇论文切入，先跑通一个小实验，再判断是否适合你的数据场景。