🤖 machine learning

Cert-LAS: Toward Certified Model Ownership Verification for Text-to-Image Diffusion Models via Layer-Adaptive Smoothing

Este artículo presenta Cert-LAS, el primer método certificado de verificación de propiedad de modelos para modelos de difusión de texto a imagen que utiliza suavizado adaptativo por capas para garantizar la detección fiable de marcas de agua incluso bajo ataques maliciosos de eliminación.

Autores originales: Leyi Qi, Yiming Li, Siyuan Liang, Zhengzhong Tu, Dacheng Tao

Publicado 2026-05-29

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Leyi Qi, Yiming Li, Siyuan Liang, Zhengzhong Tu, Dacheng Tao

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres un artista que ha pasado años y una fortuna entrenando a un robot mágico para pintar cuadros basados en tu estilo específico. Llamas a este robot "Modelo de Difusión Texto-a-Imagen". Ahora, imagina que alguien roba tu robot, lo modifica ligeramente y afirma que es suyo. ¿Cómo demuestras que en realidad es tuyo?

Este es el problema que el artículo Cert-LAS intenta resolver.

El Problema: El "Fragil" Apretón de Manos Secreto

Actualmente, muchas personas intentan proteger sus modelos de IA utilizando un método de "puerta trasera". Piensa en esto como un apretón de manos secreto. Entrenas a tu robot para que, si le susurras una frase específica y extraña (un "disparador"), produzca una imagen con una marca oculta. Si alguien más tiene tu robot, le susurras la frase y, si aparece la marca, sabes que eres el dueño.

El artículo argumenta que este viejo método tiene dos grandes defectos:

Es demasiado obvio: La frase extraña o la marca oculta son como un letrero de neón que dice "¡Soy un secreto!". Un ladrón puede detectarlo fácilmente y eliminarlo.
Es demasiado frágil: Si el ladrón golpea accidentalmente al robot (cambios aleatorios) o intenta romper intencionalmente el apretón de manos secreto (ataques adversarios), la marca desaparece y ya no puedes probar la propiedad.

Los autores dicen que los métodos existentes asumen que el ladrón jugará limpio y no tocará el cerebro del robot. Pero en el mundo real, los ladrones intentarán romper el sello.

La Solución: Cert-LAS (El Escudo "Adaptativo por Capas")

Los autores proponen un nuevo método llamado Cert-LAS. En lugar de un apretón de manos secreto frágil, construyen un escudo "certificado" que está matemáticamente probado para sobrevivir a los ataques.

Así es como funciona, usando analogías simples:

1. El Ruido "Adaptativo por Capas" (La Manta Personalizada)

Imagina que tu robot de IA es un pastel de múltiples capas. Algunas capas son el "glaseado" (muy sensibles a los cambios) y otras son la "esponja" (muy resistentes).

Los métodos antiguos trataban todo el pastel igual, sacudiéndolo uniformemente.
Cert-LAS es inteligente. Primero verifica qué capas del pastel son "inestables" (sensibles al ajuste fino). Luego envuelve esas capas inestables en mantas protectoras extra gruesas (ruido), mientras deja las capas resistentes con mantas más delgadas.
¿Por qué? Al centrar la protección en los puntos débiles, todo el pastel se vuelve mucho más difícil de romper. Esto se llama Suavizado Adaptativo por Capas.

2. La Marca de Agua "Sin Disparador" (La Tinta Invisible)

En lugar de usar una frase secreta extraña (un disparador) que los ladrones puedan encontrar, Cert-LAS utiliza un truco llamado Clasificador de Difusión.

Imagina que entrenas a tu robot para pintar un cuadro de un Gato.
Normalmente, el robot pinta un gato.
Con Cert-LAS, entrenas al robot para que, cuando le pidas un "Gato", pinte secretamente una imagen que parece un gato pero que es matemáticamente "clasificada" por tu decodificador secreto como un Perro.
La Magia: Para el ladrón, la imagen parece un gato perfecto. No hay palabras extrañas ni píxeles ocultos. Pero cuando la ejecutas a través de tu decodificador secreto, grita "¡PERRO!", demostrando que el modelo es tuyo. Como no hay un "disparador" que encontrar, el ladrón no puede auditarlo ni eliminarlo.

3. La Garantía "Certificada" (La Promesa Matemática)

La parte más importante es la palabra Certificado.

Los autores no solo probaron esto y esperaron que funcionara. Utilizaron matemáticas pesadas para probar un "radio de seguridad".
Demostraron que, siempre que el ladrón no cambie el cerebro del robot más allá de cierta cantidad (un límite matemático específico), tu señal secreta de "Gato-como-Perro" no puede ser eliminada.
Es como decir: "Puedo garantizar matemáticamente que si intentas romper mi cerradura con un martillo de menos de 5 libras, la cerradura no se abrirá".

Cómo lo Probaron

Los investigadores probaron Cert-LAS contra:

Daño accidental: Como el ajuste fino del modelo en nuevos datos (por ejemplo, enseñarle a dibujar caricaturas).
Ataques intencionales: Ladrones intentando borrar específicamente la marca de agua utilizando técnicas avanzadas de hacking.

Los Resultados:

Métodos antiguos: La marca de agua desapareció rápidamente cuando el modelo fue modificado o atacado.
Cert-LAS: La marca de agua sobrevivió a casi todo. Incluso cuando el modelo fue modificado intensamente, la señal de "Gato-como-Perro" permaneció lo suficientemente fuerte para probar la propiedad.
Calidad: Las imágenes generadas por el modelo con marca de agua seguían viéndose excelentes; la marca de agua no arruinó el arte.

Resumen

Cert-LAS es una nueva forma de proteger los generadores de arte de IA. En lugar de usar un código secreto frágil y fácil de detectar, utiliza un escudo inteligente y matemáticamente probado que oculta la señal de propiedad dentro del comportamiento natural del modelo. Garantiza que, a menos que un ladrón destruya completamente la capacidad del modelo para funcionar, no podrá eliminar la prueba de que el modelo pertenece al creador original.

Resumen Técnico: Cert-LAS

Enunciado del Problema

Los modelos de difusión de texto a imagen (T2I) a gran escala representan activos de propiedad intelectual significativos, pero son vulnerables a la copia no autorizada, la redistribución y el mal uso. La Verificación de Propiedad del Modelo (MOV) es crítica para proteger estos activos. Los métodos MOV existentes para modelos de difusión T2I dependen principalmente de la marca de agua basada en puertas traseras, que incrustan detonantes privados (por ejemplo, tokens raros) para activar comportamientos específicos de la marca de agua.

Los autores identifican dos limitaciones fundamentales en los enfoques actuales:

Fragilidad bajo Auditoría: Los métodos existentes a menudo asumen implícitamente un proceso de verificación "fiel" donde el verificador puede consultar un modelo y obtener una respuesta de marca de agua estable. Sin embargo, en entornos adversarios, los detonantes pueden ser detectados y eliminados. Los experimentos muestran que los detonantes sintéticos son a menudo detectables ya sea en el espacio del prompt (mediante incongruencia contextual) o en el espacio de la imagen (mediante métricas de similitud), comprometiendo el sigilo.
Falta de Robustez Certificada: Los métodos actuales carecen de garantías teóricas contra perturbaciones de parámetros. Los experimentos demuestran que tanto las perturbaciones aleatorias no intencionales como las perturbaciones adversarias intencionalmente diseñadas pueden degradar significativamente la fiabilidad de la verificación. Aunque la robustez certificada existe para clasificadores a pequeña escala mediante suavizado aleatorizado, no se ha adaptado con éxito a los modelos de difusión T2I debido a su estimación de puntuación continua de alta dimensión y a las prohibiciones computacionales del entrenamiento certificado a esta escala.

Metodología: Cert-LAS

El artículo propone Cert-LAS (Suavizado Adaptativo a Capas Certificado), el primer método MOV certificado para modelos de difusión T2I. El método opera en dos etapas:

1. Incrustación de Marca de Agua (Sin Detonantes)

En lugar de utilizar detonantes explícitos, Cert-LAS incrusta una marca de agua entrenando al generador de difusión para inducir una mala clasificación bajo un clasificador de difusión privado.

Clasificador de Difusión como Portador de Marca de Agua: El método aprovecha el hallazgo de que los modelos de difusión pueden funcionar como clasificadores generativos. Se utiliza un clasificador de difusión privado congelado para definir una distribución posterior objetivo. El generador se entrena para producir imágenes que sean mal clasificadas por este clasificador privado (por ejemplo, generar imágenes de "gatos" que el clasificador identifica como "perros") mientras mantiene la fidelidad perceptual con la generación original mediante un regularizador de consistencia perceptual (MS-SSIM).
Suavizado Adaptativo a Capas: Para lograr robustez certificada, el método inyecta ruido en los parámetros del modelo durante el entrenamiento. Crucialmente, emplea Ruido Adaptativo a Capas en lugar de ruido uniforme.
- Sensibilidad de Ajuste Fino por Capa (LFS): Los autores definen un indicador LFS basado en la norma L2 promedio de las actualizaciones de parámetros durante el ajuste fino. Observan que ciertas capas de UNet (por ejemplo, bloques de normalización y atención) son consistentemente más sensibles al ajuste fino a través de diversos conjuntos de datos.
- Asignación de Ruido: Los niveles de ruido se asignan proporcionalmente al LFS de cada capa. Se concentra más ruido en las capas "vulnerables" para ampliar la región certificable, mientras que el presupuesto total de ruido permanece equivalente a las bases uniformes.
Programa de Crecimiento Exponencial: Para hacer que la optimización robusta sea computacionalmente viable, se adopta un programa de crecimiento exponencial. Esto aumenta progresivamente el número de muestras de ruido para el promediado de gradientes durante el entrenamiento, aprovechando el hecho de que los gradientes tempranos son similares entre las muestras de ruido.

2. Verificación de Propiedad

La verificación se realiza examinando si un modelo sospechoso exhibe respuestas de marca de agua significativamente más fuertes en comparación con una referencia sin marca de agua.

Estadísticas: Se calculan dos estadísticas bajo suavizado adaptativo a capas:
- Robustez de Marca de Agua (WR): La probabilidad empírica de que las imágenes del modelo sospechoso sean clasificadas como la clase objetivo por el clasificador de difusión privado.
- Probabilidad de Referencia (RP): La misma probabilidad para un generador de referencia sin marca de agua.
Prueba de Hipótesis: Se emplea una prueba t de muestras apareadas. El modelo sospechoso se verifica como derivado del modelo protegido si su WR es significativamente mayor que la RP de la referencia.
Garantías Certificadas: Los autores derivan un umbral de forma cerrada para WR y prueban una cota inferior para la brecha entre WR y RP. Establecen un radio certificado ( $R^*$ ), garantizando que si las perturbaciones de parámetros permanecen dentro de este radio, la verificación de propiedad tendrá éxito.

Contribuciones Clave

Revisión de Limitaciones: El artículo revela que los métodos existentes de marca de agua basados en puertas traseras sufren de detectabilidad en espacios de prompt/imagen y una falta de robustez contra perturbaciones de parámetros.
Marco Cert-LAS: Introduce el primer método de marca de agua certificado para modelos de difusión T2I, utilizando un clasificador de difusión como portador implícito y sin detonantes, e introduciendo un suavizado aleatorizado adaptativo a capas diseñado específicamente para arquitecturas UNet.
Análisis Teórico: El trabajo proporciona un análisis teórico que establece garantías de robustez, incluyendo un umbral de verificación de forma cerrada y un radio certificado bajo perturbaciones de parámetros acotadas.
Validación Empírica: Experimentos extensos validan la efectividad del método, demostrando alta fidelidad, sigilo y resistencia tanto a ataques de eliminación no intencionales (ajuste fino) como intencionales (adversarios).

Resultados Experimentales

Los autores evalúan Cert-LAS en Stable Diffusion v1.4 frente a bases de comparación como WatermarkDM y SleeperMark.

Efectividad y Sigilo: Cert-LAS logra una tasa de éxito de verificación (VSR) de 1.000 y una Tasa de Verdaderos Positivos a una Tasa de Falsos Positivos de $10^{-6}$ (T@10⁻⁶F) de 1.000. Sus puntuaciones de sigilo (sospecha en espacios de prompt e imagen) son significativamente más bajas que los métodos basados en puertas traseras (por ejemplo, <0.125 frente a >93% para WatermarkDM).
Robustez al Ajuste Fino: Bajo diversos escenarios de ajuste fino (LoRA, DreamBooth, Custom Diffusion y ajuste fino completo en diversos conjuntos de datos), Cert-LAS mantiene T@10⁻⁶F por encima de 0.987, mientras que las bases de comparación a menudo caen a 0.000 después de pasos limitados.
Robustez a Ataques Adversarios: Bajo perturbaciones de parámetros acotadas en $\ell_2$ , Cert-LAS con suavizado mantiene T@10⁻⁶F por encima de 0.965 incluso con un presupuesto de 0.8, donde todas las bases de comparación fallan completamente.
Generalización: El método demuestra generalización a través de diferentes arquitecturas (SDXL, Sana-1.6B) y tareas de clasificación (diferentes pares de clases, plantillas de prompt y configuraciones multiclase).
Eficiencia: El programa de crecimiento exponencial reduce el tiempo de entrenamiento en un 76.6% en comparación con una base de entrenamiento robusto sin programación.

Significado y Afirmaciones

El artículo afirma que Cert-LAS aborda la brecha crítica en la protección de modelos de difusión T2I al proporcionar garantías de robustez demostrables contra ataques adaptativos, una característica previamente ausente en las marcas de agua de difusión. Al cambiar de una incrustación basada en detonantes a una basada en clasificadores sin detonantes, y utilizar un suavizado adaptativo a capas, el método logra un equilibrio entre sigilo, fidelidad de generación y fiabilidad certificada.

Los autores posicionan este trabajo como un paso hacia el intercambio confiable de modelos de difusión. Enfatizan que el método es puramente defensivo, destinado a la verificación legítima por parte de propietarios autorizados y autoridades de confianza. Al garantizar que las marcas de agua no pueden eliminarse sin degradar la utilidad del modelo (como se muestra en experimentos de compresión), el método apoya mecanismos de licenciamiento ejecutables y de rendición de cuentas en el ecosistema de IA generativa. El trabajo no afirma resolver todos los problemas de PI, sino que proporciona una herramienta específica y teóricamente fundamentada para verificar la propiedad en presencia de modificaciones maliciosas acotadas.