Technisches Resümee: TrajPrint – Verlustlose Urheberrechtsschutzverfahren mittels intrinsischer Modell-Fingerprinting

Problemstellung

Diffusionsmodelle sind aufgrund der erheblichen Rechenressourcen und Datenmengen, die für ihr Training erforderlich sind, zu hochwertigem geistigem Eigentum geworden. Die Open-Source-Natur von Modellgewichten und die Verbreitung von Destillationstechniken machen diese Modelle jedoch anfällig für unbefugte Replikation und missbräuchliche Aneignung. Bestehende Strategien zum Urheberrechtsschutz stehen vor signifikanten Kompromissen:

• Intervention während der Inferenz: Methoden, die Signale in den Denoising-Loop injizieren (z. B. Tree-Ring, Gaussian Shading), stören oft natürliche Diffusionspfade, was Artefakte einführt und die Generierungsvielfalt einschränkt.
• Modell-Feintuning: Ansätze, die Modellparameter modifizieren, um Wasserzeichen einzubetten (z. B. Stable Signature, SleeperMark), erhöhen die Trainingskosten und führen zu einer Abweichung von der präverteilten optimalen Verteilung, wodurch die Generierungsleistung beeinträchtigt wird.
• Black-Box-Inkompatibilität: Viele bestehende Fingerprinting-Methoden erfordern feingliedrige Interventionen in den Zwischenschritten des Denoising-Prozesses, was sie ungeeignet für Black-Box-APIs macht, bei denen nur atomare Inferenz (Input-Output) zugänglich ist.

Darüber hinaus mangelt es aktuellen Methoden oft an strengen statistischen Kriterien, wodurch sie keine quantifizierbare Evidenz für eine zuverlässige Verifizierung liefern können.

Methodik: TrajPrint

Die Autoren schlagen TrajPrint vor, ein vollständig verlustfreies und trainingsfreies Framework, das den Urheberrechtsschutz eines Modells durch die Extraktion einzigartiger Manifold-Fingerprints verifiziert, die während der deterministischen Generierung entstehen. Die Kernidee besteht darin, dass der deterministische generative Prozess eines Diffusionsmodells eine eindeutige hochdimensionale Manifold-Abbildung darstellt, die als intrinsische Identität dient.

Das Framework operiert in zwei Hauptphasen:

1. Generierung des Fingerprint-Rauschens

Das Ziel ist die Konstruktion eines spezifischen Fingerprint-Rauschens $z^*$, das als eindeutiger Trigger für das Zielmodell $G_\theta$ fungiert.

• Wasserzeichen-Anker: Ein Trägerbild wird mit einer diskreten binären Urheberrechtsnachricht versehen, um einen „Wasserzeichen-Anker“ ($I_w$) zu erstellen.
• Trajektorien-Inversion: Mittels deterministischer DDIM-Inversion wird der Anker zurück in seinen latenten Rauschursprung ($x_T$) abgebildet. Dieser Schritt fixiert das intrinsische generative Verhalten des Modells, indem er den Pfad vom Bildraum zum Rauschraum nachverfolgt.
• Gemeinsame Optimierung: Um Diskretisierungsfehler aus der Inversion zu mildern und die Spezifität zu erhöhen, synthetisiert eine Strategie der gemeinsamen Optimierung das endgültige Fingerprint-Rauschen $z^*$. Dies erfolgt durch Dual-End-Anchoring:
  • Perzeptuelle Manifold-Ausrichtung (Output-Ende): Ein Rekonstruktionsverlust ($L_{rec}$) erzwingt semantische Konsistenz und stellt sicher, dass das generierte Bild mit dem Wasserzeichen-Anker $I_w$ übereinstimmt. Dies zwingt die Optimierung dazu, ein Rauschen zu finden, das mit dem einzigartigen Denoising-Pfad des Zielmodells korrespondiert.
  • Latente Trajektorien-Regularisierung (Input-Ende): Ein Regularisierungsverlust ($L_{reg}$) beschränkt das optimierte Rauschen $z^*$ auf die lokale Nachbarschaft des Trajektorienursprungs $x_T$. Dies verhindert die Erzeugung universeller adversarieller Störungen, die über verschiedene Modelle hinweg transferierbar sein könnten.
  • Wasserzeichen-Wiederherstellung: Ein Verlust zur Wasserzeichen-Wiederherstellung ($L_w$) leitet die Optimierung an, um sicherzustellen, dass die eingebettete Nachricht erfolgreich extrahiert werden kann.

Die gesamte Verlustfunktion ist eine gewichtete Summe dieser Ziele, die ausschließlich auf dem latenten Input $z$ optimiert wird, während die Modellparameter eingefroren bleiben.

2. Verifizierung

In der Verifizierungsphase fragt der Verteidiger ein verdächtiges Black-Box-Modell mit dem optimierten Fingerprint-Rauschen $z^*$ ab.

• Atomare Inferenz: Der Prozess erfordert lediglich eine standardmäßige Input-Output-Interaktion, was ihn mit gekapselten APIs kompatibel macht.
• mathbf{Statistische Prüfung:} Die extrahierte Wasserzeichen-Nachricht wird mit der Originalnachricht verglichen. Die Bitgenauigkeit (BA) wird berechnet und ein Ein-Stichproben-T-Test gegen die Nullhypothese (Zufallsraten, $\mu=0.5$) durchgeführt. Ein statistisch signifikanter p-Wert liefert belastbare Beweise für eine Urheberrechtsverletzung.

Wichtigste Beiträge

1. Verlustfreie und trainingsfreie Verifizierung: TrajPrint extrahiert intrinsische Modell-Fingerprints, ohne die Modellgewichte oder die Architektur zu verändern, wodurch eine Null-Degradation der Generierungsqualität gewährleistet wird.
2. Black-Box-Kompatibilität: Durch die Nutzung von atomarer Inferenz und deterministischer Trajektorien-Inversion funktioniert die Methode in Szenarien, in denen Zwischenzustände nicht zugänglich sind, im Gegensatz zu früheren Fingerprinting-Techniken.
3. Manifold-spezifisches Fingerprinting: Die Methode bildet die einzigartige generative Manifold über Trajektorien-Rückverfolgung auf ein spezifisches Fingerprint-Rauschen ab und konstruiert so ein Trigger-Verifizierungs-Paar, das Fehlalarme bei Nicht-Zielmodellen verhindert.
4. Statistische Stringenz: Das Framework führt ein statistisches Hypothesentest-Protokoll ein, um quantifizierbare, rechtlich belastbare Beweise für Urheberrechtsverletzungen zu liefern.

Experimentelle Ergebnisse

Umfangreiche Experimente wurden über diverse latente Diffusionsmodelle (Stable Diffusion v1.5, v2.1, XL, DeciDiffusion und Pixart-$\alpha$) sowie verschiedene Angriffsszenarien hinweg durchgeführt.

• Spezifität: TrajPrint erreichte eine Bitgenauigkeit (BA) von über 0,96 bei Zielmodellen mit p-Werten $< 10^{-3}$. Bei der Cross-Modell-Verifizierung sank die Genauigkeit auf etwa 0,55 (Zufallsniveau), was die mangelnde Übertragbarkeit demonstriert und effektiv Fehlbeschuldigungen verhindert. Im Gegensatz dazu zeigten Baseline-Methoden, die auf Rauschoptimierung basieren, eine hohe Cross-Modell-Transferierbarkeit (BA ~0,7), was zu Fehlalarmen führt.
• Robustheit: Die Methode zeigte eine außergewöhnliche Resilienz gegenüber:
  • Parameter-Feintuning: Beibehaltung einer hohen BA (> 0,91) selbst nach LoRA- und DreamBooth-Feintuning (bis zu 5000 Schritten).
  • Quantisierung: Robuste Leistung unter FP16- und BFloat16-Präzision (BA > 0,95).
  • Pruning: Widerstandsfähigkeit gegenüber unstrukturiertem Magnitude-Pruning bis zu einer Sparsity von 10 % (BA > 0,8).
• Ablationsstudien: Das Entfernen der Dual-End-Anchoring-Beschränkungen führte zu einem Anstieg der Cross-Modell-Genauigkeit (~0,7), was die Notwendigkeit der Trajektorien-Verankerung für die Spezifität bestätigt. Die Methode blieb über verschiedene deterministische Sampler und Sampling-Schritte (20–100) stabil und unterstützte Wasserzeichen-Payloads von bis zu 128 Bits.

Bedeutung und Limitationen

Das Paper behauptet, dass TrajPrint eine praktische Lösung für die Urheberrechtsverifizierung in realen Umgebungen bietet, in denen die Modelleigentümer keinen Zugriff auf interne Parameter haben oder Modellgewichte modifizieren können. Die Fähigkeit, über atomare Inferenz zu operieren, macht die Methode besonders geeignet für die Verifizierung von Modellen, die als Black-Box-APIs bereitgestellt werden.

Limitationen:
Die Autoren weisen auf eine spezifische Einschränkung hin: Die Zielumgebung muss die kundenspezifische Injektion des initialen Rauschens unterstützen (z. B. über Schnittstellen wie ComfyUI oder Stable Diffusion WebUI). Folglich ist die Methode möglicherweise nicht anwendbar auf API-Szenarien, die das initiale Rauschen nicht direkt als Input-Parameter akzeptieren.