GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures

Resumen Técnico de GoodDiffusion

Planteamiento del Problema
El artículo aborda el desafío crítico de desarrollar un mecanismo de protección de derechos de autor (CP) proactivo para los modelos de puente de difusión (DBM), específicamente para tareas de Imagen-a-Imagen (I2I). Las defensas existentes son mayoritariamente post-hoc (por ejemplo, marcas de agua y huellas digitales), que solo proporcionan evidencia de uso no autorizado después de que la generación ha ocurrido, o estrategias de solo degradación (por ejemplo, PCDiff), que reducen la calidad de la salida pero no logran prevenir completamente la generación no autorizada. Los autores argumentan que estos métodos son insuficientes para el despliegue en el mundo real, donde los derivados no autorizados pueden propagarse antes de su detección. El problema central es diseñar un mecanismo que prevenga completamente la generación no autorizada a nivel de modelo manteniendo una alta calidad de salida para los usuarios autorizados, incluso en un escenario de caja blanca (white-box) donde un adversario tiene acceso total a los parámetros y la arquitectura del modelo.

Metodología: GoodDiffusion
El marco propuesto, GoodDiffusion, se inspira en los mecanismos de puerta trasera (backdoor), pero invierte su objetivo: en lugar de forzar salidas incorrectas con un activador (trigger), fuerza salidas de alta calidad solo cuando está presente una firma válida.

1. Mecanismo Central (Puerta Trasera para el Bien):
   El método entrena al DBM para exhibir dos comportamientos distintos basados en la entrada:

   • Trayectoria Autorizada: Si la entrada contiene una firma válida, el modelo sigue un puente de difusión para generar imágenes objetivo de alta calidad.
   • Trayectoria No Autorizada: Si la entrada es "limpia" (carece de una firma válida), el modelo es dirigido para generar una imagen de advertencia predefinida (por ejemplo, una imagen con texto de advertencia), cortando efectivamente el uso no autorizado.

2. Implementación Ingenua (Firmas Estáticas):
   Inicialmente, los autores exploran un enfoque ingenuo utilizando un patrón de perturbación fijo (firma estática $k$) inyectado en la entrada. El modelo se entrena sobre una mezcla de entradas autorizadas ($x_1 + k$) e entradas no autorizadas ($x_1$) mapeadas a un objetivo de advertencia.

   • Vulnerabilidad: El artículo demuestra teóricamente (Teorema 4.1) que las firmas estáticas son fundamentalmente frágiles en escenarios de caja blanca. Un adversario con acceso al modelo puede recuperar eficientemente una firma sustituta ($N^*$) mediante optimización basada en gradientes que imite el efecto de la firma original, eludiendo así la protección.

3. Solución Propuesta (Red de Firma Aprendible - LSN):
   Para abordar la vulnerabilidad de las firmas estáticas, GoodDiffusion introduce las Firmas Específicas de la Muestra.

   • Arquitectura: Una Red de Firma Aprendible (LSN), denotada como $g_\phi(\cdot)$, es entrenada para generar una firma única $k(x_1)$ condicionada a cada entrada específica $x_1$.
   • Inyección: La entrada autorizada se forma como $\tilde{x}_1 = \gamma \cdot x_1 + (1-\gamma) \cdot k(x_1)$, mezclando la información semántica original con la firma dinámica.
   • Lógica de Seguridad: A diferencia de las firmas estáticas que representan un desplazamiento de vector fijo en el espacio de píxeles, las firmas específicas de la muestra crean un variedad (manifold) de imagen deformada no linealmente. Este diseño rompe la "universalidad" de la firma; una firma sustituta recuperada para una entrada no puede transferirse a otra. En consecuencia, incluso si un adversario recupera una firma para una muestra específica, esta falla al generalizarse a otras entradas, evitando la elusión del mecanismo de protección.

Contribuciones Clave

• Control Proactivo a Nivel de Modelo: GoodDiffusion se presenta como un primer paso hacia el cambio de la protección de derechos de autor de un análisis post-hoc de la salida a una prevención internalizada a nivel de modelo. Impone una política de "Sin boleto, no hay viaje" donde los usuarios no autorizados reciben solo una imagen de advertencia.
• Perspectiva Teórica sobre Firmas Estáticas: El artículo proporciona una prueba teórica de que los diseños de firmas estáticas ingenuos son vulnerables a la recuperación de sustitutos basados en gradientes en entornos de caja blanca, resaltando la necesidad de diseños dinámicos dependientes de la entrada.
• Red de Firma Aprendible (LSN): La introducción de la LSN para generar firmas dependientes de la entrada, lo que mitiga efectivamente la transferibilidad de las firmas sustitutas y mejora la seguridad contra adversarios de caja blanca.
• Evaluación Exhaustiva: Experimentos extensos en CelebA e ImageNet a través de tres tareas de I2I (Super-Resolución, Inpainting, Deblurring) utilizando varios DBM (DDBM, I2SB, DBIM).

Resultados Experimentales

• Efectividad de la Protección: GoodDiffusion logra una Tasa de Abuso (AR) de casi 0% (por ejemplo, < 0.06% en CelebA) para entradas no autorizadas, lo que significa que el modelo se niega con éxito a generar imágenes objetivo de alta calidad sin firmas válidas. En contraste, cuando un adversario intenta usar una firma sustituta recuperada en el diseño estático, la AR aumenta a ~98%, confirmando la vulnerabilidad de las firmas estáticas.
• Calidad de Generación: Para los usuarios autorizados (con una firma válida), el modelo mantiene una calidad de generación satisfactoria. Aunque hay una ligera caída en el rendimiento en comparación con las líneas base sin protección (medido por FID, PSNR y SSIM), los resultados siguen siendo competitivos. Por ejemplo, en Super-Resolución en CelebA con DDBM-VP, el SSIM supera ligeramente a la línea base.
• Tasa de Error: La Tasa de Error (ER) —la fracción de solicitudes autorizadas bloqueadas incorrectamente— se mantiene muy baja (por ejemplo, 0.06% a 0.25%), lo que indica una alta fiabilidad para los usuarios legítimos.
• Validación de Seguridad: Los experimentos que simulan ataques de caja blanca muestran que, mientras que las firmas estáticas son fácilmente eludidas por sustitutos recuperados, el diseño de firma específica de la muestra resulta en una mala calidad de generación (alto FID, bajo PSNR) incluso cuando un adversario intenta optimizar un sustituto, confirmando la falta de un sustituto universal.

Significado y Reivindicaciones
El artículo afirma que GoodDiffusion ofrece una solución proactiva y práctica al robo de modelos que complementa las protecciones existentes a nivel de software (como la autenticación). Al separar el despliegue del modelo del servicio de firma (mantenido por el propietario), el método asegura que incluso si un modelo es robado y el ladrón tiene acceso total de caja blanca, no podrá utilizarlo para la generación de alta calidad sin las firmas dinámicas. Los autores posicionan este trabajo como un paso significativo hacia la seguridad de los modelos de difusión como propiedades intelectuales valiosas, yendo más allá de la detección pasiva hacia la prevención activa de la inferencia no autorizada. El código se pone a disposición para facilitar la investigación posterior en esta área.