🤖 AI

PoLO: Proof-of-Learning and Proof-of-Ownership at Once with Chained Watermarking

PoLO es un método que combina la prueba de aprendizaje y de propiedad mediante marcas de agua encadenadas, logrando una precisión de detección del 99% con bajos costos de verificación y una alta resistencia ante ataques de falsificación.

Autores originales: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Publicado 2026-04-27

📖 4 min de lectura☕ Lectura para el café

CC BY 4.0

Autores originales: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

El Problema: El "Falsificador de Arte" en la Era de la Inteligencia Artificial

Imagina que el mundo de la Inteligencia Artificial (IA) es como un gigantesco mercado de arte digital. En este mercado, las empresas no solo compran cuadros, sino "modelos de IA" (cerebros digitales) que han costado millones de dólares y miles de horas de trabajo entrenar.

Aquí surgen dos grandes problemas:

El Fraude del Esfuerzo (Proof-of-Learning): Alguien te vende un cuadro diciendo que le tomó 10 años pintarlo, pero en realidad lo hizo en una tarde usando un filtro mágico. ¿Cómo sabes si realmente hubo un esfuerzo real de entrenamiento?
El Robo de Propiedad (Proof-of-Ownership): Alguien te vende un cuadro, pero luego aparece el verdadero artista reclamando que es suyo. ¿Cómo demuestras que tú eres el dueño legítimo de ese "cerebro digital"?

Hasta ahora, los científicos intentaban resolver esto por separado, pero era como intentar poner un sello de autenticidad y una factura de compra en dos papeles distintos: era caro, lento y fácil de falsificar.

La Solución: PoLO (El "ADN en Cadena")

Los investigadores han creado PoLO. En lugar de tratar el entrenamiento y la propiedad como dos cosas distintas, lo convierten en una sola cosa.

La Metáfora: El Libro de Cocina con Tinta Invisible

Imagina que quieres demostrar que has cocinado un banquete de 10 platos desde cero y que la receta es tuya.

El método antiguo: Al final, presentas el plato y una foto de la receta. Pero alguien podría haber comprado la comida hecha y simplemente tomar la foto.
El método PoLO (La Cadena de Agua): Imagina que cada vez que terminas de cocinar un ingrediente (un "shard" o fragmento de entrenamiento), dejas una marca de tinta invisible en el siguiente paso. Para que la marca del plato número 5 sea válida, tiene que haber sido causada por el aroma del plato número 4.

Es una cadena de huellas:

Cocinas la base (Paso 1) $\rightarrow$ Dejas una marca de tinta.
Usas esa base para el siguiente paso (Paso 2) $\rightarrow$ La marca de la tinta del Paso 1 determina dónde pones la marca del Paso 2.
Y así sucesivamente...

Si un falsificador intenta saltarse un paso o inventar un plato al final, toda la cadena de tinta se rompe. Es matemáticamente imposible presentar un plato final que tenga todas las marcas de tinta correctas si no pasaste por todo el proceso de cocina real.

¿Por qué es tan especial? (Las 3 Ventajas)

Es un "Detector de Mentiras" Económico: Para falsificar un modelo con PoLO, un criminal tendría que gastar más dinero y tiempo intentando engañar al sistema que lo que le costaría simplemente entrenar el modelo de forma honesta. Es como si intentar falsificar un billete de 100 dólares te costara 200 dólares en materiales; nadie lo haría.
Privacidad Total (El Chef no muestra sus ingredientes): En otros métodos, para verificar que cocinaste bien, tenías que mostrarle tus ingredientes secretos al inspector. Con PoLO, el inspector solo mira las marcas de tinta (las "marcas de agua"). No necesita saber qué especias usaste, solo que la marca está ahí. Esto protege los datos privados.
Súper Rápido: Verificar si un modelo es auténtico es como revisar un sello de seguridad en una caja: es instantáneo. No tienes que volver a cocinar todo el banquete para saber si es real; solo miras las marcas.

En resumen:

PoLO es como un sistema de seguridad que entrelaza la historia de cómo se hizo algo con la identidad de su dueño, creando una cadena de evidencias que es casi imposible de romper sin gastar una fortuna. Es el "notario digital" que la Inteligencia Artificial necesitaba para poder comerciar con confianza.

Resumen Técnico: PoLO (Proof-of-Learning and Proof-of-Ownership at Once)

1. El Problema: La Fragmentación de la Legitimidad

En los ecosistemas de modelos de aprendizaje automático (ML), como los mercados de modelos (EMMs), es crucial verificar dos aspectos para garantizar la confianza y la compensación económica:

Proof-of-Learning (PoL): Verificar que el esfuerzo computacional (entrenamiento) realmente se realizó.
Proof-of-Ownership (PoO): Establecer quién es el propietario legítimo del modelo (generalmente mediante marcas de agua o watermarks).

El problema central es que los métodos actuales tratan estos dos conceptos de forma separada. Los esquemas de PoL existentes (basados en trayectorias de gradientes) son vulnerables a la falsificación, requieren compartir datos de entrenamiento (riesgo de privacidad) y tienen costos de verificación altísimos (requieren reentrenar o retransmitir estados intermedios). Por otro lado, los esquemas de PoO tradicionales solo protegen el modelo final, pero no pueden certificar el proceso de entrenamiento.

2. Metodología: El Marco Unificado PoLO

Los autores proponen PoLO, un marco que unifica PoL y PoO mediante el uso de marcas de agua encadenadas (Chained Watermarking). La idea fundamental es que la prueba de propiedad es la prueba de aprendizaje.

Componentes clave del diseño:

Fragmentación del entrenamiento (Sharding): El proceso de entrenamiento se divide en fragmentos finos llamados shards. Cada shard representa una unidad de esfuerzo verificable.
Encadenamiento Criptográfico: Para cada shard $s_x$ , se genera una marca de agua única $\Lambda_x$ . Esta marca se deriva mediante una función hash $H$ de los pesos del modelo del fragmento anterior ( $W_{x-1}$ ), un índice de secuencia y un nonce secreto proporcionado por el verificador. Esto crea una cadena donde cada eslabón depende criptográficamente del anterior.
Incrustación de la Marca de Agua: Durante el entrenamiento de cada fragmento, se utiliza un término de regularización en la función de pérdida para incrustar la marca de agua en posiciones específicas de los pesos ( $Y_x$ ), asegurando que la marca sea detectable sin degradar la precisión de la tarea principal.
Protección de Privacidad: Al final de cada fragmento, se aplica ruido Gaussiano en regiones no marcadas para proteger la información sensible de los datos de entrenamiento contra ataques de inferencia.

Proceso de Verificación:
El verificador no necesita los datos de entrenamiento. Solo requiere los pesos de los checkpoints de los fragmentos ( $W_{x-1}$ y $W_x$ ). El verificador reconstruye la marca de agua esperada usando el hash del fragmento anterior y comprueba si la marca extraída del fragmento actual coincide.

3. Contribuciones Principales

Unificación de PoL y PoO: Elimina la necesidad de mecanismos redundantes, convirtiendo la verificación de la marca de agua en la prueba del esfuerzo de entrenamiento.
Eficiencia de Verificación: Al evitar el reentrenamiento de modelos o el seguimiento de gradientes, reduce drásticamente la carga computacional.
Privacidad por Diseño: Elimina la necesidad de compartir conjuntos de datos durante la verificación, mitigando riesgos de filtración de datos.
Resiliencia Económica: El diseño obliga a un atacante racional a invertir un esfuerzo computacional igual o superior al entrenamiento honesto para intentar falsificar una marca de agua, lo que hace que la falsificación sea económicamente irracional.

4. Resultados Experimentales

El estudio se realizó utilizando arquitecturas diversas (ResNet, VGG, BERT) y datasets variados (CIFAR, TinyImageNet, AG News). Los resultados clave fueron:

Precisión de Propiedad: Logró un 99% de precisión en la detección de marcas de agua para la verificación de propiedad.
Reducción de Costos: El costo de verificación se redujo a solo entre el 1.5% y el 10% de los métodos tradicionales de PoL.
Seguridad contra Falsificación:
- Los ataques de falsificación (como el Overhaul Fine-tuning Attack - OFA) requieren entre 1.1 y 4 veces más recursos que el entrenamiento honesto.
- Incluso tras ataques, la marca de agua original mantiene una precisión de detección superior al 90%.
- Los ataques que intentan manipular pesos sin reentrenar (WMA) fallan al degradar significativamente la precisión de la tarea principal del modelo.

5. Significancia

PoLO representa un avance significativo para la economía de modelos de IA. Al proporcionar un método ligero, privado y seguro para vincular el esfuerzo de entrenamiento con la propiedad legal, permite la existencia de Mercados de Modelos Ejecutables (EMMs) más robustos. Su enfoque de "seguridad basada en incentivos económicos" asegura que, en un entorno comercial, la honestidad sea la estrategia más rentable para los participantes.