🤖 machine learning

COPYCOP: Ownership Verification for Graph Neural Networks

El artículo presenta CopyCop, un algoritmo robusto con garantías teóricas que verifica la propiedad de las Redes Neuronales de Grafos detectando si dos modelos con diferentes arquitecturas, pesos o dimensiones de incrustación fueron entrenados independientemente o si uno es un copista adversario, superando a los métodos existentes de marca de agua y huella dactilar en 14 conjuntos de datos.

Autores originales: Rahul Nandakumar, Deepayan Chakrabarti

Publicado 2026-05-08

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Rahul Nandakumar, Deepayan Chakrabarti

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un chef maestro que ha desarrollado una salsa secreta y exclusiva. Vendes esta salsa a restaurantes como un servicio: ellos te envían una lista de ingredientes (un grafo) y tú les devuelves un perfil de sabor único (una incrustación) que pueden utilizar para preparar sus propios platos.

¿El problema? Un competidor astuto podría intentar robar tu receta. No necesitan irrumpir en tu cocina; simplemente piden mil muestras de tu salsa, las prueban y luego intentan cocinar su propia versión que sepa exactamente igual. Para dificultar aún más que los atrapen, podrían cambiar el color de la salsa, servirla en un bol diferente o incluso diluirla ligeramente, esperando que no te des cuenta de que es una copia.

Este es el problema que COPYCOP resuelve. Es una nueva "herramienta forense" diseñada para atrapar a estos chefs copiones (o, en el mundo tecnológico, modelos de IA "surrogados") incluso cuando intentan disfrazar su robo.

Así es como funciona, desglosado en conceptos sencillos:

1. Las viejas formas no funcionaban

Anteriormente, la gente intentaba atrapar a los ladrones de dos maneras, ambas con defectos:

El método de la "marca de agua": El chef añade secretamente una pequeña mota de brillo invisible a la salsa. Si la salsa del competidor tiene el brillo, lo atrapan.
- El defecto: El ladrón puede simplemente pedir la salsa, probarla y recrear el sabor sin el brillo. Ignoran por completo la mota secreta.
El método de la "huella dactilar": El chef compara la textura de la salsa de la víctima con la del sospechoso.
- El defecto: Si el ladrón vierte la salsa en un bol de forma diferente o cambia la temperatura, la textura parece distinta, incluso si el sabor es el mismo. Las herramientas antiguas no podían distinguir entre un cambio real y un disfraz falso.

2. La solución COPYCOP: Encontrar los "puntos estacionarios"

COPYCOP adopta un enfoque completamente diferente. En lugar de observar la salsa en sí (la salida), observa cómo reacciona la salsa cuando la tocas.

Imagina que tienes una bola de masa (el modelo de IA). Si la empujas suavemente en una dirección, podría aplastarse y cambiar de forma. Pero hay ciertos puntos específicos en la masa donde, si los empujas, no sucede absolutamente nada. La masa no se mueve. A estos se les llama "puntos estacionarios".

La idea mágica: El artículo demuestra que estos "puntos estacionarios" son como el ADN de la receta. Incluso si el ladrón cambia el bol, la temperatura o el color de la salsa (transformaciones), la ubicación de estos "puntos estacionarios" permanece exactamente igual.
La prueba:
1. COPYCOP le pide al chef víctima (el modelo original) que encuentre estos "puntos estacionarios" en su masa.
2. Luego le pide al chef sospechoso (el modelo en cuestión) que encuentre los "puntos estacionarios" en su masa.
3. El veredicto: Si los "puntos estacionarios" del sospechoso coinciden perfectamente con los de la víctima, el sospechoso es un copión. Si los puntos están en lugares diferentes, es probable que el sospechoso sea un chef independiente que, por casualidad, preparó una salsa de sabor similar.

3. Por qué es tan bueno atrapando ladrones

El artículo afirma que COPYCOP es increíblemente robusto porque:

Ignora el disfraz: Ya sea que el ladrón rote la salsa, la escale o cambie las dimensiones del bol, los "puntos estacionarios" se mantienen en su lugar.
No necesita ver la cocina: No necesitas ver la receta secreta del ladrón (pesos o arquitectura). Solo necesitas ver lo que sale de su olla.
Funciona incluso si intentan ocultarse: El ladrón no puede falsificar fácilmente estos puntos. Para hacerlo, tendría que imitar perfectamente la reacción de la víctima ante cada posible "empujón", lo cual es matemáticamente imposible a menos que hayan robado realmente la receta.

4. Los resultados

Los investigadores probaron esta "herramienta forense" en 14 tipos diferentes de datos (como redes sociales, moléculas y registros financieros) y en 5 tipos diferentes de modelos de IA.

Precisión: Identificó correctamente a los copiones casi el 100% de las veces, incluso cuando los ladrones intentaron rotar, escalar o distorsionar sus modelos.
Comparación: Destrozó a los antiguos métodos de "marca de agua", que fallaban cuando el ladrón simplemente ignoraba el brillo secreto. También superó a los antiguos métodos de "huella dactilar", que se confundían con cambios simples como la rotación.

Resumen

Piensa en COPYCOP como un detective que no mira la ropa del sospechoso (que puede cambiarse) ni su voz (que puede disfrazarse). En su lugar, el detective le pide al sospechoso que se pare en un punto específico e invisible en el suelo. Si se para en el mismo punto invisible exacto que el propietario original, sin importar cómo vaya vestido, es culpable de copiar. Si se para en otro lugar, es inocente.

Este método permite a los propietarios de modelos de IA demostrar su propiedad y atrapar a los ladrones, incluso cuando esos ladrones intentan disfrazar completamente su trabajo robado.

Resumen Técnico: COPYCOP – Verificación de Propiedad para Redes Neuronales de Grafos

1. Enunciado del Problema

El artículo aborda el problema crítico de la verificación de propiedad para las Redes Neuronales de Grafos (GNN) desplegadas como "Embeddings-as-a-Service". En este escenario, un modelo víctima $M$ proporciona incrustaciones de nodos para tareas posteriores. Un adversario puede realizar un ataque de extracción de modelos consultando a $M$ en numerosos grafos, recopilando pares de entrada-salida y entrenando un modelo sustituto $Z$ para imitar estas incrustaciones.

El desafío central es distinguir si un GNN candidato $Z$ fue entrenado de forma independiente o si es un sustituto derivado de $M$ . Esto se complica por el hecho de que un adversario puede aplicar diversas transformaciones a las incrustaciones de salida del sustituto (por ejemplo, rotación, escalado, permutación o cambio de dimensiones de incrustación) y utilizar arquitecturas o pesos diferentes. Los métodos existentes fallan bajo estas condiciones:

Marcado de agua (Watermarking): Los métodos que incrustan señales especiales (por ejemplo, puertas traseras) en el modelo víctima son vulnerables porque un adversario que entrena con datos de consulta ordinarios no necesita reproducir estos comportamientos específicos marcados con agua.
Huella digital (Fingerprinting): Las huellas digitales basadas en incrustaciones existentes a menudo dependen de comparaciones directas de similitud, las cuales se rompen fácilmente mediante transformaciones lineales o no lineales que alteran el espacio de incrustación mientras preservan la utilidad posterior.

2. Metodología: COPYCOP

COPYCOP propone un método de huella digital que no modifica el modelo víctima. En su lugar, se basa en los puntos estacionarios de la función de incrustación como huellas digitales intrínsecas e invariantes a las transformaciones.

Concepto Central:
La incrustación de un nodo $h_i(X)$ es una función de la estructura del grafo y las características del nodo. Un punto estacionario se define como una tupla $(G, X, i, w)$ donde perturbar las características del nodo $x_i$ en una dirección $w$ no resulta en ningún cambio de primer orden en la incrustación (es decir, la derivada direccional $\nabla_w h_i(X) = 0$ ).

Base Teórica:

Invarianza: Si un modelo sustituto $Z$ genera incrustaciones $h'_i = \phi(h_i)$ donde $\phi$ es una transformación localmente invertible (Suposición 3.4), los puntos estacionarios de $h_i$ también son puntos estacionarios de $h'_i$ . Esto se debe a que si el gradiente de $h_i$ es cero, el gradiente de $\phi(h_i)$ también debe ser cero (Lema 3.6).
Unicidad: Los autores asumen que los modelos entrenados independientemente convergen a diferentes óptimos locales, lo que significa que sus conjuntos de puntos estacionarios $S(M)$ y $S(I)$ son en gran medida disjuntos (Suposición 3.7).

Algoritmo (Caso General):
Dado que los puntos estacionarios exactos pueden no existir o ser computables en el caso general (debido a errores de reconstrucción o no diferenciabilidad), COPYCOP utiliza una métrica de aproximación $\beta_F$ :

Muestreo: El algoritmo muestrea tuplas de los puntos estacionarios del modelo víctima $S(M)$ y de una distribución aleatoria sobre el espacio de consultas.
Cálculo de la Métrica: Para un modelo candidato $Z$ , calcula $q_Z(t)$ , la magnitud normalizada del cambio de incrustación cuando se perturban las características. Luego calcula $\beta_Z$ , la relación de la $q_Z$ esperada cerca de los puntos estacionarios frente a puntos aleatorios.
Decisión:
- Si $Z$ es el víctima o un sustituto, $\beta_Z$ es pequeño (cerca de 0) porque los puntos estacionarios de $M$ permanecen "estacionarios" para $Z$ .
- Si $Z$ es un modelo independiente, $\beta_Z$ es significativamente mayor porque $Z$ no comparte los puntos estacionarios de $M$ .
- El algoritmo clasifica a $Z$ como un sustituto si $\hat{\beta}_Z \leq \theta$ (Algoritmo 2).

Detalles de Implementación:

Muestreo de Puntos Estacionarios: El método utiliza un solver de optimización (sin requerir acceso a gradientes del modelo) para encontrar vectores de características $X$ que minimicen la derivada direccional normalizada, regularizados para mantenerse cerca de distribuciones de datos realistas.
Robustez: El método es agnóstico a la arquitectura y maneja cambios en las dimensiones de incrustación. Genera nuevos grafos de consulta dinámicamente, evitando que las filtraciones comprometan las verificaciones futuras.

3. Contribuciones Clave

Mecanismo de Huella Digital Novel: COPYCOP es el primer método de huella digital para incrustaciones de GNN que es robusto ante una amplia clase de transformaciones adversarias (rotación, escalado, cambios de dimensionalidad) y funciona a través de diferentes arquitecturas de GNN.
Garantías Teóricas: El artículo proporciona pruebas formales (Teoremas 3.8 y 3.15) que demuestran que el método puede distinguir sustitutos de modelos independientes con alta probabilidad bajo suposiciones razonables sobre las funciones de transformación y las distribuciones de puntos estacionarios.
Sin Marcado de Agua Requerido: A diferencia de trabajos anteriores, COPYCOP no requiere modificar el proceso de entrenamiento del modelo víctima, evitando la degradación del rendimiento y la vulnerabilidad a ataques de extracción que ignoran entradas especiales.
Huellas Digitales Aleatorizadas: Las huellas digitales son aleatorizadas y pueden regenerarse, asegurando que las consultas filtradas no comprometan permanentemente el sistema de verificación.

4. Resultados Experimentales

Los autores evaluaron COPYCOP en 14 conjuntos de datos (que cubren moléculas, citas, redes sociales, etc.) y 5 arquitecturas de GNN (GCN, GIN, GraphSage, ARMA, MixHop).

Precisión de Extracción de Modelos: COPYCOP logró puntuaciones perfectas o casi perfectas de Área bajo la Curva (AUC) (por ejemplo, AUC=1.00 para GCN, 0.99 para MixHop) en la detección de sustitutos entrenados mediante extracción de modelos. Superó significativamente al método de marcado de agua PreGIP (entre un 17% y un 48% a través de arquitecturas) y al método de huella digital GrOVe. El rendimiento de PreGIP ocasionalmente cayó por debajo del azar cuando el sustituto se entrenó solo con datos ordinarios.
Robustez ante Transformaciones: COPYCOP permaneció robusto (0% de tasa de error) frente a rotación, escalado y proyección a dimensiones superiores. Si bien el rendimiento disminuyó ligeramente bajo transformaciones no lineales extremas (por ejemplo, exponenciación), permaneció muy superior a PreGIP y GrOVe. Cabe destacar que GrOVe falló por completo cuando cambiaron las dimensiones de incrustación.
Ataques Adversarios:
- Poda: COPYCOP permaneció robusto hasta un 40% de poda de pesos (estable para GIN hasta un 70%).
- Ajuste Fino: La precisión de detección se mantuvo estable incluso después de que el sustituto fue ajustado finamente en un pequeño conjunto de datos etiquetados.
Eficiencia: El método requiere solo 20–40 puntos estacionarios para alcanzar un AUC casi máximo.

5. Significado y Afirmaciones

El artículo afirma que COPYCOP resuelve una brecha fundamental en la seguridad de GNN-como-Servicio. Al aprovechar la invarianza matemática de los puntos estacionarios, proporciona un mecanismo fiable para la verificación de propiedad que sobrevive a los cambios "cosméticos" que utilizan los adversarios para ocultar el robo de modelos.

Los autores enfatizan que su enfoque es modesto en sus suposiciones (por ejemplo, requiriendo solo la invertibilidad local de las transformaciones) pero fuerte en su rendimiento empírico. Reconocen limitaciones, como la necesidad de una validación adicional de las suposiciones sobre las distribuciones de transformación y el costo computacional de encontrar puntos estacionarios para grafos muy grandes o incrustaciones de alta dimensión. Sin embargo, afirman que COPYCOP ofrece una solución práctica, robusta y teóricamente fundamentada donde las técnicas existentes de marcado de agua y huella digital fallan.