🤖 AI

Mitigating Watermark Forgery in Generative Models via Randomized Key Selection

Este artículo propone una defensa demostrablemente resistente a la falsificación para la IA generativa que aleatoriza la selección de claves de marca de agua y acepta el contenido solo si es detectado por exactamente una clave, mitigando eficazmente los ataques de falsificación sin degradar la utilidad del modelo ni aumentar la sobrecarga computacional.

Autores originales: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

Publicado 2026-05-12

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

El Gran Problema: Falsas Identificaciones para la IA

Imagina una pastelería famosa (el Proveedor de IA) que hornea millones de pasteles cada día. Para probar que un pastel salió de su horno, colocan un pequeño "sello secreto" invisible dentro del glaseado. Si miras de cerca con una linterna especial (el detector), puedes ver el sello y saber: "Sí, este es un pastel genuino de la pastelería".

La Amenaza: Un actor malintencionado (el Atacante) quiere hornear un pastel terrible (contenido dañino) en su propia cocina sucia, pero quiere engañar a la gente para que piense que salió de la pastelería famosa. Intenta copiar el sello secreto y ponerlo en su malvado pastel. Si tiene éxito, la pastelería será culpada por el pastel malo, arruinando su reputación.

La Vieja Solución: El Problema de los "Demasiados Sellos"

Anteriormente, para detener a los falsificadores, la pastelería intentó un truco simple: ponían muchos sellos secretos diferentes en cada pastel individual.

La Lógica: "Si un falsificador intenta copiar los sellos, podría acertar con uno, pero es imposible que copie todos perfectamente".
El Defecto: Esto era como poner 100 sellos invisibles diferentes en un pastel. Hacía el pastel pesado y extraño (degradando la calidad del modelo). Además, si el falsificador robaba suficientes pasteles de la pastelería para estudiarlos, eventualmente podría descubrir cómo copiar todos los sellos.

La Nueva Solución: La Lotería de la "Clave Aleatoria"

Los autores de este artículo proponen una forma más inteligente y ligera de proteger la pastelería. En lugar de poner muchos sellos en un pastel, cambian las reglas del juego.

1. La Fase de Generación (Horneando el Pastel)

Cada vez que un cliente pide un pastel, la pastelería no usa un sello fijo. En su lugar, tienen una caja enorme con diferentes sellos secretos (claves).

Por cada pedido individual, meten la mano en la caja, sacan un sello aleatorio y usan solo ese.
El cliente recibe un pastel con solo un sello invisible, igual que antes. El pastel sabe exactamente igual (sin pérdida de calidad).

2. La Fase de Detección (Revisando el Pastel)

Cuando alguien trae un pastel a la pastelería para verificar si es real, la pastelería no busca solo un sello. Revisan el pastel contra todos los sellos de la caja.

Escenario A: No se encuentran sellos. El pastel es de un extraño. (Resultado: "No es nuestro").
Escenario B: Se encuentra exactamente un sello. El pastel tiene el sello específico que la pastelería usó para ese lote. (Resultado: "¡Esto es genuino!").
Escenario C: Se encuentran dos o más sellos. Este es el truco de magia. Si la pastelería solo pone un sello en un pastel, ¿cómo podría un pastel tener dos sellos diferentes?
- La Conclusión: ¡Debe ser una falsificación! El falsificador intentó copiar los sellos, pero como no sabía qué sello específico se usó para ese pastel en particular, accidentalmente copió una mezcla de sellos. La pastelería ve la mezcla y dice: "Esto es una falsificación".

Por Qué Esto Es un Cambio de Juego

El artículo afirma que este método es poderoso por tres razones principales:

Es una Trampa para los Imitadores: Para falsificar un pastel, el atacante necesita adivinar qué sello específico se usó. Pero como la pastelería elige uno al azar cada vez, el atacante está adivinando a ciegas. Si intenta aprender de muchos pasteles, termina aprendiendo una "mezcla" de todos los sellos. Cuando intenta poner esa mezcla en su pastel falso, el detector de la pastelería ve múltiples sellos y lo rechaza inmediatamente.
No Daña el Pastel: A diferencia del viejo método de poner muchos sellos en un pastel, este método mantiene el pastel ligero y sabroso. El modelo de IA no se vuelve más lento ni produce texto/imágenes peores.
Funciona Incluso si el Atacante es Inteligente: El artículo muestra que incluso si el atacante roba miles de pasteles para estudiarlos, aún no puede falsificar uno nuevo con éxito. La tasa de éxito de la falsificación cae de casi 100% (con los métodos antiguos) a tan bajo como 2% con este nuevo método.

El Atacante "Ciego" vs. el "Informado"

El artículo distingue entre dos tipos de actores malintencionados:

El Atacante Ciego: Roba pasteles pero no sabe qué sello se usó en qué pastel. Está completamente confundido por la aleatorización. El nuevo método los detiene casi por completo.
El Atacante Informado: De alguna manera logra descubrir exactamente qué sello se usó en qué pastel (una tarea muy difícil que requiere una violación de seguridad). Si puede hacer esto, aún puede falsificar pasteles, pero el artículo señala que esto requiere romper la seguridad interna de la pastelería primero.

Resumen

Piensa en este nuevo método como un sistema de boletos de lotería para contenido digital.

Vieja Forma: Todos reciben un boleto con 10 números. Si adivinas 10 números, ganas. Difícil de adivinar, pero el boleto es voluminoso.
Nueva Forma: Todos reciben un boleto con 1 número. Pero el sistema verifica si tu boleto tiene exactamente un número del grupo ganador.
- Si tienes 0 números: Perdiste.
- Si tienes 1 número: ¡Ganaste!
- Si tienes 2 números: ¡Hiciste trampa! (Porque el sistema solo dio 1 número por persona).

Al obligar al atacante a adivinar exactamente qué "boleto de lotería" (clave) se usó, y castigándolos si adivinan demasiados, la pastelería puede detectar falsificaciones al instante sin arruinar la calidad de sus productos reales.

Resumen Técnico: Mitigación de la Falsificación de Marcas de Agua en Modelos Generativos mediante Selección Aleatoria de Claves

1. Enunciado del Problema

Los proveedores de IA Generativa (GenAI) utilizan marcas de agua para atribuir el contenido a sus modelos, incrustando señales ocultas detectables mediante una clave secreta. Una amenaza crítica de seguridad para este ecosistema son los ataques de falsificación, donde los adversarios insertan la marca de agua de un proveedor en contenido no generado por dicho proveedor. Esto permite a los atacantes atribuir falsamente contenido dañino (por ejemplo, desinformación, violencia o spam) a un proveedor de buena reputación, dañando su reputación y exponiéndolos a responsabilidad legal.

Las defensas existentes tienen limitaciones significativas:

Detección estadística: El análisis de distribuciones de tokens o artefactos a menudo falla frente a atacantes adaptativos.
Rotación de claves: Rotar las claves después de $N$ muestras introduce complejidad de gestión y deja incierto el valor óptimo de $N$ .
Incrustación de múltiples claves: Incrustar múltiples claves en una sola muestra degrada la utilidad del modelo y, como han demostrado trabajos anteriores, sigue siendo vulnerable si un atacante recopila un número suficiente de muestras con marca de agua ( $N$ ) para destilar el patrón de la marca de agua.

El desafío central es lograr una resistencia a la falsificación que permanezca efectiva independientemente del número de muestras con marca de agua que un atacante pueda recopilar, sin degradar la utilidad del modelo generativo.

2. Metodología

Los autores proponen una estrategia de selección aleatoria de claves que actúa como un envoltorio de caja negra para los métodos de marcaje de agua existentes (aplicable tanto a modalidades de texto como de imagen).

Mecanismo Central

Generación: Para cada consulta de usuario, el proveedor selecciona aleatoriamente exactamente una clave secreta de un conjunto de $r$ claves ( $K = \{k_1, ..., k_r\}$ ) para marcar el contenido generado. Esto es idéntico a la marca de agua de clave única estándar en términos de sobrecarga de generación.
Detección: El proveedor ejecuta pruebas de detección para todas las $r$ claves del conjunto en el contenido.
Regla de Decisión:
- Genuino: Se detecta exactamente una clave (estadísticamente significativa).
- Falsificado: Se detectan cero claves (el contenido no es del proveedor) O se detectan dos o más claves.
- Lógica: Un atacante que intente falsificar una marca de agua destilando patrones de un conjunto de datos de muestras con marca de agua (donde cada muestra utiliza una clave aleatoria diferente) aprenderá inadvertidamente una "mezcla" de señales de marca de agua. En consecuencia, es probable que su contenido falsificado active la detección de múltiples claves simultáneamente, lo que lleva al rechazo.

Marco Teórico

El método se basa en la suposición de atacantes "ciegos" que no pueden distinguir qué clave específica se utilizó para generar una muestra específica.

Calibración del Umbral: Para controlar la tasa de error familiar (FWER) a través de $r$ pruebas, el umbral por clave $\tau$ se ajusta utilizando la corrección de Šidák: $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$ .
Límite Teórico: Para atacantes ciegos, la probabilidad de falsificar con éxito una muestra (activar exactamente una clave) está acotada. La tasa de éxito se maximiza cuando la probabilidad de detección por clave es $1/r$ , lo que produce un límite superior de $(1 - 1/r)^{r-1}$ . Crucialmente, este límite es independiente del número de muestras ( $N$ ) disponibles para el atacante, a diferencia de los enfoques de múltiples claves anteriores donde las garantías se degradan a medida que aumenta $N$ .

3. Contribuciones Clave

Estrategia de Selección Aleatoria de Claves: Un enfoque simple y de caja negra que mejora significativamente la resistencia a la falsificación de marcas de agua frente a diversos ataques sin requerir nuevos esquemas de marcaje.
Garantías Teóricas: El primer límite teórico sobre el éxito de la falsificación que es independiente del tamaño de la muestra del atacante, siempre que el atacante no pueda distinguir las claves (ataque ciego).
Validación Empírica: Pruebas extensas en modalidades de texto (LLM) e imagen (modelos de difusión), demostrando reducciones consistentes en el éxito de la falsificación.
Código de Código Abierto: Liberación del código de implementación.

4. Resultados Experimentales

Los autores evaluaron su método frente a atacantes adaptativos (tanto "ciegos" como "informados") utilizando conjuntos de datos como AdvBench, HarmfulQ y CelebA.

Modalidad de Texto:
- Utilizando cuatro variantes de marcaje (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard), el método redujo las tasas de éxito de falsificación de casi perfectas (hasta un 100% para líneas base de clave única) a tan bajo como 2% al usar 4 claves.
- Por ejemplo, con el esquema Unigram en AdvBench, el éxito de la falsificación bajó del 68% (clave única) al 16% (4 claves).
- El método permaneció efectivo incluso al escalar a modelos más grandes (por ejemplo, LLaMA-13B) y frente a ataques basados en destilación.
Modalidad de Imagen:
- Aplicado al método de marcaje Tree-Ring, el enfoque redujo el éxito de la falsificación del 100% (clave única) al 2% con 4 claves.
- La defensa mantuvo tasas de falsificación bajas independientemente del número de imágenes de entrenamiento disponibles para el atacante (probado hasta 5.000 muestras).
Utilidad y Robustez:
- Tasa de Falsos Negativos (FNR): El método preserva la detección de contenido genuino. La FNR para contenido con marca de agua genuina permaneció negligible (0–3% incluso con 4 claves), indicando ninguna degradación significativa en la utilidad del modelo o la precisión de la detección.
- Robustez: La robustez frente a ataques de parafraseo (por ejemplo, Dipper) permaneció consistente con el esquema de marcaje subyacente, ya que el envoltorio no altera el proceso de incrustación.

5. Significado y Limitaciones

Significado:
El artículo argumenta que este enfoque ofrece una capa de seguridad práctica y desplegable para los sistemas de marcaje de agua existentes. Al aleatorizar la selección de claves y hacer cumplir una regla de detección de "exactamente uno", crea una barrera estadística que los ataques basados en promedios no pueden superar. Elimina la necesidad de complejos calendarios de rotación de claves y mantiene una alta utilidad del modelo.

Limitaciones y Suposiciones:

Atacantes Ciegos vs. Informados: Las garantías teóricas se sostienen frente a atacantes "ciegos". Si un atacante puede inferir qué clave generó una muestra específica (por ejemplo, mediante una violación del sistema o un canal lateral), puede agrupar muestras por clave y falsificar de manera más efectiva. En experimentos con atacantes "informados" (que tenían etiquetas de claves), el éxito de la falsificación se estabilizó en ~65%, aunque esto requiere un acceso poco realista a las etiquetas de claves en la práctica.
Ataques Basados en Instancias: El método no puede defenderse contra ataques "basados en instancias" donde una marca de agua puede ser falsificada utilizando una sola muestra ( $N=1$ ). Esta es una vulnerabilidad del método de marcaje subyacente (por ejemplo, Tree-Ring) y no de la defensa propuesta.
Sobrecarga Computacional: La verificación escala linealmente con el número de claves ( $r$ ). Si bien es negligible para texto (microsegundos), es más laboriosa computacionalmente para marcas de agua en imágenes que requieren inversión de modelos de difusión.
Compensaciones: Aumentar el número de claves requiere elevar el umbral de detección para mantener la tasa global de falsos positivos, lo que reduce ligeramente la tasa de verdaderos positivos (robustez) de la marca de agua subyacente, aunque los resultados empíricos muestran que este impacto es marginal (2–3%).

En conclusión, los autores postulan que la selección aleatoria de claves es una solución lista para su despliegue que mitiga eficazmente la amenaza de la falsificación de marcas de agua para los esquemas heurísticos actuales, siempre que se mantenga el secreto de las claves frente a la inferencia.