Resumen Técnico: TrajPrint – Protección de Derechos de Autor sin Pérdida mediante la Huella Digital Intrínseca del Modelo

Declaración del Problema

Los modelos de difusión se han convertido en propiedad intelectual de alto valor debido a los sustanciales recursos computacionales y datos requeridos para su entrenamiento. Sin embargo, la naturaleza de código abierto de los pesos de los modelos y la proliferación de técnicas de destilación hacen que estos modelos sean susceptibles a la replicación y apropiación no autorizadas. Las estrategias de protección de derechos de autor existentes enfrentan compromisos significativos:

• Intervención en la Inferencia: Los métodos que inyectan señales en el bucle de eliminación de ruido (por ejemplo, Tree-Ring, Gaussian Shading) a menudo interrumpen las trayectorias naturales de difusión, introduciendo artefactos y limitando la diversidad de la generación.
• Ajuste Fino del Modelo (Fine-tuning): Los enfoques que modifican los parámetros del modelo para incrustar marcas de agua (por ejemplo, Stable Signature, SleeperMark) aumentan los costos de entrenamiento y se desvían de la distribución óptima preentrenada, lo que perjudica el rendimiento de la generación.
• Incompatibilidad con Caja Negra: Muchos métodos de huellas digitales actuales requieren una intervención detallada en los pasos intermedios de eliminación de ruido, lo que los hace incompatibles con las APIs de caja negra donde solo es accesible la inferencia atómica (entrada-salida).

Además, los métodos actuales suelen carecer de criterios estadísticos rigurosos, fallando al no proporcionar evidencia cuantificable para una verificación fiable.

Metodología: TrajPrint

Los autores proponen TrajPrint, un marco de trabajo completamente sin pérdida y sin necesidad de entrenamiento que verifica los derechos de autor del modelo mediante la extracción de huellas digitales de variedades (manifolds) únicas formadas durante la generación determinista. La idea central es que el proceso generativo determinista de un modelo de difusión constituye un mapeo de variedad de alta dimensión único, que sirve como una identidad intrínseca.

El marco opera en dos fases principales:

1. Generación de Ruido de la Huella Digital

El objetivo es construir un ruido de huella digital específico $z^*$ que actúe como un disparador único para el modelo objetivo $G_\theta$.

• Ancla de Marca de Agua: Se incrusta una imagen portadora con un mensaje de derechos de autor binario discreto para crear un "ancla con marca de agua" ($I_w$).
• Inversión de Trayectoria: Utilizando la inversión DDIM determinista, el ancla se mapea de vuelta a su origen de ruido latente ($x_T$). Este paso bloquea el comportamiento generativo intrínseco del modelo al trazar el camino desde el dominio de la imagen hacia el dominio del ruido.
• Optimización Conjunta: Para mitigar los errores de discretización de la inversión y mejorar la especificidad, una estrategia de optimización conjunta sintetiza el ruido de huella digital final $z^*$. Esto emplea un anclaje de doble extremo:
  • Alineación de la Variedad Perceptual (Extremo de Salida): Una pérdida de reconstrucción ($L_{rec}$) impone consistencia semántica, asegurando que la imagen generada se alinee con el ancla con marca de agua $I_w$. Esto obliga a la optimización a descubrir un ruido que se alinee con la trayectoria de eliminación de ruido única del modelo objetivo.
  • Regularización de la Trayectoria Latente (Extremo de Entrada): Una pérdida de regularización ($L_{reg}$) restringe el ruido optimizado $z^*$ para que permanezca dentro del vecindario local del origen de la trayectoria $x_T$. Esto evita la generación de perturbaciones adversarias universales que podrían transferirse entre modelos.
  • Recuperación de la Marca de Agua: Una pérdida de recuperación de la marca de agua ($L_w$) guía la optimización para asegurar que el mensaje incrustado pueda ser extraído con éxito.

La función de pérdida total es una suma ponderada de estos objetivos, optimizada exclusivamente sobre el input latente $z$ mientras se mantienen congelados los parámetros del modelo.

2. Verificación

En la fase de verificación, el defensor consulta un modelo sospechoso de caja negra con el ruido de huella digital optimizado $z^*$.

• Inferencia Atómica: El proceso requiere únicamente la interacción estándar de entrada-salida, lo que lo hace compatible con las APIs encapsuladas.
• Prueba Estadística: El mensaje de la marca de agua extraído se compara con el original. Se calcula la precisión de bits (BA) y se realiza una prueba t de una muestra contra la hipótesis nula (azar, $\mu=0.5$). Un valor p estadísticamente significativo proporciona evidencia creíble de infracción.

Contribuciones Clave

1. Verificación Sin Pérdida y Sin Entrenamiento: TrajPrint extrae huellas digitales intrínsecas del modelo sin modificar los pesos o la arquitectura del modelo, garantizando cero degradación en la calidad de la generación.
2. Compatibilidad con Caja Negra: Al depender de la inferencia atómica y la inversión de trayectoria determinista, el método funciona en escenarios donde los estados intermedios son inaccesibles, a diferencia de las técnicas de huellas digitales anteriores.
3. Huella Digital Específica de la Variedad: El método mapea la variedad generativa única a un ruido de huella digital específico mediante el retratado de la trayectoria, construyendo un par disparador-verificación que evita falsos positivos en modelos no objetivos.
4. Rigor Estadístico: El marco introduce un protocolo de prueba de hipótesis estadística para proporcionar evidencia cuantificable y legalmente sólida de la infracción de derechos de autor.

Resultados Experimentales

Se realizaron experimentos extensos a través de diversos modelos de difusión latente (Stable Diffusion v1.5, v2.1, XL, DeciDiffusion y Pixart-$\alpha$) y varios escenarios de ataque.

• Especificidad: TrajPrint logró una precisión de bits (BA) superior a 0.96 en los modelos objetivo con valores p $< 10^{-3}$. En la verificación cruzada de modelos, la precisión cayó aproximadamente a 0.55 (azar), demostrando una falta de transferibilidad y evitando eficazmente acusaciones falsas. En contraste, los modelos de referencia que utilizan optimización de ruido aleatorio mostraron una alta transferibilidad entre modelos (BA ~0.7), lo que conduce a falsos positivos.
• Robustez: El método demostró una resistencia excepcional contra:
  • Ajuste Fino de Parámetros: Mantuvo una BA alta (>0.91) incluso después del ajuste fino con LoRA y DreamBooth (hasta 5000 pasos).
  • Cuantización: Funcionó de manera robusta bajo precisión FP16 y BFloat16 (BA > 0.95).
  • Poda (Pruning): Resistió la poda de magnitud no estructurada hasta un 10% de dispersión (BA > 0.8).
• Estudios de Ablación: Eliminar las restricciones de anclaje de doble extremo resultó en un aumento de la precisión cruzada de modelos (~0.7), confirmando la necesidad del anclaje de trayectoria para la especificidad. El método se mantuvo estable a través de diferentes muestreadores deterministas y pasos de muestreo (20–100) y soportó cargas de marcas de agua de hasta 128 bits.

Significado y Limitaciones

El artículo afirma que TrajPrint ofrece una solución práctica para la verificación de derechos de autor en entornos del mundo real donde los propietarios de los modelos no pueden acceder a los parámetros internos o modificar los pesos del modelo. Su capacidad para operar mediante inferencia atómica lo hace unánimemente adecuado para verificar modelos desplegados como APIs de caja negra.

Limitaciones:
Los autores señalan una restricción específica: el entorno objetivo debe admitir la inyección de ruido inicial personalizado (por ejemplo, a través de interfaces como ComfyUI o Stable Diffusion WebUI). En consecuencia, el método puede no ser aplicable a escenarios de API que no acepten el ruido inicial como un parámetro de entrada directo.