Resumen Técnico: Aprendizaje de Marcas de Agua en el Espacio Latente de Modelos Generativos

Planteamiento del Problema

El rápido avance de los modelos generativos (difusión y autorregresivos) ha permitido la creación de contenido sintético altamente realista, lo que plantea preocupaciones sobre el uso indebido, los deepfakes y las violaciones de la propiedad intelectual. Aunque la marca de agua invisible ofrece una solución para la procedencia, los enfoques existentes enfrentan limitaciones significativas:

1. Métodos Post-hoc en el Espacio de Píxeles: Estos modifican imágenes ya generadas en el espacio de píxeles. Aunque son flexibles y agnósticos al modelo, incurren en una carga computacional sustancial debido al procesamiento de alta resolución (por ejemplo, $512 \times 512 \times 3$) e introducen latencia. Además, ofrecen una seguridad débil para despliegues de código abierto, ya que los usuarios pueden eludirlos fácilmente eliminando una sola línea de código.
2. Métodos Integrados en el Modelo: Aunque son más seguros, los intentos previos de integrar marcas de agua directamente en los pesos del modelo carecen de robustez o requieren modificaciones complejas en el proceso de muestreo.

El desafío central es desarrollar un marco de trabajo unificado para el marcado de agua que opere directamente en el espacio latente de los modelos generativos, permitiendo el marcado de agua integrado en el modelo (incrustando la marca de agua en los pesos del modelo) que sea computacionalmente eficiente y robusto contra la eliminación, sin introducir penalizaciones de latencia.

Metodología: DISTSEAL

Los autores presentan DISTSEAL, un marco unificado para el marcado de agua en el espacio latente aplicable tanto a modelos de difusión como autorregresivos. El enfoque consta de dos etapas principales:

1. Marcado de Agua Latente Post-hoc

La primera etapa consiste en entrenar un par de embebedor-extractor de marcas de agua ($W_\theta, E_\theta$) que opera en el espacio latente del modelo generativo en lugar del espacio de píxeles.

• Embebedor (Embedding): El embebedor toma una representación latente $z$ y un mensaje binario $m$, produciendo una latente con marca de agua $z_w = z + \epsilon W_\theta(z, m)$.
  • Para modelos de difusión (latentes continuos), la perturbación se aplica directamente a $z$.
  • Para modelos autorregresivos (tokens discretos), el embebedor puede operar ya sea antes de la cuantización (modificando latentes continuos) o después de la cuantización (modificando embeddings de tokens). Los autores utilizan la estimación de paso directo (straight-through estimation) para retropropagar a través del paso de cuantización.
• Objetivo de Entrenamiento: El modelo se entrena utilizando una combinación de pérdida de extracción de la marca de agua ($L_w$) y una pérdida de discriminador ($L_{disc}$) aplicada en el espacio de píxeles para asegurar la imperceptibilidad. A diferencia de algunos trabajos previos, los autores evitan las pérdidas de reconstrucción o perceptuales para el embebedor, confiando en su lugar en la fuerza de la marca de agua $\epsilon$ y el discriminador para restringir la salida.
• Aumento (Augmentation): El entrenamiento involucra varias aumentaciones de métrica de valor, geométricas y de compresión para simular ediciones de usuario y asegurar la robustez.

2. Destilación para el Marcado de Agua Integrado en el Modelo

La segunda etapa destila el marcador de agua latente post-hoc entrenado en el propio modelo generativo o en su decodificador latente, eliminando la necesidad de un paso de post-procesamiento separado.

• Destilación en el Modelo Generativo: El modelo generativo pre-entrenado (transformador de difusión o transformador autorregresivo) se ajusta para reconstruir o predecir las latentes con marca de agua $z_w$ en lugar de las latentes limpias originales $z$. Esto obliga al modelo a generar inherentemente salidas con marca de agua.
• Destilación en el Decodificador Latente: El decodificador latente $D$ se ajusta para reconstruir imágenes con marca de agua a partir de latentes sin marca de agua. La función de pérdida combina una pérdida de reconstrucción ($L_{rec}$) y una pérdida de extracción de marca de agua ($L_w$) para guiar al decodificador a producir salidas que contengan la señal de la marca de agua.

Contribuciones Clave

1. Marco Unificado (DISTSEAL): Un único enfoque que maneja tanto espacios latentes continuos (modelos de difusión) como secuencias de tokens discretos (modelos autorregresivos).
2. Eficiencia y Robustez: El método logra una aceleración de hasta 20× en la inferencia en comparación con las líneas base en el espacio de píxeles al operar sobre representaciones latentes comprimidas (por ejemplo, $8 \times 8 \times 128$ frente a $512 \times 512 \times 3$), manteniendo una robustez competitiva contra diversos ataques.
3. Destilación Efectiva: Los autores demuestran que los marcadores de agua latentes pueden destilarse eficazmente en los pesos del modelo. Crucialmente, demuestran que destilar marcadores de agua latentes supera la destilación de marcadores de agua en el espacio de píxeles. Los marcadores de agua en el espacio de píxeles a menudo fallan al destilarse en decodificadores latentes debido a la dificultad de reconstruir perturbaciones de alta frecuencia, mientras que las perturbaciones latentes son más estructuradas y fáciles de aprender para el decodificador.
4. Análisis Exhaustivo: El artículo proporciona un estudio detallado de las compensaciones entre métodos post-hoc e integrados en el modelo, la compatibilidad de múltiples marcas de agua y el olvido de la marca de agua (susceptibilidad al ajuste fino mediante LoRA).

Resultados Experimentales

Los autores evaluaron DISTSEAL en DCAE (un modelo de difusión) y RAR-XL (un modelo autorregresivo).

• Desempeño Post-hoc: El marcado de agua latente logró una precisión de bits promedio de 95.18% (DCAE) y 93.96% (RAR-XL) bajo ataques combinados, comparable a las líneas base en el espacio de píxeles (97.78% y 97.27% respectivamente). La calidad visual (FID) se mantuvo alta, con una degradación mínima.
• Desempeño Integrado en el Modelo (Destilación):
  • Destilación en el Decodificador Latente: Destilar el marcador de agua latente en el decodificador logró una precisión de bits promedio de 96.77% (DCAE) y 90.57% (RAR-XL), superando a menudo al modelo post-hoc maestro. En contraste, destilar marcadores de agua de píxeles resultó en una robustez significativamente menor (por ejemplo, 65.69% para DCAE) y un FID más alto.
  • Destilación en el Modelo Generativo: El ajuste fino directo del modelo generativo produjo resultados robustos (94.78% para DCAE, 89.13% para RAR-XL) con una calidad visual ligeramente superior a la destilación del decodificador.
• Velocidad: El enfoque latente proporcionó una aceleración de 20× para DCAE y de 2.4× para RAR-XL en comparación con los métodos en el espacio de píxeles.
• Limitaciones Observadas:
  • Olvido de la Marca de Agua: Los modelos generativos destilados son susceptibles de olvidar la marca de agua cuando se ajustan finamente con datos sin marca de agua (por ejemplo, mediante LoRA), mientras que los decodificadores destilados siguen siendo robustos a tales cambios.
  • Ataques Fuertes: El método aún no es totalmente robusto contra transformaciones geométricas muy fuertes, una limitación que los autores reconocen.

Significado y Reivindicaciones

El artículo afirma que DISTSEAL proporciona una solución práctica y eficiente para incrustar marcas de agua robustas directamente dentro de los modelos generativos. Al mover el marcado de agua del espacio de píxeles al espacio latente, los autores logran:

• Reducción de Carga Computacional: Ahorros significativos en computación y reducción de latencia, haciendo que el despliegue en tiempo real o a gran escala sea más factible.
• Seguridad Mejorada para Código Abierto: Al integrar la marca de agua en los pesos del modelo (mediante destilación), la marca de agua no puede ser desactivada trivialmente mediante la eliminación de un script de post-procesamiento, abordando una brecha de seguridad crítica en los lanzamientos de modelos de código abierto.
• Destilación Superior: El hallazgo de que los marcadores de agua latentes se destilan más eficazmente que los de espacio de píxeles sugiere un nuevo paradigma para crear modelos generativos "diseñados con marca de agua" que mantienen alta fidelidad y robustez.

Los autores posicionan este trabajo como un paso hacia mecanismos de procedencia fiables para el contenido generado por IA, equilibrando la necesidad de rendición de cuentas con la preservación de la calidad del contenido y la velocidad de generación. Señalan que, aunque el método es robusto, no es inmune a la eliminación, y el trabajo futuro explorará la combinación del marcado de agua latente con métodos de sincronización post-hoc para manejar ataques geométricos más fuertes.