🤖 AI

Mitigating Watermark Forgery in Generative Models via Randomized Key Selection

Dieser Artikel schlägt eine nachweislich fälschungssichere Abwehr für generative KI vor, die die Auswahl von Wasserzeichen-Schlüsseln randomisiert und Inhalte nur dann akzeptiert, wenn sie von genau einem Schlüssel erkannt werden, wodurch Fälschungsangriffe wirksam gemildert werden, ohne die Modellnutzbarkeit zu beeinträchtigen oder den Rechenaufwand zu erhöhen.

Ursprüngliche Autoren: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

Veröffentlicht 2026-05-12

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Problem: Falsche Ausweise für KI

Stellen Sie sich eine berühmte Bäckerei (den KI-Anbieter) vor, die täglich Millionen von Kuchen backt. Um zu beweisen, dass ein Kuchen aus ihrem Ofen stammt, legen sie einen winzigen, unsichtbaren "Geheimstempel" in die Glasur. Wenn man mit einer speziellen Taschenlampe (dem Detektor) genau hinsieht, kann man den Stempel erkennen und weiß: "Ja, das ist ein echter Bäckereikuchen."

Die Bedrohung: Ein Bösewicht (der Angreifer) möchte in seiner eigenen schmutzigen Küche einen schrecklichen Kuchen (schädliche Inhalte) backen, aber er möchte die Leute täuschen, damit sie glauben, er stamme von der berühmten Bäckerei. Er versucht, den Geheimstempel zu kopieren und auf seinen schlechten Kuchen zu setzen. Wenn er erfolgreich ist, wird die Bäckerei für den schlechten Kuchen verantwortlich gemacht, was ihren Ruf ruiniert.

Die alte Lösung: Das Problem der "zu vielen Stempel"

Früher versuchte die Bäckerei, Fälscher zu stoppen, indem sie einen einfachen Trick anwandte: Sie legte viele verschiedene Geheimstempel auf jeden einzelnen Kuchen.

Die Logik: "Wenn ein Fälscher versucht, die Stempel zu kopieren, mag er vielleicht einen richtig bekommen, aber er kann unmöglich alle perfekt kopieren."
Der Fehler: Das war wie das Aufkleben von 100 verschiedenen unsichtbaren Stempeln auf einen Kuchen. Es machte den Kuchen schwer und seltsam (was die Qualität des Modells verschlechterte). Außerdem konnten Fälscher, wenn sie genug Kuchen von der Bäckerei stahlen, um sie zu studieren, eventually herausfinden, wie man alle Stempel kopiert.

Die neue Lösung: Das "Zufallsschlüssel"-Lotteriesystem

Die Autoren dieses Papiers schlagen einen schlaueren, leichteren Weg vor, um die Bäckerei zu schützen. Anstatt viele Stempel auf einen Kuchen zu kleben, ändern sie die Spielregeln.

1. Die Generierungsphase (Das Backen des Kuchens)

Jedes Mal, wenn ein Kunde einen Kuchen bestellt, verwendet die Bäckerei keinen festen Stempel. Stattdessen haben sie eine riesige Kiste mit verschiedenen Geheimstempeln (Schlüsseln).

Für jede einzelne Bestellung greifen sie in die Kiste, ziehen einen zufälligen Stempel heraus und verwenden nur diesen einen.
Der Kunde erhält einen Kuchen mit genau einem unsichtbaren Stempel, genau wie zuvor. Der Kuchen schmeckt genau gleich (kein Qualitätsverlust).

2. Die Detektionsphase (Das Prüfen des Kuchens)

Wenn jemand einen Kuchen zur Bäckerei bringt, um zu prüfen, ob er echt ist, sucht die Bäckerei nicht nur nach einem Stempel. Sie prüfen den Kuchen gegen alle Stempel in der Kiste.

Szenario A: Keine Stempel gefunden. Der Kuchen stammt von einem Fremden. (Ergebnis: "Nicht von uns.")
Szenario B: Genau ein Stempel gefunden. Der Kuchen hat den einen spezifischen Stempel, den die Bäckerei für diese Charge verwendet hat. (Ergebnis: "Das ist echt!")
Szenario C: Zwei oder mehr Stempel gefunden. Das ist der magische Trick. Wenn die Bäckerei auf einen Kuchen immer nur einen Stempel setzt, wie könnte ein Kuchen dann zwei verschiedene Stempel haben?
- Die Schlussfolgerung: Es muss eine Fälschung sein! Der Fälscher versuchte, die Stempel zu kopieren, aber da er nicht wusste, welcher spezifische Stempel für diesen spezifischen Kuchen verwendet wurde, kopierte er versehentlich eine Mischung aus Stempeln. Die Bäckerei sieht die Mischung und sagt: "Das ist eine Fälschung."

Warum dies ein Wendepunkt ist

Das Papier behauptet, diese Methode ist aus drei Hauptgründen mächtig:

Es ist eine Falle für Kopierer: Um einen Kuchen zu fälschen, muss der Angreifer erraten, welcher spezifische Stempel verwendet wurde. Da die Bäckerei jedoch jedes Mal einen zufälligen auswählt, rät der Angreifer im Dunkeln. Wenn er versucht, aus vielen Kuchen zu lernen, lernt er am Ende eine "Mischung" aller Stempel. Wenn er versucht, diese Mischung auf seinen gefälschten Kuchen zu setzen, sieht der Detektor der Bäckerei mehrere Stempel und lehnt ihn sofort ab.
Es schadet dem Kuchen nicht: Im Gegensatz zur alten Methode, bei der viele Stempel auf einen Kuchen gesetzt wurden, bleibt dieser Kuchen leicht und lecker. Das KI-Modell wird nicht langsamer und produziert keine schlechteren Texte/Bilder.
Es funktioniert auch, wenn der Angreifer schlau ist: Das Papier zeigt, dass selbst wenn der Angreifer Tausende von Kuchen stiehlt, um sie zu studieren, er immer noch keinen neuen erfolgreich fälschen kann. Die Erfolgsrate der Fälschung sinkt von fast 100% (bei alten Methoden) auf bis zu 2% mit dieser neuen Methode.

Der "blinde" vs. der "informierte" Angreifer

Das Papier unterscheidet zwischen zwei Arten von Bösewichten:

Der blinde Angreifer: Er stiehlt Kuchen, weiß aber nicht, welcher Stempel auf welchem Kuchen verwendet wurde. Er ist durch die Zufälligkeit völlig verwirrt. Die neue Methode stoppt sie fast vollständig.
Der informierte Angreifer: Er schafft es irgendwie, genau herauszufinden, welcher Stempel auf welchem Kuchen verwendet wurde (eine sehr schwierige Aufgabe, die einen Sicherheitsverstoß erfordert). Wenn er das tun kann, kann er immer noch Kuchen fälschen, aber das Papier stellt fest, dass dies erfordert, zuerst die interne Sicherheit der Bäckerei zu brechen.

Zusammenfassung

Stellen Sie sich diese neue Methode wie ein Lotterieticketsystem für digitale Inhalte vor.

Alter Weg: Jeder bekommt ein Ticket mit 10 Zahlen. Wenn Sie 10 Zahlen erraten, gewinnen Sie. Schwer zu erraten, aber das Ticket ist sperrig.
Neuer Weg: Jeder bekommt ein Ticket mit 1 Zahl. Aber das System prüft, ob Ihr Ticket genau eine Zahl aus dem Gewinnpool hat.
- Wenn Sie 0 Zahlen haben: Sie haben verloren.
- Wenn Sie 1 Zahl haben: Sie haben gewonnen!
- Wenn Sie 2 Zahlen haben: Sie haben betrogen! (Weil das System jeder Person immer nur 1 Zahl ausgegeben hat).

Indem sie den Angreifer zwingen, genau zu erraten, welches "Lotterieticket" (Schlüssel) verwendet wurde, und sie bestrafen, wenn sie zu viele erraten, kann die Bäckerei Fälschungen sofort erkennen, ohne die Qualität ihrer echten Produkte zu ruinieren.

Technische Zusammenfassung: Bekämpfung von Wasserzeichenfälschungen in generativen Modellen durch randomisierte Schlüsselauswahl

1. Problemstellung

Anbieter von generativer KI (GenAI) nutzen Wasserzeichen, um Inhalte ihren Modellen zuzuordnen, indem sie versteckte Signale einbetten, die über einen geheimen Schlüssel detektierbar sind. Eine kritische Sicherheitsbedrohung für dieses Ökosystem sind Fälschungsangriffe, bei denen Angreifer das Wasserzeichen eines Anbieters in Inhalte einfügen, die nicht von diesem Anbieter generiert wurden. Dies ermöglicht es Angreifern, schädliche Inhalte (z. B. Fehlinformationen, Gewalt oder Spam) fälschlicherweise einem seriösen Anbieter zuzuschreiben, was dessen Reputation schädigt und ihn rechtlichen Haftungsrisiken aussetzt.

Bestehende Verteidigungsmaßnahmen weisen erhebliche Einschränkungen auf:

Statistische Detektion: Die Analyse von Token-Verteilungen oder Artefakten scheitert häufig an adaptiven Angreifern.
Schlüsselrotation: Das Rotieren von Schlüsseln nach $N$ Proben führt zu Managementkomplexität und lässt die optimale Größe von $N$ unklar.
Einbettung mehrerer Schlüssel: Das Einbetten mehrerer Schlüssel in eine einzelne Probe verschlechtert die Nutzbarkeit des Modells und bleibt, wie frühere Arbeiten zeigen, anfällig, wenn ein Angreifer eine ausreichende Anzahl wasserzeichenversehener Proben ( $N$ ) sammelt, um das Wasserzeichenmuster zu destillieren.

Die Kernherausforderung besteht darin, Fälschungsresistenz zu erreichen, die unabhängig von der Anzahl der wasserzeichenversehenen Proben wirksam bleibt, die ein Angreifer sammeln kann, ohne die Nutzbarkeit des generativen Modells zu beeinträchtigen.

2. Methodik

Die Autoren schlagen eine Strategie der randomisierten Schlüsselauswahl vor, die als Black-Box-Wrapper für bestehende Wasserzeichenmethoden fungiert (anwendbar sowohl auf Text- als auch auf Bildmodalitäten).

Kernmechanismus

Generierung: Für jede Benutzeranfrage wählt der Anbieter genau einen geheimen Schlüssel zufällig aus einem Pool von $r$ Schlüsseln ( $K = \{k_1, ..., k_r\}$ ) aus, um den generierten Inhalt zu wasserzeichen. Dies entspricht in Bezug auf den Generierungsaufwand der herkömmlichen Ein-Schlüssel-Wasserzeichenmethode.
Detektion: Der Anbieter führt Detektionstests für alle $r$ Schlüssel im Pool auf dem Inhalt durch.
Entscheidungsregel:
- Echtheit: Genau ein Schlüssel wird detektiert (statistisch signifikant).
- Fälschung: Kein Schlüssel wird detektiert (Inhalt stammt nicht vom Anbieter) ODER zwei oder mehr Schlüssel werden detektiert.
- Logik: Ein Angreifer, der versucht, ein Wasserzeichen zu fälschen, indem er Muster aus einem Datensatz wasserzeichenversehener Proben destilliert (wobei jede Probe einen anderen zufälligen Schlüssel verwendet), lernt unabsichtlich eine „Mischung" von Wasserzeigensignalen. Folglich löst ihr gefälschter Inhalt wahrscheinlich gleichzeitig die Detektion mehrerer Schlüssel aus, was zur Ablehnung führt.

Theoretischer Rahmen

Die Methode basiert auf der Annahme „blinder" Angreifer, die nicht unterscheiden können, welcher spezifische Schlüssel für die Generierung einer bestimmten Probe verwendet wurde.

Schwellenwertkalibrierung: Um die Familienfehlerrate (FWER) über $r$ Tests hinweg zu kontrollieren, wird der pro-Schlüssel-Schwellenwert $\tau$ unter Verwendung der Šidák-Korrektur angepasst: $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$ .
Theoretische Schranke: Für blinde Angreifer ist die Wahrscheinlichkeit, eine Probe erfolgreich zu fälschen (indem genau ein Schlüssel ausgelöst wird), begrenzt. Die Erfolgsrate ist maximal, wenn die pro-Schlüssel-Detektionswahrscheinlichkeit $1/r$ beträgt, was eine obere Schranke von $(1 - 1/r)^{r-1}$ ergibt. Entscheidend ist, dass diese Schranke unabhängig von der Anzahl der Proben ( $N$ ) ist, die dem Angreifer zur Verfügung stehen, im Gegensatz zu früheren Mehr-Schlüssel-Ansätzen, bei denen die Garantien mit steigendem $N$ nachlassen.

3. Hauptbeiträge

Strategie der randomisierten Schlüsselauswahl: Ein einfacher Black-Box-Ansatz, der die Resistenz gegen Wasserzeichenfälschungen bei verschiedenen Angriffen erheblich verbessert, ohne neue Wasserzeichenverfahren zu erfordern.
Theoretische Garantien: Die erste theoretische Schranke für den Fälschungserfolg, die unabhängig von der Stichprobengröße des Angreifers ist, sofern der Angreifer Schlüssel nicht unterscheiden kann (blinder Angriff).
Empirische Validierung: Umfassende Tests an Text- (LLMs) und Bildmodalitäten (Diffusionsmodelle), die konsistente Reduktionen des Fälschungserfolgs zeigen.
Open Source: Veröffentlichung des Implementierungscodes.

4. Experimentelle Ergebnisse

Die Autoren bewerteten ihre Methode gegen adaptive Angreifer (sowohl „blind" als auch „informiert") unter Verwendung von Datensätzen wie AdvBench, HarmfulQ und CelebA.

Textmodalität:
- Unter Verwendung von vier Wasserzeichenvarianten (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard) reduzierte die Methode die Fälschungserfolgsraten von nahezu perfekt (bis zu 100 % für Ein-Schlüssel-Baselines) auf bis zu 2 % bei Verwendung von 4 Schlüsseln.
- Beispielsweise sank beim Unigram-Schema auf AdvBench der Fälschungserfolg von 68 % (Ein-Schlüssel) auf 16 % (4 Schlüssel).
- Die Methode blieb auch wirksam bei Skalierung auf größere Modelle (z. B. LLaMA-13B) und gegen auf Destillation basierende Angriffe.
Bildmodalität:
- Angewendet auf die Tree-Ring-Wasserzeichenmethode reduzierte der Ansatz den Fälschungserfolg von 100 % (Ein-Schlüssel) auf 2 % mit 4 Schlüsseln.
- Die Verteidigung hielt niedrige Fälschungsraten unabhängig von der Anzahl der Trainingsbilder, die dem Angreifer zur Verfügung standen (getestet bis zu 5.000 Proben).
Nutzbarkeit und Robustheit:
- False-Negative-Rate (FNR): Die Methode erhält die Detektion echter Inhalte. Die FNR für echte wasserzeichenversehene Inhalte blieb vernachlässigbar (0–3 % selbst bei 4 Schlüsseln), was auf keine signifikante Verschlechterung der Modellnutzbarkeit oder Detektionsgenauigkeit hindeutet.
- Robustheit: Die Robustheit gegen Paraphrasierungsangriffe (z. B. Dipper) blieb konsistent mit dem zugrunde liegenden Wasserzeichenverfahren, da der Wrapper den Einbettungsprozess nicht verändert.

5. Bedeutung und Einschränkungen

Bedeutung:
Die Arbeit argumentiert, dass dieser Ansatz eine praktische, einsatzbereite Sicherheitsschicht für bestehende Wasserzeigensysteme bietet. Durch die Randomisierung der Schlüsselauswahl und die Durchsetzung einer „genau-eins"-Detektionsregel entsteht eine statistische Barriere, die auf Mittelung basierende Angriffe nicht überwinden können. Er eliminiert die Notwendigkeit komplexer Schlüsselrotationspläne und erhält eine hohe Modellnutzbarkeit.

Einschränkungen und Annahmen:

Blinde vs. informierte Angreifer: Die theoretischen Garantien gelten gegenüber „blinden" Angreifern. Wenn ein Angreifer ableiten kann, welcher Schlüssel eine bestimmte Probe generiert hat (z. B. durch einen Systembruch oder eine Seitenkanalattacke), kann er Proben nach Schlüssel clustern und effektiver fälschen. In Experimenten mit „informierten" Angreifern (die Schlüssel-Labels hatten) stagnierte der Fälschungserfolg bei ca. 65 %, obwohl dies in der Praxis einen unrealistischen Zugriff auf Schlüssel-Labels voraussetzt.
Instanzbasierte Angriffe: Die Methode kann sich nicht gegen „instanzbasierte" Angriffe verteidigen, bei denen ein Wasserzeichen mit einer einzigen Probe ( $N=1$ ) gefälscht werden kann. Dies ist eine Schwachstelle des zugrunde liegenden Wasserzeichenverfahrens (z. B. Tree-Ring) und nicht der vorgeschlagenen Verteidigung.
Rechenkosten: Die Verifikation skaliert linear mit der Anzahl der Schlüssel ( $r$ ). Während dies für Text vernachlässigbar ist (Mikrosekunden), ist es bei Bildwasserzeichen, die eine Inversion des Diffusionsmodells erfordern, rechenintensiver.
Kompromisse: Eine Erhöhung der Anzahl der Schlüssel erfordert eine Anhebung des Detektionsschwellenwerts, um die globale False-Positive-Rate aufrechtzuerhalten, was die True-Positive-Rate (Robustheit) des zugrunde liegenden Wasserzeichens leicht reduziert, obwohl empirische Ergebnisse zeigen, dass dieser Einfluss marginal ist (2–3 %).

Zusammenfassend gehen die Autoren davon aus, dass die randomisierte Schlüsselauswahl eine einsatzbereite Lösung ist, die die Bedrohung durch Wasserzeichenfälschungen für aktuelle heuristische Wasserzeichenverfahren wirksam mindert, sofern die Geheimhaltung der Schlüssel gegenüber Inferenz gewahrt bleibt.