Proof-of-Authorship for Diffusion-based AI Generated Content

1. El Problema

La proliferación de modelos de difusión latente (LDMs) como Stable Diffusion, DALL-E y Midjourney ha creado nuevos desafíos en la protección de la propiedad intelectual y la autenticación de objetos generados por IA.

• Limitaciones de los métodos actuales: Las técnicas tradicionales de prueba de propiedad, como el marcado de tiempo (timestamping) y la marcación de agua (watermarking), presentan deficiencias críticas en este contexto:
  • Timestamping: Cualquiera puede marcar un objeto con una fecha, pero no prueba que el autor lo haya creado, solo que fue el primero en reclamarlo públicamente.
  • Watermarking: Requiere el uso de secretos (claves privadas) para incrustar y verificar la marca. Esto es vulnerable a ataques de ambigüedad (donde un adversario puede forjar una marca diferente que también parezca válida) y ataques de eliminación. Además, la verificación de secretos mediante pruebas de conocimiento cero es computacionalmente costosa para objetos de alta dimensión.
• La oportunidad: A diferencia de las cámaras tradicionales, el proceso de generación en LDMs ofrece un control total al autor sobre el semilla aleatoria (random seed) utilizada para iniciar el proceso de difusión.

2. Metodología: Marco de Prueba de Autoría (POA)

Los autores proponen un marco de Prueba de Autoría (Proof-of-Authorship - POA) que no requiere que el autor mantenga ningún secreto. En su lugar, vincula criptográficamente la identidad del autor y los metadatos de generación con el objeto final.

Mecanismo Central

1. Vinculación Criptográfica:

   • El autor utiliza una Función Pseudoaleatoria Criptográficamente Segura (PRF), denotada como $f_i$, donde $i$ es la identidad única del autor.
   • La semilla para el punto de partida latente se genera determinísticamente combinando la identidad del autor, el prompt (incrustación $e$), los parámetros del modelo ($m$) y un valor aleatorio ($r$):
     $$\text{Seed} = f_i(\langle m, e, r \rangle)$$
   • Esta semilla se alimenta al muestreador $G$ para obtener el punto de partida latente $s$ en la distribución $D_0$ (usualmente una Gaussiana multivariada).
   • La imagen generada es $I = L_m(e, s)$.

2. Proceso de Controversia (Contention):

   • Cuando un autor reclama la autoría de una imagen $I$ (que puede estar distorsionada), presenta sus parámetros de generación $\kappa = \langle m, e, r \rangle$ y su identidad $i$.
   • Un Adjudicador Probabilístico (PA) regenera la imagen original $J$ utilizando los parámetros proporcionados.
   • El PA compara la imagen disputada $I$ con $J$ y genera una muestra estadística de imágenes aleatorias (usando la misma $m$ y $e$ pero semillas aleatorias) para estimar la probabilidad de que un forjador aleatorio pueda generar una imagen tan similar a $I$.

3. Supuestos de Seguridad:

   • A1 (Dureza de la PRF): Asume que $f_i$ es una PRF segura. Esto garantiza que un adversario no pueda predecir la semilla original ni encontrar una semilla alternativa que genere la misma imagen sin conocer la clave secreta (aunque aquí no hay clave, la identidad actúa como tal en la función).
   • A2 (Propiedad de Difusión): Asume que la medida de similitud entre objetos generados por puntos de partida aleatorios sigue una distribución sub-exponencial. Esto permite realizar pruebas estadísticas eficientes con muestras pequeñas, en lugar de requerir un número exponencial de intentos para estimar colas de probabilidad.

4. Evaluación Estadística:

   • El PA calcula una puntuación de similitud (basada en el espacio latente, no en píxeles, para robustez ante ruido y compresión).
   • Se estima la probabilidad $q$ de que un "forjador aleatorio" logre una similitud igual o mayor a la observada.
   • Un Juez decide si la afirmación es válida basándose en si el límite superior del intervalo de confianza de $q$ es extremadamente bajo (ej. $2^{-50}$).

3. Contribuciones Clave

1. Marco sin Secretos: Propone un sistema de prueba de autoría que no requiere que el autor almacene secretos. Toda la información necesaria para la verificación puede ser pública, eliminando los riesgos de los ataques de ambigüedad y la necesidad de pruebas criptográficas costosas.
2. Garantía de Autoría vs. Propiedad: A diferencia de la "prueba de propiedad" (que solo prueba quién registró algo primero), el POA prueba que solo el creador pudo haber generado el objeto específico, ya que la semilla está atada a su identidad.
3. Eficiencia Estadística: Demuestran que, bajo la suposición A2, se necesitan muy pocas muestras (polilogarítmicas) para determinar la validez de una reclamación con alta confianza, en contraste con el muestreo ingenuo que requeriría muestras exponenciales.
4. Optimalidad: El test estadístico propuesto es "uniformemente más poderoso" (Uniformly Most Powerful), minimizando la tasa de falsos negativos para una tasa de falsos positivos dada.

4. Resultados y Evaluación

Los autores evaluaron el marco utilizando Stable Diffusion 2.1 (SD2.1).

• Validación de Supuestos: Confirmaron empíricamente que las puntuaciones de similitud entre imágenes generadas con semillas aleatorias siguen una distribución sub-exponencial (aproximada por una distribución normal generalizada), validando la suposición A2.
• Robustez: El sistema demostró ser robusto frente a:
  • Ruido: Adición de ruido gaussiano.
  • Compresión: Compresión JPEG de alta calidad (hasta calidad 10).
  • Transformaciones Afines: Rotaciones, escalados y traslaciones menores.
• Tasa de Éxito del Forjador: Para un objetivo de probabilidad de éxito de un forjador aleatorio de $2^{-50}$, el método alcanzó una precisión del 100% en la determinación de la autoría.
• Seguridad: Bajo la suposición A1, ningún adversario de tiempo polinomial puede superar al azar en la falsificación de una reclamación. Incluso si el modelo tuviera "puertas traseras" (violando A2), un adversario no tendría ventaja sobre un forjador aleatorio siempre que el verificador tenga recursos computacionales comparables.

5. Significado e Impacto

Este trabajo representa un cambio de paradigma en la autenticación de contenido generado por IA:

• Transparencia: Al eliminar la necesidad de secretos, permite una verificación pública y transparente, similar a cómo funcionan los registros públicos, pero aplicados a la generación de imágenes.
• Resistencia a la Eliminación: A diferencia de las marcas de agua que pueden ser eliminadas o alteradas, la "marca" en este sistema es la propia semilla de generación, que es intrínseca al proceso de creación del objeto. Si el objeto se puede regenerar con los parámetros correctos, la autoría se confirma.
• Viabilidad Práctica: Demuestra que es posible implementar un sistema de seguridad robusto en modelos de difusión existentes sin modificar el modelo en sí (no requiere fine-tuning del modelo) ni introducir artefactos visibles en las imágenes.

En resumen, el marco POA ofrece una solución teóricamente sólida y empíricamente validada para atribuir la autoría de imágenes generadas por IA, superando las limitaciones de seguridad y privacidad de las técnicas de marcaje de agua tradicionales.