Resumen Técnico: FedOT - Verificación de Propiedad y Rastreo de Filtraciones mediante Marcas de Agua para LDMs Federados

1. Declaración del Problema

El artículo aborda la vulnerabilidad crítica de la Propiedad Intelectual (PI) en los Modelos de Difusión Latente Federados (FedLDMs). Si bien el Aprendizaje Federado (FL) preserva la privacidad de los datos al mantener los datos brutos de forma local, requiere compartir las actualizaciones globales del modelo, lo que expone la arquitectura del modelo a clientes maliciosos. Estos clientes pueden distribuir o revender los modelos ajustados sin autorización.

Las soluciones existentes enfrentan dos limitaciones fundamentales cuando se aplican a los FedLDMs:

1. Falta de Trazabilidad: Los métodos actuales pueden verificar si un modelo pertenece a un grupo federado (verificación de propiedad), pero no pueden identificar al cliente malicioso específico responsable de la filtración.
2. Vulnerabilidad a Ataques de Reemplazo: Las técnicas de marca de agua basadas en VAE estándar son frágiles en FL. Dado que los clientes normalmente solo actualizan los parámetros de la U-Net mientras que el Autoencoder Variacional (VAE) permanece congelado, un cliente malicioso puede simplemente reemplazar el decodificador VAE con una marca de agua por uno de código abierto y limpio. Esto elimina la marca de agua sin degradar la calidad de la generación de imágenes, haciendo que la protección sea ineficaz.

2. Metodología: Marco de Trabajo FedOT

Los autores proponen FedOT, el primer marco diseñado para permitir simultáneamente la verificación de propiedad y el rastreo de filtraciones para FedLDMs. El marco consta de dos componentes principales: un mecanismo de Marca de Agua Fragmentada (Chunked Watermark) y la Transformación de Vectores Latentes (LVT).

2.1 Diseño de la Marca de Agua Fragmentada

Para resolver la brecha de trazabilidad, FedOT emplea una marca de agua binaria de longitud $n$ bits, dividida en dos segmentos distintos incrustados en el decodificador VAE de cada modelo de cliente:

• Segmento de Propiedad ($r$ bits): Un prefijo compartido utilizado para verificar si un modelo filtrado se origina del grupo federado.
• Segmento de Rastreo ($n-r$ bits): Un sufijo único asignado a cada cliente específico.

Flujo de trabajo:

1. Verificación: Si los primeros $r$ bits de la marca de agua extraída coinciden con el prefijo del grupo (por encima de un umbral $\tau$), se confirma la propiedad.
2. Rastreo: Solo tras una verificación de propiedad exitosa, el sistema analiza los $n-r$ bits restantes para identificar el índice del cliente $j$ específico responsable de la filtración. Este proceso de dos etapas mejora la eficiencia en despliegues a gran escala.

2.2 Transformación de Vectores Latentes (LVT)

Para contrarrestar el ataque de reemplazo de VAE, FedOT introduce LVT, que crea una fuerte dependencia entre el VAE y la U-Net. La idea central es que la U-Net en los LDMs se adapta a la distribución latente específica producida por el codificador VAE durante el entrenamiento. Al modificar esta distribución, la U-Net queda "vinculada" al VAE específico.

Proceso de Entrenamiento de LVT (Dos Etapas):

1. Etapa I (Entrenamiento del Codificador): El servidor ajusta finamente el codificador VAE para aprender una transformación específica $T$ aplicada al vector latente $z$. El decodificador permanece fijo. El codificador aprende a mapear imágenes de entrada a un espacio latente transformado $z' = T(z)$.
2. Etapa II (Entrenamiento del Decodificador): El codificador se congela. El decodificador se ajusta finamente para reconstruir imágenes a partir del espacio latente transformado $z^*$, aprendiendo efectivamente la transformación inversa $T^{-1}$.

Estrategias de Transformación:
El artículo explora tres estrategias deterministas para desplazar la distribución latente:

• Traslación ($FedOT_{tran}$): Añade un vector constante $c$ al espacio latente ($z' = z + c$).
• Espejo ($FedOT_{mir}$): Invierte el vector latente ($z' = -z$).
• Negativo ($FedOT_{neg}$): Aplica la inversión píxel a píxel a la imagen de entrada ($x^- = 1-x$) antes de la codificación, forzando al espacio latente a adaptarse a este manifold invertido.

Mecanismo de Seguridad:
Si un cliente malicioso reemplaza el VAE con marca de agua por uno limpio, la U-Net (entrenada en la distribución transformada) recibirá entradas de un espacio latente desajustado. Esto causa una degradación severa en la calidad de la síntesis de imágenes, haciendo que el modelo robado sea inutilizable y disuadiendo el ataque de reemplazo.

3. Contribuciones Clave

El artículo afirma las siguientes contribuciones:

1. Primer Marco para FedLDMs: FedOT es el primer sistema que permite tanto la verificación de propiedad como el rastreo de filtraciones de clientes específicos para Modelos de Difusión Latente Federados.
2. Vinculación Robusta de Componentes: El LVT propuesto establece una fuerte dependencia entre el VAE y la U-Net. Asegura que la eliminación de la marca de agua mediante el reemplazo del VAE resulte en una degradación significativa de la calidad de la imagen, neutralizando eficazmente los ataques de reemplazo de costo cero.
3. Evaluación Exhaustiva: Los autores proporcionan experimentos extensos contra varios ataques, incluyendo el reemplazo de VAE, la purificación del modelo (ajuste fino con datos limpios) y ataques basados en imágenes, demostrando la fiabilidad del marco.

4. Resultados Experimentales

Los experimentos se realizaron utilizando Stable Diffusion v2.1 con los conjuntos de datos COCO2017 (para el entrenamiento de LVT/marca de agua) y LAION-10K (para el ajuste fino federado).

• Defensa contra Ataques de Reemplazo:
  • Los métodos de referencia (Stable Signature* y FedOT sin LVT) mostraron casi ninguna degradación en la calidad de la imagen (FID) tras el reemplazo del VAE, y las marcas de agua eran indetectables.
  • FedOT con LVT: Todas las variantes de LVT causaron aumentos significativos en el FID (degradación de calidad) tras el reemplazo.
    • $FedOT_{neg}$ mostró el mejor equilibrio: el FID aumentó aproximadamente 20 puntos (de ~20.3 a ~40.5), manteniendo una alta calidad de generación en el estado limpio.
    • $FedOT_{mir}$ causó la interrupción semántica más severa (caída de CLIP-Score de -0.064), haciendo que el contenido generado fuera prácticamente inutilizable.
• Rendimiento de Propiedad y Rastreo:
  • FedOT logró altas tasas de detección (>0.96) y precisión de bits (>0.94) tanto para la verificación de propiedad como para el rastreo de clientes.
  • El diseño de la marca de agua fragmentada permitió un rastreo eficiente solo cuando era necesario.
• Robustez:
  • Ataques de Purificación: El ajuste fino del modelo con datos limpios durante 300 épocas no logró eliminar la marca de agua sin degradar la calidad de la imagen (el FID aumentó significativamente).
  • Condiciones Federadas: El rendimiento se mantuvo estable a través de diferentes números de clientes (5, 10, 20) y distribuciones de datos no-i.i.d. (Dirichlet $\alpha$).

5. Significado y Reivindicaciones

El artículo posiciona a FedOT como una evolución necesaria para proteger la IA generativa dentro de entornos federados que preservan la privacidad. Los autores afirman que:

• Las soluciones de marca de agua de FL existentes son insuficientes para modelos generativos complejos como los LDMs debido a las diferencias arquitectónicas y la vulnerabilidad específica de los VAE congelados.
• El compromiso (trade-off) introducido por LVT es una característica de seguridad deliberada y efectiva: el costo de eliminar la marca de agua es la destrucción de la utilidad del modelo. Esto hace que el ataque sea poco práctico para actores maliciosos.
• El marco llena un vacío crítico en la literatura al ir más allá de la simple verificación de propiedad hacia el rastreo de la fuente, permitiendo a los grupos federados identificar y responsabilizar al cliente específico responsable de la filtración del modelo.

Los autores concluyen que FedOT proporciona un mecanismo fiable para asegurar los FedLDMs, garantizando que los derechos de propiedad intelectual se mantengan incluso en entornos de entrenamiento descentralizados.