Resumen Técnico: Marca de Agua a Nivel de Dinámica en Modelos de Flow Matching con Códigos Aleatorios

1. Enunciado del Problema

El artículo aborda la necesidad de una protección robusta y verificable de la propiedad para modelos generativos, específicamente los modelos de Flow Matching. Los paradigmas existentes de marcas de agua sufren limitaciones específicas:

• Los métodos a nivel de salida incrustan señales en las muestras generadas, pero pueden eliminarse mediante posprocesamiento y no prueban la propiedad del propio modelo.
• Los métodos a nivel de pesos incrustan bits en los parámetros, pero requieren acceso de caja blanca y son frágiles ante el ajuste fino o la poda.
• Los métodos a nivel de comportamiento (puertas traseras) soportan la verificación de caja negra, pero a menudo introducen artefactos visibles, irregularidades estadísticas o carecen de un cifrado criptográfico fuerte (una vez que se encuentra el desencadenante, la verificación es trivial).

Además, ningún trabajo previo ha incrustado marcas de agua directamente en las dinámicas continuas aprendidas (el campo de velocidades) de un proceso generativo. Los autores plantean la pregunta central: ¿Puede un mensaje de múltiples bits, verificable y con clave, incrustarse directamente en el campo de velocidades de un modelo de flow matching de tal manera que la detección requiera solo acceso de caja negra, se preserve la calidad de generación y la recuperación sea imposible sin una clave secreta?

2. Metodología

Concepto Central: Codificación Aleatoria sobre Dinámicas de Transporte

Los autores formulan la marca de agua como codificación aleatoria sobre un canal continuo. En lugar de modificar pesos o salidas, tratan el campo de velocidades aprendido $v_\theta(x, t)$ como un canal continuo de alta dimensión. Un mensaje se incrusta añadiendo una perturbación dependiente de la clave a este campo de velocidades.

Construcción de la Señal de Marca de Agua

La señal de marca de agua $s_{K,m}(x, t)$ se construye para satisfacer tres condiciones: media cero en el tiempo (para preservar la calidad), ortogonalidad aproximada (para la separación de mensajes) y normalización de energía.

• Clave ($K$): Consiste en una matriz de proyección semi-ortogonal $P \in \mathbb{R}^{D \times k}$ y un libro de códigos $C = \{c_m\}$ de vectores unitarios en $\mathbb{R}^k$.
• Definición de la Señal: Para un mensaje $m$, la señal se define como:
  $$s_{K,m}(x, t) = \sin(2\pi t) \cdot P c_m$$
  Aquí, $P c_m$ incrusta la palabra de código en el espacio de velocidades, mientras que $\sin(2\pi t)$ actúa como una portadora temporal.
• Propiedad de Media Cero: La integral de $\sin(2\pi t)$ sobre $t \in [0, 1]$ es cero. En consecuencia, la perturbación se integra a cero a lo largo de cualquier trayectoria generativa, preservando teóricamente la distribución terminal de las muestras generadas.

Procedimiento de Entrenamiento (Incrustación)

Durante el entrenamiento de Flow Matching, el modelo se optimiza para minimizar una función de pérdida combinada:

1. Pérdida de Velocidad ($L_{vel}$): Regresa la velocidad del modelo $v_\theta$ contra un objetivo marcado $\tilde{v} = u + \epsilon_0 s_{K,m}$, donde $u$ es la velocidad condicional estándar.
2. Pérdida de Marca de Agua ($L_{wm}$): Un término de regularización que recompensa al modelo por producir vectores de velocidad cuya proyección demodulada ($\sin(2\pi t) P^T v_\theta$) se alinea con la palabra de código objetivo $c_m$.

El análisis teórico muestra que el predictor óptimo bajo este objetivo incluye una fuerza de marca de agua efectiva de $\epsilon_0 + \lambda/2$.

Procedimiento de Detección (Caja Negra)

La detección requiere solo acceso de consulta al campo de velocidades del modelo.

1. Consulta: El detector muestrea $N$ puntos aleatorios $(x_i, t_i)$ y consulta al modelo para obtener las velocidades $v(x_i, t_i)$.
2. Demodulación Síncrona: El detector proyecta las velocidades al espacio de código latente ($P^T v$) y las multiplica por la portadora temporal $\sin(2\pi t_i)$.
3. Promedio: Los resultados se promedian para estimar la firma $\hat{s}$.
4. Decodificación: El mensaje se recupera encontrando la palabra de código $c_m$ en el libro de códigos que maximiza la correlación con $\hat{s}$.

Seguridad y Capacidad

• Seguridad: Sin la clave secreta ($P$ y $C$), un atacante enfrenta un problema de búsqueda en subespacio sobre la variedad de Grassmann $Gr(k, D)$ y un problema de no identificabilidad respecto a la base del subespacio. Empíricamente, la detección con una clave incorrecta produce una precisión al nivel del azar.
• Capacidad: La capacidad del canal escala linealmente con la dimensión de proyección $k$ y logarítmicamente con el número de consultas $N$.

3. Contribuciones Clave

1. Incrustación a Nivel de Dinámica: Primer trabajo que incrusta marcas de agua directamente en el campo de velocidades continuo de los modelos de flow matching, en lugar de en pesos o salidas.
2. Preservación de la Calidad: Diseñó una perturbación que se integra a cero sobre las trayectorias, asegurando que la distribución generada permanezca estadísticamente indistinguible de la versión sin marca de agua.
3. Seguridad con Clave: Implementó un esquema donde la detección y la recuperación del mensaje requieren estrictamente una clave secreta (matriz de proyección y libro de códigos); sin ella, la precisión cae a una adivinanza aleatoria.
4. Capacidad de Múltiples Bits: Utilizó una construcción de libro de códigos para soportar mensajes de múltiples bits (más allá de la verificación binaria), habilitando aplicaciones como la identificación de propietarios y el rastreo de traidores.
5. Validación Empírica: Validó el método en MNIST y CIFAR-10 utilizando arquitecturas MLP y UNet.

4. Resultados Experimentales

Los autores evaluaron el método en diversos escenarios (MNIST/CIFAR-10, MLP/UNet, diferentes pasos de entrenamiento).

• Precisión de Detección: Los modelos marcados lograron una recuperación del 100% de los mensajes en todas las configuraciones probadas. Los modelos limpios (sin marca de agua) arrojaron un 0% de falsos positivos (o un 2.5% en un caso específico, por debajo de la línea base de adivinanza aleatoria del 3.1%).
• Seguridad con Clave: Los ataques que utilizaban una matriz de proyección aleatoria (clave incorrecta) resultaron en 0/50 recuperaciones correctas, coincidiendo con la tasa de adivinanza aleatoria.
• Separación Estadística: La separación entre las firmas de los modelos marcados y limpios fue significativa, con una separación mínima que superó 8.4$\sigma$ (hasta 25.5$\sigma$ en algunos escenarios).
• Preservación de la Calidad: Las relaciones de la Distancia de Inception Fréchet (FID) entre los modelos marcados y limpios se mantuvieron cercanas a 1.0$\times$ (oscilando entre 0.95$\times$ y 1.10$\times$). En algunos casos, los modelos marcados mostraron un FID marginalmente menor, atribuido a la variación aleatoria del entrenamiento y no a la marca de agua en sí.
• Persistencia: Extender el entrenamiento a 10,000 pasos no degradó la recuperación de la marca de agua.

5. Significado y Afirmaciones

El artículo afirma que la marca de agua a nivel de dinámica proporciona una base robusta para:

• Verificación de Propiedad del Modelo: Probar la propiedad de un modelo desplegado mediante consultas de caja negra.
• Rastreo de Traidores: Identificar copias específicas de un modelo distribuidas a diferentes clientes.
• Cumplimiento Normativo: Verificar el origen de los modelos generativos.

Los autores enfatizan que su enfoque trata el campo de velocidades aprendido como un canal de comunicación continuo, una perspectiva que podría tener utilidad más allá de las marcas de agua. Declaran explícitamente que, aunque el método muestra promesa, la evaluación a escala de despliegue y el análisis riguroso de la capacidad del canal en muestras finitas quedan para trabajos futuros. El artículo no afirma resolver la marca de agua para todas las familias de modelos generativos, sino que demuestra específicamente la eficacia dentro del marco de Flow Matching.