🤖 machine learning

Dynamics-Level Watermarking of Flow Matching Models with Random Codes

Dieser Beitrag stellt eine Dynamik-Level-Wasserzeichentechnik für Flow-Matching-Modelle vor, die Nachrichten durch schlüsselabhängige Störungen während des Trainings in das Geschwindigkeitsfeld einbettet und so eine zuverlässige Black-Box-Erkennung ermöglicht, ohne die Generierungsqualität zu beeinträchtigen.

Ursprüngliche Autoren: Shuchan Wang

Veröffentlicht 2026-05-18

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Shuchan Wang

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Die große Idee: Ein Geheimnis im „Fluss" der Entstehung verstecken

Stellen Sie sich vor, Sie besitzen eine Fabrik, die maßgeschneiderte Spielzeuge herstellt. Sie wollen beweisen können, dass ein bestimmtes Spielzeug aus Ihrer Fabrik stammt, selbst wenn jemand anderes das Design kopiert oder Ihren Namen zu verbergen versucht.

Die meisten aktuellen Methoden versuchen, diese Kreationen auf zwei Arten zu wässern:

Am fertigen Spielzeug: Ein winziger, unsichtbarer Aufkleber wird auf das fertige Produkt geklebt. (Problem: Wenn Sie das Spielzeug abschleifen oder neu bemalen, ist der Aufkleber weg.)
In den Fabrikplänen: Ein Geheimschrift wird in die Anweisungen versteckt, die die Arbeiter befolgen. (Problem: Wenn jemand die Pläne stiehlt und ein paar Zahlen ändert, bricht der Code zusammen.)

Dieses Paper schlägt eine dritte, intelligentere Methode vor. Anstatt das Geheimnis im Spielzeug oder in den Plänen zu verstecken, verstecken sie es in der Bewegung der Fabrik selbst.

Die Analogie: Der Fluss und das Boot

Das Paper konzentriert sich auf eine Art von KI namens Flow Matching. Stellen Sie sich diese KI als einen Fluss vor, der ein Boot (ein zufälliges Rauschteilchen) von einem Startpunkt (Punkt A) zu einem Ziel (Punkt B, das ein echtes Bild ist, wie eine Katze oder eine Zahl) befördert.

Das Geschwindigkeitsfeld: Dies ist die Strömung des Flusses. Sie sagt dem Boot genau, wie schnell und in welche Richtung es sich zu jedem einzelnen Moment bewegen muss, um von A nach B zu gelangen.
Das Wasserzeichen: Die Forscher ändern nicht das Ziel (das finale Bild). Sie ändern nicht die Karte (die Pläne). Stattdessen fügen sie eine winzige, rhythmische Wackelbewegung zur Strömung des Flusses hinzu.

Stellen Sie sich vor, der Fluss fließt normalerweise geradeaus. Die Forscher lassen die Strömung hin und her wackeln wie eine Sinuswelle (eine sanfte, rollende Bewegung), während das Boot reist.

Das Geheimnis: Das Muster des Wackelns ist die geheime Nachricht.
Die Magie: Da das Wackeln perfekt vorwärts und dann rückwärts verläuft, landet das Boot genau an derselben Stelle, an der es ohne das Wackeln gelandet wäre. Das finale Bild sieht perfekt aus. Das „Wackeln" verschwindet aus dem Endergebnis, war aber die ganze Zeit während der Reise vorhanden.

Wie es funktioniert (Die einfachen Schritte)

1. Training (Einbetten des Geheimnisses)
Wenn die KI lernt, Bilder zu zeichnen, bringen die Forscher ihr bei, diese spezifische „Wackelbewegung" in die Flussströmung einzubauen.

Sie geben der KI einen Geheimschlüssel (wie ein Passwort).
Basierend auf diesem Schlüssel lernt die KI, die Strömung in einem spezifischen Muster zu wackeln, das einer Nachricht entspricht (z. B. „Dieses Modell gehört zu Firma X").
Entscheidend ist, dass das Wackeln so konstruiert ist, dass es sich über die gesamte Reise hinweg selbst aufhebt. Das Boot kommt trotzdem am richtigen Ort an.

2. Erkennung (Das Geheimnis finden)
Sie müssen weder die Pläne noch das finale Bild sehen, um das Geheimnis zu finden. Sie müssen die KI nur fragen: „Hey, wenn ich zu diesem Zeitpunkt an dieser Stelle im Fluss bin, in welche Richtung drückst du mich?"

Der Detektor stellt der KI Tausende dieser Fragen (Black-Box-Abfragen).
Er lauscht auf diese spezifische rhythmische „Wackelbewegung" in den Antworten.
Wenn die KI den Geheimschlüssel hat, kann der Detektor die Nachricht entschlüsseln. Wenn die KI den Schlüssel nicht hat, hört der Detektor nur zufälliges Rauschen.

Warum das besonders ist (Die 5 Superkräfte)

Das Paper behauptet, dass diese Methode fünf große Probleme löst, unter denen andere Methoden leiden:

Es ist durch „Abschleifen" unzerstörbar: Da das Geheimnis in der Bewegung (der Dynamik) und nicht im finalen Bild steckt, können Sie es nicht durch Bearbeiten des Bildes entfernen. Das „Wackeln" ist Teil davon, wie das Bild entsteht.
Es ist Black-Box-freundlich: Sie müssen den internen Code oder die Gewichte der KI nicht einsehen. Sie müssen nur in der Lage sein, Fragen an sie zu stellen (wie bei einer API).
Es erhält die Qualität: Da sich das Wackeln über die Zeit selbst aufhebt, sehen die finalen Bilder genauso gut aus wie ohne Wasserzeichen. Das Paper testete dies an Bildern von Zahlen (MNIST) und kleinen Farbfotos (CIFAR-10), und die Qualität nahm nicht ab.
Es benötigt einen Schlüssel: Wenn Sie nicht den Geheimschlüssel haben (das spezifische Muster des Wackelns), können Sie die Nachricht nicht finden. Es ist wie der Versuch, einen bestimmten Radiosender zu hören, ohne die Frequenz zu kennen; Sie hören nur Rauschen. Das Paper fand heraus, dass ohne den Schlüssel die Erkennungsrate nicht besser war als zufälliges Raten.
Es kann viele Daten tragen: Es ist nicht nur ein „Ja/Nein"-Wasserzeichen. Es kann eine ganze Nachricht tragen (wie eine Seriennummer oder eine Versions-ID), da sie einen „Codebuch"-Ansatz mit verschiedenen Wackelmustern verwendeten.

Die Ergebnisse

Die Forscher testeten dies an zwei Arten von KI-Modellen (einem einfachen namens MLP und einem komplexen namens UNet).

Erfolgsrate: Sie konnten die geheime Nachricht 100 % der Zeit aus den wassergezeichneten Modellen wiederherstellen.
Falschalarme: Saubere Modelle (ohne Wasserzeichen) wurden niemals fälschlicherweise als wassergezeichnete Modelle erkannt (0 % falsch-positive Ergebnisse).
Qualität: Die generierten Bilder waren genauso gut wie die Originale.

Das Fazit

Dieses Paper stellt eine Methode vor, um eine geheime, unentfernbare, hochwertige Signatur direkt in die „Bewegung" einer KI zu stanzen, während sie Dinge erschafft. Es ist wie ein Fluss, der gelehrt wird, mit einem geheimen Rhythmus zu fließen, den nur der Besitzer hören kann, und stellt sicher, dass selbst wenn das Wasser in einen neuen Becher gegossen wird, der Rhythmus erhalten bleibt.

Technische Zusammenfassung: Watermarking auf Dynamik-Ebene für Flow-Matching-Modelle mit Zufallscodes

1. Problemstellung

Die Arbeit adressiert den Bedarf an robuster, verifizierbarer Eigentumssicherung für generative Modelle, insbesondere für Flow-Matching-Modelle. Bestehende Watermarking-Paradigmen leiden unter spezifischen Einschränkungen:

Methoden auf Output-Ebene fügen Signale in generierte Proben ein, können jedoch durch Nachbearbeitung entfernt werden und beweisen nicht den Eigentumstitel am Modell selbst.
Methoden auf Gewichtsebene kodieren Bits in den Parametern, erfordern jedoch White-Box-Zugriff und sind anfällig gegenüber Fine-Tuning oder Pruning.
Verhaltensbasierte Methoden (Backdoor) unterstützen Black-Box-Verifizierung, führen jedoch oft zu sichtbaren Artefakten, statistischen Unregelmäßigkeiten oder verfügen über keine starke kryptografische Verschlüsselung (sobald ein Trigger gefunden ist, ist die Verifizierung trivial).

Darüber hinaus hat keine vorherige Arbeit Watermarks direkt in die gelernten kontinuierlichen Dynamiken (das Geschwindigkeitsfeld) eines generativen Prozesses eingebettet. Die Autoren stellen die Kernfrage: Kann eine verifizierbare, verschlüsselte Multi-Bit-Nachricht direkt in das Geschwindigkeitsfeld eines Flow-Matching-Modells eingebettet werden, sodass die Detektion ausschließlich Black-Box-Zugriff erfordert, die Generierungsqualität erhalten bleibt und eine Wiederherstellung ohne einen geheimen Schlüssel unmöglich ist?

2. Methodik

Kernkonzept: Zufallscodierung über Transportdynamiken

Die Autoren formulieren Watermarking als Zufallscodierung über einen kontinuierlichen Kanal. Anstatt Gewichte oder Outputs zu modifizieren, betrachten sie das gelernte Geschwindigkeitsfeld $v_\theta(x, t)$ als einen hochdimensionalen kontinuierlichen Kanal. Eine Nachricht wird durch Hinzufügen einer schlüsselabhängigen Störung zu diesem Geschwindigkeitsfeld eingebettet.

Konstruktion des Watermark-Signals

Das Watermark-Signal $s_{K,m}(x, t)$ wird so konstruiert, dass es drei Bedingungen erfüllt: Nullmittelwert über die Zeit (zur Erhaltung der Qualität), approximative Orthogonalität (zur Trennung von Nachrichten) und Energie-Normalisierung.

Schlüssel ( $K$ ): Besteht aus einer semi-orthogonalen Projektionsmatrix $P \in \mathbb{R}^{D \times k}$ und einem Codebuch $C = \{c_m\}$ aus Einheitsvektoren in $\mathbb{R}^k$ .
Signaldefinition: Für eine Nachricht $m$ ist das Signal definiert als:
$s_{K,m}(x, t) = \sin(2\pi t) \cdot P c_m$
Hier kodiert $P c_m$ das Codewort in den Geschwindigkeitsraum, während $\sin(2\pi t)$ als zeitlicher Träger dient.
Eigenschaft des Nullmittelwerts: Das Integral von $\sin(2\pi t)$ über $t \in [0, 1]$ ist null. Folglich integriert sich die Störung entlang jeder generativen Trajektorie zu null, was theoretisch die Endverteilung der generierten Proben erhält.

Trainingsverfahren (Einbettung)

Während des Flow-Matching-Trainings wird das Modell optimiert, um eine kombinierte Verlustfunktion zu minimieren:

Geschwindigkeitsverlust ( $L_{vel}$ ): Regressiert die Geschwindigkeit $v_\theta$ des Modells gegen ein watermarkedes Ziel $\tilde{v} = u + \epsilon_0 s_{K,m}$ , wobei $u$ die Standard-conditional-Geschwindigkeit ist.
Watermark-Verlust ( $L_{wm}$ ): Ein Regularisierungsterm, der das Modell belohnt, wenn die demodulierte Projektion der erzeugten Geschwindigkeitsvektoren ( $\sin(2\pi t) P^T v_\theta$ ) mit dem Ziel-Codewort $c_m$ übereinstimmt.

Die theoretische Analyse zeigt, dass der optimale Prädiktor unter diesem Ziel eine effektive Watermark-Stärke von $\epsilon_0 + \lambda/2$ aufweist.

Detektionsverfahren (Black-Box)

Die Detektion erfordert nur Query-Zugriff auf das Geschwindigkeitsfeld des Modells.

Abfragen: Der Detektor sampelt $N$ zufällige Punkte $(x_i, t_i)$ und fragt das Modell nach Geschwindigkeiten $v(x_i, t_i)$ ab.
Synchrone Demodulation: Der Detektor projiziert die Geschwindigkeiten in den latenten Code-Raum ( $P^T v$ ) und multipliziert sie mit dem zeitlichen Träger $\sin(2\pi t_i)$ .
Mittelung: Die Ergebnisse werden gemittelt, um die Signatur $\hat{s}$ zu schätzen.
Decodierung: Die Nachricht wird wiederhergestellt, indem das Codewort $c_m$ im Codebuch gefunden wird, das die maximale Korrelation mit $\hat{s}$ aufweist.

Sicherheit und Kapazität

Sicherheit: Ohne den geheimen Schlüssel ( $P$ und $C$ ) steht ein Angreifer vor einem Unterraumsuchproblem über der Grassmann-Mannigfaltigkeit $Gr(k, D)$ und einem Nicht-Identifizierbarkeitsproblem bezüglich der Basis des Unterraums. Empirisch führt die Detektion mit einem falschen Schlüssel zu einer Genauigkeit auf Zufallsniveau.
Kapazität: Die Kanalkapazität skaliert linear mit der Projektionsdimension $k$ und logarithmisch mit der Anzahl der Queries $N$ .

3. Hauptbeiträge

Einbettung auf Dynamik-Ebene: Erste Arbeit, die Watermarks direkt in das kontinuierliche Geschwindigkeitsfeld von Flow-Matching-Modellen einbettet, anstatt in Gewichte oder Outputs.
Erhaltung der Qualität: Entwicklung einer Störung, die sich über Trajektorien zu null integriert und sicherstellt, dass die generierte Verteilung statistisch nicht von der unwatermarked Version unterscheidbar bleibt.
Verschlüsselte Sicherheit: Implementierung eines Schemas, bei dem Detektion und Nachrichtenwiederherstellung strikt einen geheimen Schlüssel (Projektionsmatrix und Codebuch) erfordern; ohne diesen sinkt die Genauigkeit auf zufälliges Raten.
Multi-Bit-Kapazität: Nutzung einer Codebuch-Konstruktion zur Unterstützung von Multi-Bit-Nachrichten (jenseits der binären Verifizierung), was Anwendungen wie Eigentümeridentifizierung und Verräter-Verfolgung ermöglicht.
Empirische Validierung: Validierung der Methode auf MNIST und CIFAR-10 unter Verwendung von MLP- und UNet-Architekturen.

4. Experimentelle Ergebnisse

Die Autoren bewerteten die Methode in verschiedenen Settings (MNIST/CIFAR-10, MLP/UNet, unterschiedliche Trainingsschritte).

Detektionsgenauigkeit: Watermarked Modelle erreichten eine 100%ige Nachrichtenwiederherstellung über alle getesteten Konfigurationen hinweg. Saubere Modelle (unwatermarked) lieferten 0% False Positives (oder 2,5% in einem spezifischen Fall, unterhalb der Basislinie des zufälligen Raten von 3,1%).
Verschlüsselte Sicherheit: Angriffe mit einer zufälligen Projektionsmatrix (falscher Schlüssel) führten zu 0/50 korrekten Wiederherstellungen, was der Rate des zufälligen Raten entspricht.
Statistische Trennung: Die Trennung zwischen Signaturen von watermarkeden und sauberen Modellen war signifikant, wobei die minimale Trennung 8,4 $\sigma$ überstieg (in einigen Settings bis zu 25,5 $\sigma$ ).
Erhaltung der Qualität: Die Verhältnisse der Fréchet Inception Distance (FID) zwischen watermarkeden und sauberen Modellen blieben nahe bei 1,0 $\times$ (im Bereich von 0,95 $\times$ bis 1,10 $\times$ ). In einigen Fällen zeigten watermarked Modelle marginal niedrigere FID-Werte, was auf zufällige Trainingsvariationen und nicht auf das Watermark selbst zurückgeführt wurde.
Persistenz: Eine Ausweitung des Trainings auf 10.000 Schritte verschlechterte die Watermark-Wiederherstellung nicht.

5. Bedeutung und Behauptungen

Die Arbeit behauptet, dass Watermarking auf Dynamik-Ebene eine robuste Grundlage bietet für:

Verifizierung des Modelleigentums: Nachweis des Eigentums an einem bereitgestellten Modell durch Black-Box-Queries.
Verräter-Verfolgung: Identifizierung spezifischer Kopien eines Modells, die an verschiedene Kunden verteilt wurden.
Einhaltung regulatorischer Vorgaben: Verifizierung der Herkunft generativer Modelle.

Die Autoren betonen, dass ihr Ansatz das gelernte Geschwindigkeitsfeld als kontinuierlichen Kommunikationskanal behandelt, eine Perspektive, die über Watermarking hinaus Nutzen haben könnte. Sie stellen explizit fest, dass die Methode zwar vielversprechend ist, aber eine Evaluierung im Bereitstellungsmaßstab und eine rigorose Analyse der Kanalkapazität bei endlichen Stichproben zukünftiger Arbeit vorbehalten bleiben. Die Arbeit behauptet nicht, Watermarking für alle Familien generativer Modelle zu lösen, sondern demonstriert spezifisch die Wirksamkeit innerhalb des Flow-Matching-Rahmenwerks.