💻 computer science

A Watermark for Vision-Language-Action and World Action Models

Dieses Paper schlägt eine Methode zur „schlüsselbasierten latenten Provenienzverifizierung“ vor, die durch die Verwendung von Gaußschen Rausch-Seeds unentdeckbare, statistisch identische Wasserzeichen in Vision-Language-Action- und World-Action-Modelle einbettet, was es Eigentümern ermöglicht, den Besitz des Modells zuverlässig zu verifizieren und Diebstahl selbst nach adversen Angriffen oder Gewichtsmodifikationen zu erkennen.

Ursprüngliche Autoren: Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

Veröffentlicht 2026-06-23

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie besitzen einen hoch entwickelten, maßgeschneiderten Roboter-Koch. Sie haben Jahre damit verbracht, ihn mit Ihren geheimen Familienrezepten und massiver Rechenleistung zu trainieren. Nun möchten Sie dessen „Gehirn“ (die Software, die dem Roboter sagt, wie er sich bewegen soll) als Service an andere Restaurants verkaufen. Sie wollen jedoch nicht den eigentlichen Code (die Gewichte) weitergeben, da diese ihn stehlen, kopieren oder an Ihre Konkurrenten verkaufen könnten. Stattdessen lassen Sie sie das Gehirn über eine „Black-Box“-Schnittstelle nutzen: Sie senden einen Befehl wie „mache ein Sandwich“, und der Roboter schickt im Gegenzug eine Liste von Motorbewegungen zurück.

Das Problem ist: Wie beweisen Sie später, dass ein bestimmtes Restaurant tatsächlich Ihr Roboter-Gehirn nutzt und nicht ein billiges Nachahmerprodukt, das sie selbst gebaut haben?

Dieses Paper stellt eine neue Methode vor, um diese Roboter-Gehirne zu wasserzeichen zu versehen. Denken Sie an eine versteckte, unsichtbare Tinte, die nur Sie sehen können, die aber die Art und Weise, wie der Roboter kocht, nicht verändert.

Das Problem alter Methoden

Frühere Versuche, Roboter zu wasserzeichen, hatten zwei Hauptmängel:

Die „Backdoor“-Methode: Dies war so, als würde man einen geheimen Auslöser im Code verstecken (z. B. wenn der Roboter ein bestimmtes Geräusch hört, macht er einen seltsamen Tanz). Aber wenn Sie viele verschiedene Kunden haben, benötigen Sie für jeden einen anderen geheimen Tanz, was unordentlich ist. Zudem könnte der Tanz aufhören zu funktionieren, wenn der Kunde den Code später anpasst.
Die „Output-Rausch“-Methode: Dies war so, als würde man den Bewegungen des Roboters ein spezifisches Summen oder Vibrieren hinzufügen, das nur Sie hören können. Aber das ist so, als würde man ein leuchtend rotes „Ich bin gestohlen“-Schild am Roboter anbringen. Ein cleverer Dieb könnte ein Filter verwenden, um dieses spezifische Summen einfach zu entfernen, ohne dabei die Fähigkeit des Roboters einzuschränken, Sandwiches zuzubereiten.

Die neue Lösung: Der „Geheime Samen“

Die Autoren schlagen eine Methode namens Keyed Latent-Provenance Verification vor. Hier ist die Analogie:

Stellen Sie sich vor, das Gehirn des Roboters ist ein Koch, der entscheiden muss, was er als Nächstes tut. Bevor er eine Entscheidung trifft, wirft der Koch eine Münze (oder zieht eine Zufallszahl), um ein wenig Kreativität oder „Rauschen“ in den Prozess einzubringen.

Der Trick: Sie (der Besitzer) werfen nicht einfach eine normale Münze. Sie werfen eine spezielle, gewichtete Münze, die für alle anderen wie eine ganz normale Münze aussieht, aber eine winzige, verborgene Tendenz besitzt, die nur Sie kennen.
Das Ergebnis: Der Roboter bereitet immer noch perfekte Sandwiches zu. Die Bewegungen sehen zu 100 % normal aus. Aber weil der „Münzwurf“ etwas anders war, trägt die gesamte Sequenz der Bewegungen einen versteckten Fingerabdruck, genau wie ein einzigartiges Muster im Teig.

Wie es funktioniert (Die zwei Phasen)

1. Die Injektion (Das Pflanzen des Samens)
Wenn Sie den Roboter einsetzen, tauschen Sie den normalen Zufallszahlengenerator gegen Ihre „gekennte“ Version aus.

Analogie: Stellen Sie sich vor, Sie backen Brot. Sie verwenden eine spezielle Mehlmischung, die für den Kunden exakt wie normales Mehl aussieht und schmeckt. Aber Sie wissen, dass diese spezifische Mischung auf mikroskopischer Ebene eine einzigartige Kristallstruktur im Inneren des Brotes hinterlässt.
Warum es sicher ist: Weil das Ergebnis des Roboters (das Brot) immer noch normal aussieht und schmeckt, kann der Dieb das Wasserzeichen nicht einfach durch Filtern entfernen. Wenn er versucht, die Bewegungen zu glätten, um das „Kristall“ zu entfernen, könnte er die Fähigkeit zur Sandwich-Herstellung ruinieren.

2. Die Verifizierung (Das Finden des Samens)
Später vermuten Sie, dass ein Restaurant Ihren Roboter nutzt. Sie können nicht in deren Computer hineinsehen, aber Sie können die Bewegungen des Roboters beobachten.

Die Herausforderung: Sie sehen nur die endgültigen Bewegungen (das Brot), nicht die interne Zufallszahl (das Mehl).
Die Lösung: Sie nutzen ein leistungsstarkes mathematisches Werkzeug (genannt MAP Optimization), um rückwärts zu rechnen. Sie fragen: „Wenn ich meinen Roboter mit diesem spezifischen geheimen Schlüssel laufen lasse, würde er exakt die Bewegungen erzeugen, die ich gerade gesehen habe?“
Der Test: Sie testen Ihren geheimen Schlüssel gegen die beobachteten Bewegungen. Wenn die Mathematik sagt: „Ja, dieser Schlüssel erklärt diese Bewegungen perfekt“, dann haben Sie den Eigentumsnachweis. Wenn Sie einen zufälligen Schlüssel testen, sagt die Mathematik: „Nein, das passt nicht zusammen.“

Was das Paper herausfand

Die Autoren testeten dies an zwei verschiedenen Arten von Roboter-Gehirnen (eines, das Bilder betrachtet, und eines, das die Zukunft vorhersagt) und zwei verschiedenen Roboter-Körpern (ein Arm, zwei Arme).

Es funktioniert perfekt: Sie konnten ihr eigenes „spezielles Mehl“ in den Bewegungen des Roboters fast zu 100 % nachweisen, selbst wenn der Roboter komplexe Aufgaben ausführte.
Es macht den Roboter nicht kaputt: Das Hinzufügen des Wasserzeichens führte nicht dazu, dass der Roboter das Sandwich fallen ließ oder langsamer wurde.
Es ist schwer zu entfernen:
- Wenn der Dieb versucht, die Bewegungen des Roboters zu glätten (wie das Herausfiltern eines Summens), überlebt das Wasserzeichen.
- Wenn der Dieb versucht, den Code des Roboters anzupassen (Fine-Tuning), überlebt das Wasserzeichen.
- Der einzige Weg, es zu besiegen: Der Dieb muss Ihr Roboter-Gehirn komplett wegwerfen, einen neuen Roboter von Grund auf neu trainieren (einen Prozess namens „Distillation“) und hoffen, dass der neue Roboter zufällig dasselbe verborgene Muster lernt. Das Paper zeigt, dass dies sehr schwierig ist; der neue Roboter vergisst das verborgene Muster normalerweise, da es kein sichtbares Muster, sondern ein statistisches ist.

Das Fazament

Dieses Paper gibt Roboterbesitzern einen „digitalen DNA-Test“. Sie können beweisen, dass ein Roboter der ihr ist, indem sie ihn einfach nur bewegen beobachten, ohne den Code im Inneren sehen zu müssen. Es ist, als wäre man in der Lage zu erkennen, ob ein Laib Brot der eigene ist, nur indem man die Kruste betrachtet, selbst wenn der Bäcker versucht hat, die Tatsache zu verbergen, dass er Ihr spezielles Mehl verwendet hat.

Technisches Resümee: Ein Wasserzeichen für Vision-Language-Action und World Action Modelle

Problemstellung

Vision-Language-Action (VLA)-Modelle und World-Action-Modelle (WAMs) werden zunehmend als Black-Box-Dienste eingesetzt, bei denen die Modellgewichte privat bleiben, aber die Policy über eine API oder ein Vor-Ort-Paket ausgeführt wird. Diese Modelle stellen aufgrund der proprietären Daten und der erforderlichen Rechenressourcen für ihr Training ein erhebliches geistiges Eigentum (IP) dar. Eine kritische Herausforderung entsteht, wenn ein Partner oder ein Angreifer versucht, eine geschützte Policy ohne die Erlaubnis des Eigentümers weiterzuverkaufen oder erneut einzusetzen.

Bestehende Wasserzeichen-Lösungen für Roboter-Policies stehen vor zwei primären Einschränkungen:

Backdoor-basierte Wasserzeichen: Diese erfordern eine Modifikation der Modellgewichte, um spezifische Aktionen auszulösen. Sie sind schwer auf Multi-User-Identifizierungsszenarien erweiterbar und können durch nachfolgendes Fine-Tuning oder Behavior Cloning geschwächt werden.
Output-Perturbations-Wasserzeichen: Diese betten Signale in das Explorationsrauschen des Aktionsstroms ein. Da das Signal jedoch in einem engen Frequenzband des Outputs konzentriert ist, kann es von Angreifern, die Spektralanalyse und schmalbandige Filter zur Entfernung des Wasserzeichens anwenden, leicht erkannt und entfernt werden, wobei die Auswirkungen auf die Aufgabenleistung minimal bleiben.

Das Kernproblem besteht darin, einen Wasserzeichen-Mechanismus zu entwerfen, der die Inhaberschaft in einem Black-Box-Szenario schützt, die Identifizierung mit mehreren Schlüsseln unterstützt, robust gegenüber Ausgabeseitigen Entfernungsangriffen ist und die Aufgabenleistung nicht beeinträchtigt.

Methodik: Keyed Latent-Provenance Verification

Die Autoren schlagen die Keyed Latent-Provenance Verification vor, eine zweistufige Methode, die den Nachweis der Inhaberschaft in den latenten Noise-Seed anstatt in den endgültigen Action-Output einbettet.

1. Fingerprint-Injektion

Die Injektion erfolgt vor der Generierung eines Action-Chunks durch das Modell.

Mechanismus: Der Modellbesitzer ersetzt den Standard-Gaussian-Noise-Seed ( $z_c$ ), der vom Sampler gezogen wird, durch einen „fingerprinted“ Seed ( $z^{fp}_c$ ).
Keyed Perturbation: Der fingerprinted Seed ist eine Linearkombination des ursprünglichen Rauschens und eines keyed Referenzvektors ( $r_c$ ):
$z^{fp}_c = \sqrt{1-\beta^2} z_c + \beta r_c$
wobei $\beta$ die Injektionsstärke steuert. Der Referenzvektor $r_c$ wird mittels eines Pseudozufallsgenerators erzeugt, der mit einem geheimen Schlüssel $k^*$ , einem Nonce $\nu_e$ und dem Chunk-Index initialisiert wurde.
Statistische Invarianz: Entscheidend ist, dass der resultierende $z^{fp}_c$ exakt dieselbe Gauß-Verteilung ( $N(0, I)$ ) wie das ursprüngliche Rauschen beibehält. Dies stellt sicher, dass der Aktionsstrom kein explizites, additives Signal aufweist, das ein Angreifer leicht herausfiltern könnte. Die Korrelation zwischen dem Seed und dem Schlüssel ist innerhalb des nichtlinearen Generierungsprozesses des Modells verborgen.
Selektive Injektion: Nicht jeder Action-Chunk wird markiert. Ein keyed Selector bestimmt, welche Chunks perturbiert werden, um die Störung der Aufgabe zu begrenzen und zu verhindern, dass Angreifer spezifische „markierte“ Chunks für eine gezielte Entfernung identifizieren können.

2. Fingerprint-Verifizierung

Die Verifizierung wird durch einen autorisierten Besitzer durchgeführt, der Zugriff auf die ausgeführten Aktionen des verdächtigen Roboters hat (welche partiell oder post-prozessiert sein können).

MAP Latent Recovery: Da der Verifizierer den internen Seed nicht sehen kann, muss er ihn aus den beobachteten Aktionen ( $y_c$ ) rekonstruieren. Die Autoren formulieren dies als Maximum-A-Posteriori (MAP) Optimierungsproblem. Der Verifizierer sucht nach einem latenten Seed $\hat{z}$ , der den Fehler zwischen der vorhergesagten Aktion (generiert aus $\hat{z}$ ) und der beobachteten Aktion minimiert, während Abweichungen von der Gaußschen Prior-Verteilung bestraft werden. Dieser Ansatz vermeidet die Notwendigkeit, unobservierte Aktionskanäle zu erraten – ein Schwachpunkt von Reverse-ODE-Methoden, die bei der Bild-Wasserzeichen-Technik verwendet werden.
Key-Conditioned Scoring: Der rekonstruierte Seed wird gegen kandidatische keyed Referenzen mittels eines Matched Filters (Skalarprodukt) vergundet.
Kalibrierung und Aggregation: Um die Variabilität über verschiedene Aufgaben und Episoden hinweg zu handhaben, bewertet der Verifizierer den Verdächtigen gegen eine Bank von „Decoy“-Schlüsseln (Lockvögeln), um die Scores zu normalisieren (Z-Score). Die Evidenz aus mehreren Durchläufen (Group Aggregation) wird summiert, um eine endgültige binäre Entscheidung über die Inhaberschaft zu treffen oder den spezifischen Schlüssel unter mehreren Kandidaten zu identifizieren.

Zentrale Beiträge

Keyed Latent-Provenance Verification: Ein neuartiges Framework, das VLA- und WAM-Deployments wasserzeichnet, indem es den latenten Noise-Seed modifiziert, das Gaußsche Rauschgesetz bewahrt und sichtbare Signale auf der Ausgabeseite vermeidet.
Black-Box Verifier Design: Ein Verifizierungssystem, das in der Lage ist, latente Seeds aus partiellen, post-prozessierten Aktionskommandos mittels MAP-Optimierung zu rekonstruieren, was sowohl die binäre Inhaberschaftsverifizierung als auch die Identifizierung mit mehreren Schlüsseln unterstützt.
Umfassende Evaluierung: Umfangreiche Experimente über zwei Policy-Familien ( $\pi0.5$ und LingBot-VA) und zwei Roboter-Suites (LIBERO-10 und RoboTwin) hinweg, welche die Robustheit gegenüber Ausgabeseitigen Angriffen (Clipping, Smoothing, Jitter, Delay), Besitzer-Varianten (LoRA, Pruning, Quantisierung) und adaptiven Fine-Tuning-Angriffen bewerten.

Experimentelle Ergebnisse

Die Methode wurde für vier Modell-Roboter-Kombinationen evaluiert. Wesentliche Erkenntnisse sind:

Aufgabenleistung: Die Injektion des Wasserzeichens führte zu vernachlässigbaren Änderungen der Erfolgsraten (typischerweise innerhalb weniger Prozentpunkte) und der Episodenlängen.
Detektionsgenauigkeit: In Abwesenheit von Angriffen erreichte die Methode eine perfekte Detektion (TPR 1.00 bei einer Falsch-Positiv-Rate von 1 %) über alle Kombinationen hinweg, wenn 16 Durchläufe aggregiert wurden.
Robustheit gegenüber Output-Angriffen: Das Wasserzeichen blieb unter verschiedenen Ausgabeseitigen Entfernungsangriffen detektierbar. Während aggressives Smoothing oder Jitter bei der $\pi0.5$ /LIBERO-10 Kombination die Detektionsraten reduzierte, behielt die Methode im Allgemeinen eine hohe Robustheit bei. Die Autoren merken an, dass Angriffe, die stark genug sind, um das Wasserzeichen zu entfernen, oft auch die Aufgabenleistung signifikant verschlechtern.
Robustheit gegenüber Besitzer-Varianten: Der Fingerprint überlebte LoRA-Fine-Tuning, Pruning und Quantisierung. In Fällen, in denen Kompression das Modell-Backbone beschädigte (was die Erfolgsrate senkte), war der Fingerprint nach der Aggregation dennoch rekonstruierbar.
Identifizierung: Das System identifizierte erfolgreich den spezifischen Schlüssel, der einer verdächtigen Policy unter 33 Kandidaten zugewiesen war, und erreichte eine hohe Rank-1-Genauigkeit nach der Aggregation.
Sicherheitsanalyse:
- Risiko durch Falsch-Schlüssel: Die Wahrscheinlichkeit, dass ein zufälliger oder unabhängiger Schlüssel den Schwellenwert überschreitet, ist extrem gering (empirisch auf etwa $10^{-3}$ bis $10^{-9}$ geschätzt, abhängig vom Schwellenwert).
- Adaptive Entfernung: White-Box-Angriffe, bei denen ein Angreifer die Policy so feinjustiert, dass der Wasserzeichen-Score minimiert wird, scheiterten daran, den Fingerprint zu entfernen, ohne die Aufgabenleistung drastisch zu verschlechtern.
- Distillation: Behavior Cloning (Training eines Studenten auf den Outputs des Lehrers) entfernte das Wasserzeichen erfolgreich, da der Student die Aktionsverteilung lernt, aber nicht die spezifische Invarianz des Noise-Laws des Lehrers. Die Autoren rahmen dies als eine Grenze ein, an der die Kosten der Umgehung (das Training eines neuen Modells) prohibitiv hoch werden.

Bedeutung und Ansprüche

Das Paper behauptet, dass Keyed Latent-Provenance Verification einen praktischen und robusten Mechanismus zum Schutz privater generativer Roboter-Policies bietet. Durch die Einbettung des Wasserzeichens in den latenten Seed anstatt in den Output vermeidet die Methode die Anfälligkeit für „billige Entfernung“ durch frequenzbasierte Wasserzeichen.

Die Autoren betonen, dass ihre Garantien empirische Betriebspunkte und keine kryptografischen Beweise sind. Die Methode ist für autorisierte, nachträgliche Audits konzipiert, bei denen der Besitzer Zugriff auf den verdächtigen Dienst hat. Die Bedeutung liegt darin, den Besitzern zu ermöglichen, die unbefugte Neuimplementierung ihrer Policies zu erkennen, selbst wenn die Gewichte verborgen sind und der Output Standard-Deployment-Post-Processing unterliegt. Die Arbeit hebt einen Trade-off hervor: Während das Wasserzeichen robust gegenüber Output-Manipulation und Modell-Editierung ist, ist es anfällig für Distillation, was darauf hindeutet, dass sich die Kosten der Umgehung von einfachem Filtern hin zum teuren Prozess des Retrainings einer neuen Policy verschieben.