Watermarking Should Be Treated as a Monitoring Primitive

Resumen Técnico: La Marca de Agua Debe Considerarse como un Primitivo de Monitoreo

Declaración del Problema
Las evaluaciones actuales de las marcas de agua para modelos generativos se centran casi exclusivamente en la robustez por muestra frente a adversarios que intentan evadir la detección o inducir falsos positivos. Estos modelos de amenazas tratan las señales de marca de agua como objetivos para su eliminación o falsificación. Sin embargo, esta perspectiva pasa por alto una capacidad crítica: la capacidad de los observadores para agregar señales de marca de agua a través de múltiples salidas para inferir información a nivel de entidad. El artículo argumenta que la marca de agua no es meramente un mecanismo defensivo para la procedencia, sino que funciona inherentemente como un primitivo de monitoreo. Cuando se despliega con claves de atribución por entidad, la marca de agua introduce estructuras estadísticas persistentes que permiten el seguimiento, la vinculabilidad y la reidentificación a lo largo del tiempo, capacidades que no son capturadas por las métricas estándar de robustez.

Metodología
Los autores introducen un modelo de amenaza basado en observadores que desplaza el enfoque desde la manipulación de muestras individuales hacia la agregación pasiva de señales a través de un flujo de salidas. Este modelo distingue entre dos tipos de observadores:

1. Observadores Internos: Entidades con acceso a detectores de marcas de agua y claves secretas. En despliegues de múltiples claves, pueden atribuir directamente las salidas a entidades específicas.
2. Observadores Externos: Entidades sin acceso a claves o detectores. Confían en salidas observables y aprendizaje estadístico para inferir la identidad de la fuente explotando patrones persistentes dependientes de la clave inducidos por el proceso de marca de agua.

El estudio formaliza la reidentificación de entidades como la tarea de determinar si dos salidas provienen de la misma entidad. Los autores evalúan esto bajo marcas de agua de cero bits (donde no se codifica ningún mensaje de identidad explícito) en las modalidades de texto e imagen.

• Modelos: Qwen2.5-14B para texto y Stable Diffusion v2.1 para imágenes.
• Métodos de Marca de Agua: Múltiples esquemas de cero bits que incluyen KGW, Unigram, EWD, MorphMark, EXP, IE, SWEET, SEMSTAMP, SynthID, TreeRing, Wind y Gaussian Shading.
• Configuración Experimental: Un despliegue de múltiples claves donde se asignan claves únicas a entidades distintas. Los autores utilizan configuraciones con prompts coincidentes para asegurar que la atribución dependa de la estructura inducida por la marca de agua y no de diferencias en los prompts.
• Métricas:
  • Interna: Precisión de atribución Top-1 (TPR@1%FPR).
  • Externa: Precisión de clasificación Top-1 y Top-3 utilizando clasificadores aprendidos (BERT-Base para texto, CLIP-RN50 para imágenes) entrenados en características observables.
• Controles: Las líneas base incluyen la generación sin marca de agua y despliegues de clave compartida para aislar el efecto de la estructura dependiente de la clave.

Contribuciones Clave

1. Modelo de Amenaza Basado en Observadores: El artículo formaliza un modelo de amenaza donde los observadores agregan señales a través de las salidas para realizar inferencia a nivel de entidad, distinguiendo entre monitoreo inherente (interno) y monitoreo emergente (externo).
2. Monitoreo Inherente en Esquemas de Cero Bits: Los autores demuestran que el monitoreo es inevitable en despliegues de múltiples claves incluso para marcas de agua de cero bits. Claves distintas inducen estructuras estadísticas persistentes que permiten a los observadores internos atribuir salidas sin codificación explícita de identidad.
3. Monitoreo Externo Emergente: El estudio muestra que los observadores externos pueden aprender a identificar entidades generadoras a lo largo del tiempo agregando señales débiles, incluso sin acceso a claves o detectores. Esta capacidad emerge de la estructura estadística introducida por el diseño de la marca de agua.
4. Tensión de Doble Uso: El trabajo destaca una tensión fundamental entre los usos previstos de la marca de agua (atribución, seguridad) y sus capacidades no intencionadas (seguimiento, filtración de privacidad), argumentando que los protocolos de evaluación deben extenderse más allá de la robustez por muestra.

Resultados

• Atribución Interna: Bajo marca de agua de cero bits con múltiples claves, los observadores internos lograron una precisión de atribución casi perfecta (TPR@1%FPR) en todos los métodos probados. El rendimiento se mantuvo alto incluso cuando el número de entidades aumentó de 4 a 16, con una degradación solo leve. Esto confirma que los esquemas de cero bits apoyan inherentemente el seguimiento confiable de entidades cuando las claves son distintas.
• Reidentificación Externa: Los observadores externos inicialmente realizaron adivinanzas cercanas al azar, pero mostraron una mejora sustancial a medida que aumentaba el número de muestras observadas por entidad.
  • Para texto (KGW) con 16 entidades, la precisión Top-1 aumentó de ~11.3% a 73.0% con 4,000 muestras por entidad.
  • Para imágenes (TreeRing), la convergencia fue más rápida, alcanzando una precisión Top-1 del 91.0% con 16 entidades y 4,000 muestras.
• Experimentos de Control:
  • Sin Marca de Agua: La precisión de identificación colapsó al azar, confirmando que la señal no es inherente al modelo o a los prompts.
  • Clave Compartida: Cuando todas las entidades utilizaron la misma clave, la precisión de identificación también colapsó al azar, demostrando que la capacidad de monitoreo depende específicamente de la estructura estadística dependiente de la clave.

Significado y Afirmaciones
El artículo afirma que la marca de agua debe reevaluarse como una tecnología de monitoreo y no solo como una herramienta de procedencia. Los autores afirman que:

• El Monitoreo es Inevitable: Una vez que se despliegan claves por entidad, el monitoreo interno es una consecuencia directa del diseño del sistema y no puede prevenirse técnicamente sin sacrificar la utilidad de atribución (por ejemplo, mediante el uso de claves globales compartidas).
• Capacidades Emergentes: El monitoreo externo es una propiedad emergente que depende del diseño de la marca de agua. Si bien los esquemas que preservan la distribución o son indetectables pueden mitigar los riesgos externos, no eliminan las capacidades de monitoreo interno en configuraciones de múltiples claves.
• Brecha de Evaluación: Los protocolos de evaluación actuales subestiman significativamente las capacidades de monitoreo de los sistemas de marca de agua. Los autores recomiendan que las futuras evaluaciones informen explícitamente la precisión de atribución como función del número de entidades y muestras observadas a lo largo del tiempo.

Los autores concluyen que los esfuerzos regulatorios y de estandarización (como la Ley de IA de la UE) están incompletos si tratan la marca de agua únicamente como un mecanismo para la procedencia. Solicitan un debate más amplio sobre la gobernanza de los sistemas de marca de agua, enfatizando la necesidad de transparencia respecto a su capacidad inherente para habilitar el seguimiento y la inferencia a lo largo del tiempo.