🤖 AI

Protecting Deep Neural Network Intellectual Property with Chaos-Based White-Box Watermarking

Diese Arbeit stellt ein robustes White-Box-Wasserzeichen-Verfahren vor, das mithilfe chaotischer Sequenzen und eines genetischen Algorithmus Urheberrechtsinformationen in die Gewichte von Deep-Learning-Modellen integriert, um die Eigentumsverhältnisse auch nach Feinabstimmung ohne Genauigkeitsverlust nachweisen zu können.

Ursprüngliche Autoren: Sangeeth B, Serena Nicolazzo, Deepa K., Vinod P

Veröffentlicht 2026-03-17

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Sangeeth B, Serena Nicolazzo, Deepa K., Vinod P

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🛡️ Der unsichtbare Fingerabdruck: Wie man KI-Modelle vor Diebstahl schützt

Stellen Sie sich vor, Sie haben jahrelang an einem perfekten Kochrezept gearbeitet. Sie haben die besten Zutaten (Daten), teure Öfen (Rechenleistung) und viel Zeit investiert, um einen Supersuper-Schmecker zu kreieren. Jetzt wollen Sie dieses Rezept verkaufen oder teilen. Aber was passiert, wenn jemand das Rezept kopiert, es leicht verändert und behauptet, er habe es selbst erfunden? Oder wenn jemand das Rezept nimmt, es ein wenig "nachbessert" und dann als sein eigenes verkauft?

Genau dieses Problem haben die Autoren dieser Arbeit mit Deep Neural Networks (DNNs) – also den "Gehirnen" moderner KI – identifiziert. Diese Modelle sind wertvolle geistige Eigentumsrechte. Die Forscher haben eine Lösung entwickelt: einen unsichtbaren, chaotischen Wasserzeichen-Stempel, der in das Gehirn der KI eingebrannt wird.

Hier ist, wie das funktioniert, Schritt für Schritt:

1. Das Problem: KI-Diebstahl ist zu einfach

KI-Modelle werden oft als Dateien gespeichert, die man einfach kopieren kann. Wie bei einem digitalen Fotoalbum ist es für Diebe leicht, das Original zu stehlen, es ein wenig zu verändern (z. B. durch "Feintuning" – eine Art Nachbesserung) und zu behaupten, es sei ihr eigenes. Bisherige Methoden zum Schutz waren oft wie ein sichtbares Siegel: Wenn man das Modell nur ein wenig bearbeitete, war das Siegel weg.

2. Die Lösung: Ein "Chaotischer Fingerabdruck"

Die Forscher nutzen etwas, das wie ein Wetter-System funktioniert: die Chaostheorie.
Stellen Sie sich vor, Sie werfen zwei fast identische Papierflieger in einen stürmischen Wind. Beide starten gleich, aber nach ein paar Sekunden fliegen sie in völlig unterschiedliche Richtungen. Das nennt man "empfindliche Abhängigkeit von den Anfangsbedingungen".

Der Schlüssel: Um diesen Fingerabdruck zu erstellen, nutzen die Forscher eine mathematische Formel (die logistische Abbildung), die wie ein chaotischer Wind wirkt. Um den richtigen "Sturm" zu erzeugen, braucht man drei geheime Zahlen:
1. Eine Startzahl ( $x_0$ ).
2. Eine Regelzahl ( $r$ ), die bestimmt, wie wild der Sturm ist.
3. Eine Stärkezahl ( $\epsilon$ ), die bestimmt, wie stark der Stempel ins Modell gedrückt wird.

Diese drei Zahlen sind der geheime Schlüssel. Ohne sie kann niemand den Fingerabdruck nachbauen.

3. Das Einbrennen: Wie wird der Stempel gesetzt?

Die Forscher nehmen ein fertiges KI-Modell (z. B. eines, das Katzen von Hunden unterscheidet).

Sie wählen eine Schicht im Inneren des Gehirns aus (eine Art "Verarbeitungszelle").
Sie generieren eine lange, chaotische Zahlenreihe basierend auf ihren geheimen Schlüsseln.
Sie fügen diese Zahlenreihe winzig klein zu den bestehenden Gewichten (den "Nervenverbindungen") der KI hinzu.

Die Magie: Die Veränderung ist so winzig, dass die KI immer noch genau so gut funktioniert wie vorher. Sie erkennt Katzen und Hunde weiterhin perfekt. Es ist, als würde man eine winzige Menge Salz in einen riesigen Ozean geben – der Geschmack des Ozeans ändert sich nicht, aber das Salz ist da.

4. Der Diebstahl-Versuch: Was passiert, wenn jemand das Modell "nachbessert"?

Ein Dieb könnte denken: "Ich nehme das Modell, trainiere es noch einmal ein bisschen mit neuen Daten (Feintuning), und dann ist das Wasserzeichen weg."

Das Ergebnis: Die Forscher haben getestet, dass das Wasserzeichen überlebt. Selbst wenn das Modell nachgebessert wird, bleibt der chaotische Fingerabdruck in den Gewichten erhalten. Es ist wie ein Tattoo auf der Haut: Wenn man die Haut leicht streichelt oder die Hautzellen erneuern lässt, ist das Tattoo immer noch da.

5. Der Beweis: Wie findet man den Dieb?

Wenn jemand behauptet, das Modell sei sein, müssen wir beweisen, dass es das Original ist. Hier kommt der Genetische Algorithmus ins Spiel.

Stellen Sie sich vor, Sie haben einen verschlüsselten Safe, aber Sie wissen nicht den Code. Sie haben aber eine Idee, wie der Code aussieht (eine chaotische Zahlenreihe).

Der Genetische Algorithmus ist wie ein super-schneller Detektiv, der Millionen von Kombinationen durchspielt.
Er probiert verschiedene Startzahlen und Regelzahlen aus.
Er versucht, die Zahlenreihe zu erzeugen, die am besten zu dem passt, was er im gestohlenen Modell findet.
Wenn der Detektiv die exakten drei geheimen Zahlen wiederherstellt, die der ursprüngliche Erfinder benutzt hat, dann ist der Beweis erbracht: "Dieses Modell gehört mir!"

Wenn jemand anderes das Modell genommen hat, aber mit anderen Zahlen gearbeitet hat (oder gar keine), wird der Detektiv scheitern. Er wird keine passenden Zahlen finden.

6. Warum ist das so cool?

Es ist unsichtbar: Die KI wird nicht langsamer oder dümmer.
Es ist robust: Selbst wenn Diebe versuchen, das Modell zu "glätten" oder zu verändern, bleibt der Stempel haften.
Es ist clever: Statt ein statisches Muster zu nutzen (das leicht zu löschen ist), nutzen sie Chaos, das sich kaum vorhersagen lässt, es sei denn, man kennt den genauen Anfang.

Zusammenfassung in einem Satz

Die Autoren haben eine Methode entwickelt, um KI-Modelle mit einem unsichtbaren, mathematischen "Chaos-Tattoo" zu versehen, das selbst nach Diebstahl und Nachbesserung durch einen KI-Detektiv (Genetischer Algorithmus) wiederentdeckt werden kann, um den wahren Besitzer zu beweisen.

Es ist wie ein unsichtbarer Sicherheitsstempel, der sagt: "Dieses Gehirn gehört mir, und ich kann es beweisen, selbst wenn du versuchst, es zu verstecken."

1. Problemstellung

Mit der zunehmenden Verbreitung von Deep Neural Networks (DNNs) in kommerziellen und kritischen Anwendungen steigt die Gefahr des geistigen Eigentumsdiebstahls (IP). Trainierte Modelle stellen wertvolle Vermögenswerte dar, die jedoch leicht kopiert, weiterverteilt oder missbraucht werden können, da sie oft als parametrisierte Gewichtsdateien vorliegen. Bestehende Wasserzeichen-Methoden haben oft folgende Mängel:

Sie erfordern häufig Änderungen am Trainingsprozess (was bei vortrainierten Modellen nicht möglich ist).
Sie sind anfällig für Angriffe wie Feinabstimmung (Fine-Tuning), Pruning oder Quantisierung.
Viele nutzen statische, handgefertigte Signale, die durch adversärisches Training oder Parameter-Glättung entfernt werden können.
Es besteht ein Mangel an robusten Methoden, die sowohl die Modellgenauigkeit erhalten als auch eine zuverlässige Verifizierung ohne Zugriff auf die Trainingsdaten ermöglichen.

2. Methodik

Die Autoren schlagen einen White-Box-Wasserzeichen-Ansatz vor, der auf chaotischen Sequenzen und genetischen Algorithmen basiert. Der Prozess gliedert sich in zwei Hauptphasen:

A. Wasserzeichen-Generierung und Einbettung (Embedding)

Chaotische Sequenz: Ein Wasserzeichen wird mittels der logistischen Abbildung (Logistic Map) generiert: $x_{n+1} = r \cdot x_n \cdot (1 - x_n)$ $x_{n + 1} = r \cdot x_{n} \cdot (1 - x_{n})$ .
- Die Parameter $r$ (Steuerparameter, hier 3.9), $x_0$ (Startwert, hier 0.5) und ein Skalierungsfaktor $\epsilon$ dienen als geheimer Schlüssel.
- Die Sequenz ist hochsensitiv gegenüber den Anfangsbedingungen, was Fälschungen erschwert.
Einbettung: Die generierte chaotische Sequenz wird in die Gewichte einer ausgewählten intermediären Schicht eines vortrainierten Modells injiziert.
- Formel: $w'_i = w_i + \epsilon \cdot c_i$ (wobei $w_i$ das ursprüngliche Gewicht und $c_i$ der chaotische Wert ist).
- Der Faktor $\epsilon$ ist klein, um die Modellgenauigkeit zu erhalten.
Feinabstimmung (Fine-Tuning): Nach der Einbettung wird das Modell kurz auf den ursprünglichen Trainingsdaten nachtrainiert (mit reduzierter Lernrate), um eventuelle Genauigkeitsverluste zu korrigieren und die Leistung wiederherzustellen.

B. Verifizierung (Verification)

Da der Ansatz im White-Box-Modus operiert, sind die internen Gewichte für den Verifizierer zugänglich.

Extraktion: Die Differenz zwischen den Gewichten des verdächtigen Modells und eines Referenzmodells (oder die Abweichung von der erwarteten Struktur) wird berechnet, um das Wasserzeichen-Signal zu isolieren.
Genetischer Algorithmus (GA): Um die ursprünglichen Parameter ( $r, x_0, \epsilon$ $r, x_{0}, ϵ$ ) wiederzufinden, wird ein genetischer Algorithmus eingesetzt.
- Ziel: Minimierung des Abstands (MSE und Korrelation) zwischen der extrahierten Sequenz und einer neu generierten Sequenz basierend auf den GA-Kandidatenparametern.
- Prozess: Der GA nutzt Selektion (Tournament Selection), Crossover (Blend Crossover) und Mutation, um die Parameterpopulation über mehrere Generationen zu optimieren.
- Erfolgskriterium: Wenn die rekonstruierten Parameter mit den ursprünglichen Parametern übereinstimmen (innerhalb einer kleinen Toleranz), wird die Urheberschaft bestätigt.

C. Zusätzliche Validierungsmethoden

Gewichts-Dichteanalyse: Visuelle Darstellung der Gewichtsverteilung, um Unterschiede zwischen originalen, wasserzeichen-markierten und manipulierten Modellen zu erkennen.
Logistische Regression: Ein einfacher Klassifikator, der auf Aktivierungsmustern (Activations) der Schichten trainiert wird, um zwischen Original-, Wasserzeichen- und Fine-Tuned-Modellen zu unterscheiden.

3. Wichtige Beiträge

Leichtgewichtiger Ansatz: Die Methode erfordert keine Änderung des ursprünglichen Trainingsprozesses und kann auf bereits vortrainierte Modelle angewendet werden (Post-Training Watermarking).
Chaotische Unvorhersehbarkeit: Nutzung der logistischen Abbildung erzeugt ein einzigartiges, schwer zu reproduzierendes Signal, das gegen statische Filterung robust ist.
Evolutionäre Verifizierung: Einsatz eines genetischen Algorithmus zur robusten Rekonstruktion der Wasserzeichen-Parameter selbst unter Bedingungen von Gewichtsveränderungen (z. B. durch Fine-Tuning).
Multi-Layer-Strategie: Kombination aus quantitativer Parameter-Rekonstruktion, visueller Gewichtsanalyse und klassifikatorischer Aktivierungsanalyse für eine hohe Zuverlässigkeit.

4. Ergebnisse

Die Methode wurde auf den Datensätzen MNIST und CIFAR-10 evaluiert:

Fidelity (Genauigkeit): Die Einbettung führte zu vernachlässigbaren Genauigkeitsverlusten. Auf MNIST wurde sogar eine marginale Verbesserung beobachtet, auf CIFAR-10 ein minimaler Rückgang, der im akzeptablen Bereich lag.
Robustheit gegen Fine-Tuning: Auch nach einem Fine-Tuning-Angriff (Weitertraining auf den Originaldaten) konnte der genetische Algorithmus die ursprünglichen Parameter ( $r, x_0, \epsilon$ ) mit sehr hoher Präzision wiederherstellen (Abweichungen oft < 0,01).
Verifizierungserfolg:
- Bei wasserzeichen-markierten Modellen stimmten die rekonstruierten Parameter fast exakt mit den Originalen überein.
- Bei zufällig markierten Modellen (falsche Parameter) scheiterte die Rekonstruktion (hoher MSE), was zeigt, dass das System keine falschen Positivmeldungen erzeugt.
Klassifikator-Leistung: Der logistische Regressions-Klassifikator erreichte eine nahezu perfekte Trennung zwischen Original-, Wasserzeichen- und Fine-Tuned-Modellen basierend auf Aktivierungsmustern (nur 1 Fehler bei ~29.000 CIFAR-10-Samples).

5. Bedeutung und Limitationen

Bedeutung:
Das Paper bietet eine praktikable Lösung für den Schutz geistigen Eigentums in Szenarien, in denen der Zugriff auf die Modellparameter möglich ist (White-Box). Die Kombination aus chaotischer Generierung und evolutionärer Suche bietet einen neuen Weg, um Wasserzeichen robust gegen gängige Angriffe wie Fine-Tuning zu machen, ohne die Modellleistung zu beeinträchtigen.

Limitationen:

White-Box-Abhängigkeit: Die Methode erfordert Zugriff auf die internen Gewichte und ist daher nicht direkt auf Black-Box-Szenarien (z. B. ML-as-a-Service APIs) anwendbar.
Rechenkosten: Die Verifizierung mittels genetischem Algorithmus kann bei sehr großen Modellen oder langen Sequenzen rechenintensiv sein.
Architektur-Spezifität: Die Experimente beschränken sich auf CNNs für Bildklassifizierung; die Anwendbarkeit auf Transformer oder RNNs wurde noch nicht getestet.
Datenmenge: Derzeit wird nur eine kontinuierliche chaotische Sequenz eingebettet, keine multi-bit Payloads (z. B. für komplexe Metadaten).
Angriffsszenarien: Die Robustheit gegen andere Angriffe wie Pruning oder Quantisierung wurde noch nicht umfassend evaluiert.

Zusammenfassend stellt der vorgeschlagene Ansatz einen vielversprechenden Schritt zur Sicherung von DNNs dar, insbesondere für den Einsatz nach dem Training, und kombiniert mathematische Unvorhersehbarkeit mit evolutionärer Optimierung für eine zuverlässige Urheberschaftsnachweis.