GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures

Technisches Resümee von GoodDiffusion

Problemstellung
Die Arbeit befasst sich mit der kritischen Herausforderung der Entwicklung eines proaktiven Urheberrechtsschutzes (Copyright Protection, CP) für Diffusion-Bridge-Modelle (DBMs), speziell für Image-to-Image (I2I)-Aufgaben. Bestehende Abwehrmechanismen sind weitgehend post-hoc (z. B. Wasserzeichen und Fingerprinting), was lediglich Beweise für eine unbefugte Nutzung liefert, nachdem die Generierung bereits stattgefunden hat, oder sie sind rein degradierend (z. B. PCDiff), was zwar die Ausgabequalität reduziert, aber eine unbefugte Generierung nicht vollständig verhindern kann. Die Autoren argumentieren, dass diese Methoden für den realen Einsatz unzureichend sind, wenn unbefugte Derivate verbreitet werden können, bevor eine Detektion erfolgt. Das Kernproblem besteht darin, einen Mechanismus zu entwerfen, der die unbefugte Generierung auf Modellebene vollständig verhindert, während er gleichzeitig eine hohe Ausgabequalität für autorisierte Nutzer beibehält – selbst in einem White-Box-Szenario, in dem ein Angreifer vollen Zugriff auf die Modellparameter und die Architektur hat.

Methodik: GoodDiffusion
Das vorgeschlagene Framework GoodDiffusion ist von Backdoor-Mechanismen inspiriert, kehrt jedoch deren Zielsetzung um: Anstatt durch einen Trigger falsche Ausgaben zu erzwingen, wird das Erzeugen hochwertiger Ausgaben erzwungen, nur wenn eine gültige Signatur vorhanden ist.

1. Kernmechanismus (Backdoor for Good):
   Die Methode trainiert das DBM so, dass es basierend auf dem Input zwei unterschiedliche Verhaltensweisen zeigt:

   • Autorisierte Trajektorie: Wenn der Input eine gültige Signatur enthält, folgt das Modell einer Diffusion-Bridge, um hochwertige Zielbilder zu generieren.
   • Unautorisierte Trajektorie: Wenn der Input „sauber“ ist (also keine gültige Signatur aufweist), wird das Modell dazu gesteuert, ein vordefiniertes Warnbild (z. B. ein Bild mit einem Warntext) zu generieren, was die unbefugte Nutzung effektiv unterbindet.

2. Naive Implementierung (Statische Signaturen):
   Zunächst untersuchen die Autoren einen naiven Ansatz unter Verwendung eines festen Perturbationsmusters (statische Signatur $k$), das in den Input injiziert wird. Das Modell wird auf einer Mischung aus autorisierten Inputs ($x_1 + k$) und unautorisierten Inputs ($x_1$), die auf ein Warnziel abgebildet werden, trainiert.

   • Schwachstelle: Die Arbeit zeigt theoretisch auf (Theorem 4.1), dass statische Signaturen in White-Box-Szenarien fundamental fragil sind. Ein Angreifer mit Zugriff auf das Modell kann effizient eine Surrogat-Signatur ($N^*$) mittels gradientenbasierter Optimierung extrahieren, die die Wirkung der ursprünglichen Signatur imitiert und somit den Schutz umgeht.

3. Vorgeschlagene Lösung (Learnable Signature Network - LSN):
   Um die Schwachstelle statischer Signaturen zu adressieren, führt GoodDiffusion probenspezifische Signaturen ein.

   • Architektur: Ein Learnable Signature Network (LSN), bezeichnet als $g_\phi(\cdot)$, wird trainiert, um eine eindeutige Signatur $k(x_1)$ zu generieren, die von jedem spezifischen Input $x_1$ abhängig ist.
   • Injektion: Der autorisierte Input wird als $\tilde{x}_1 = \gamma \cdot x_1 + (1-\gamma) \cdot k(x_1)$ gebildet, wobei die ursprüngliche semantische Information mit der dynamischen Signatur vermischt wird.
   • Sicherheitslogik: Im Gegensatz zu statischen Signaturen, die eine feste Vektorverschiebung im Pixelraum darstellen, erzeugen probenspezifische Signaturen eine nichtlinear deformierte Bild-Mannigfaltigkeit. Dieses Design bricht die „Universalität“ der Signatur; eine für einen Input extrahierte Surrogat-Signatur kann nicht auf einen anderen Input übertragen werden. Folglich kann ein Angreifer selbst dann, wenn er eine Signatur für eine spezifische Probe rekonstruiert, diese nicht auf andere Inputs übertragen, wodurch die Umgehung des Schutzmechanismus verhindert wird.

Wesentliche Beiträge

• Proaktive Kontrolle auf Modellebene: GoodDiffusion wird als erster Schritt präsentiert, um den Urheberrechtsschutz von der Post-hoc-Ausgabeanalyse hin zu einer internalisierten Prävention auf Modellebene zu verlagern. Es erzwingt eine „No Ticket, No Ride“-Politik, bei der unbefugte Nutzer nur ein Warnbild erhalten.
• Theoretische Erkenntnis über statische Signaturen: Die Arbeit liefert einen theoretischen Beweis dafür, dass naive Designs mit statischen Signaturen in White-Box-Umgebungen durch gradientenbasierte Surrogat-Rekonstruktion anfällig sind, was die Notwendigkeit dynamischer, inputabhängiger Designs unterstreicht.
• Learnable Signature Network (LSN): Die Einführung des LSN zur Generierung von inputabhängigen Signaturen, was die Übertragbarkeit von Surrogat-Signaturen effektiv minimiert und die Sicherheit gegen White-Box-Angreifer erhöht.
• Umfassende Evaluierung: Umfangreiche Experimente auf CelebA und ImageNet für drei I2I-Aufgaben (Super-Resolution, Inpainting, Deblurring) unter Verwendung verschiedener DBMs (DDBM, I2SB, DBIM).

Experimentelle Ergebnisse

• Effektivität des Schutzes: GoodDiffusion erreicht eine Missbrauchsrate (Abuse Rate, AR) von nahezu 0 % (z. B. < 0,06 % auf CelebA) für unautorisierte Inputs, was bedeutet, dass das Modell erfolgreich die Generierung hochwertiger Zielbilder ohne gültige Signaturen verweigert. Im Gegensatz dazu steigt die AR bei dem Versuch eines Angreifers, eine extrahierte Surrogat-Signatur beim statischen Design zu verwenden, auf ~98 %, was die Schwachstelle statischer Signaturen bestätigt.
• Generationsqualität: Für autorisierte Nutzer (mit gültiger Signatur) behält das Modell eine zufriedenstellende Generationsqualität bei. Obwohl es einen leichten Leistungsabfall gegenüber ungeschützten Baselines gibt (gemessen an FID, PSNR und SSIM), bleiben die Ergebnisse wettbewerbsfähig. Beispielsweise übertrifft der SSIM bei der Super-Resolution auf CelebA mit DDBM-VP sogar leicht die Baseline.
• Fehlerrate: Die Fehlerrate (Error Rate, ER) – der Anteil der fälschlicherweise blockierten autorisierten Anfragen – wird sehr niedrig gehalten (z. B. 0,06 % bis 0,25 %), was auf eine hohe Zuverlässigkeit für legitime Nutzer hindeutet.
• Sicherheitsvalidierung: Experimente, die White-Box-Angriffe simulieren, zeigen, dass während statische Signaturen leicht durch extrahierte Surrogate umgangen werden können, das probenspezifische Signaturdesign selbst dann eine schlechte Generationsqualität (hoher FID, niedriger PSNR) aufweist, wenn ein Angreifer versucht, ein Surrogat zu optimieren, was die Abwesenheit einer universellen Surrogat-Signatur bestätigt.

Bedeutung und Ansprüche
Die Arbeit behauptet, dass GoodDiffusion eine praktische, proaktive Lösung für den Modelldiebstahl bietet, die bestehende Software-Schutzmaßnahmen (wie Authentifizierung) ergänzt. Durch die Trennung der Modellbereitstellung vom Signaturdienst (der vom Besitzer verwaltet wird), stellt die Methode sicher, dass selbst wenn ein Modell gestohlen wird und der Dieb vollen White-Box-Zugriff hat, er es ohne die dynamischen Signaturen nicht für eine hochwertige Generierung nutzen kann. Die Autoren positionieren diese Arbeit als einen bedeutenden Schritt zur Sicherung von Diffusionsmodellen als wertvolles geistiges Eigentum, indem sie über die passive Detektion hinaus zu einer aktiven Prävention unbefugter Inferenz übergehen. Der Code wird zur Verfügung gestellt, um weitere Forschung in diesem Bereich zu fördern.