🤖 machine learning

MeMark: Membrane-Space Watermarking for Spiking Neural Networks

MeMark introduce una técnica de marca de agua robusta para Redes Neuronales de Picos que incrusta identificadores de múltiples bits directamente en los estados de membrana internos de las neuronas, permitiendo una verificación de propiedad fiable incluso tras la sustitución de la cabeza de salida, el ajuste fino, la poda y la cuantización.

Autores originales: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

Publicado 2026-08-27

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el mundo de la inteligencia artificial, que evoluciona rápidamente, se está produciendo un cambio significativo hacia un tipo de cerebro informático que imita más de cerca el sistema nervioso humano que los modelos tradicionales. Estos sistemas, conocidos como redes neuronales de impulsos (spiking neural networks), no procesan la información en un flujo constante de números. En su lugar, se comunican mediante ráfagas breves y discretas de actividad, de forma muy similar a cómo las neuronas disparan en el cerebro. Permanecen en silencio hasta que una señal específica las activa, lo que las hace increíblemente eficientes en el uso de la energía. Debido a que el entrenamiento de estos sistemas avanzados requiere enormes cantidades de datos, computadoras potentes y un tiempo significativo, los modelos finales entrenados son activos valiosos. Las empresas e investigadores suelen lanzar estos modelos como puntos de partida preentrenados, permitiendo que otros construyan sobre ellos para nuevas tareas. Sin embargo, esta práctica crea una vulnerabilidad: si alguien toma un modelo lanzado, lo modifica ligeramente y reemplaza la parte que produce la respuesta final, puede borrar efectivamente cualquier prueba de que el creador original construyó el núcleo del sistema.

Para resolver este problema, un equipo de investigadores ha desarrollado un nuevo método llamado MeMark, que actúa como una firma oculta incrustada profundamente en el funcionamiento interno de estas redes de impulsos. A diferencia de los intentos anteriores para proteger los modelos de inteligencia artificial, que dependían de la verificación del resultado final o de los resultados visibles, MeMark esconde su evidencia dentro de las propias neuronas. Los investigadores se centraron en un tipo específico de neurona que mantiene una carga eléctrica interna, conocida como potencial de membrana. Esta carga se acumula con el tiempo hasta que alcanza un límite crítico, lo que provoca que la neurona dispare una señal y luego se reinicie. El equipo se dio cuenta de que podían utilizar este umbral de disparo natural como una cerradura secreta. Al ajustar cuidadosamente el proceso de entrenamiento, pueden forzar a neuronas específicas a mantener su carga justo por encima o justo por debajo de este límite de disparo cuando se presenta una entrada secreta y oculta. Esto crea un patrón de estados de "disparo" y "no disparo" que corresponde a un código secreto, escribiendo efectivamente una contraseña de varios dígitos en el estado eléctrico de la red.

La brillantez de este enfoque reside en cómo se lee y cómo sobrevive a los cambios. Para verificar la propiedad de un modelo, el propietario no necesita entrenar un decodificador separado ni aprender una nueva forma de interpretar los datos. Simplemente presenta la entrada secreta y comprueba la carga interna de las neuronas seleccionadas. Si la carga está por encima del límite, cuenta como un uno; si está por debajo, cuenta como un cero. Debido a que el umbral es una parte integrada en el diseño de la neurona, el proceso de verificación es inmediato y no requiere aprendizaje adicional. Este método demostró ser notablemente resistente. En pruebas que involucraron un modelo de lenguaje masivo con más de 200 millones de parámetros, los investigadores incrustaron veinte claves secretas diferentes. Incluso cuando el modelo fue modificado intensamente —como al eliminar el noventa por ciento de sus conexiones, comprimir sus datos o reemplazar completamente las capas finales que generan texto— la firma oculta permaneció intacta. La evidencia interna sobrevivió a estos cambios drásticos, mientras que los marcadores de salida visibles utilizados en métodos anteriores fueron fácilmente borrados.

Los investigadores también abordaron un truco astuto que un reclamante deshonesto podría intentar: inspeccionar un modelo y luego diseñar una clave falsa que resulte coincidir con los estados internos existentes del modelo. Para prevenir esto, el sistema requiere un registro con marca de tiempo creado antes de que el modelo sea lanzado. Este registro vincula la clave secreta a la versión específica del modelo en ese momento. Si alguien intenta reclamar la propiedad más tarde mediante la ingeniería inversa de una clave, no podrá producir este registro previo, demostrando que su reclamo es falso. El estudio mostró que, si bien un atacante podría efectivamente crear una clave que coincidiera con el modelo si se le permitiera mirar en su interior primero, no podría eludir el requisito del compromiso con marca de tiempo original. Además, el sistema fue probado contra miles de claves aleatorias, y ninguna coincidió accidentalmente con los modelos protegidos, asegurando que la evidencia sea específica y fiable.

Este trabajo demuestra que la propiedad de la inteligencia artificial compleja puede protegerse incluso cuando el modelo es reutilizado o alterado. Al incrustar la prueba directamente en el comportamiento eléctrico fundamental de las neuronas, en lugar de en la salida final, los investigadores han creado una firma que es difícil de eliminar sin destruir la capacidad de funcionamiento del modelo. El método funciona a través de diferentes tipos de arquitecturas de red, desde estructuras repetitivas simples hasta sistemas complejos basados en transformadores utilizados para el lenguaje. Aunque el sistema es robusto, los investigadores señalaron que si un atacante conoce la entrada secreta exacta y la ubicación específica de las neuronas ocultas, podría potencialmente atacarlas y eliminarlas. Sin embargo, sin ese conocimiento secreto, la marca de agua sigue siendo una forma persistente y fiable de evidencia, asegurando que los creadores originales puedan demostrar su trabajo incluso después de que el modelo haya pasado por muchas manos y haya sido modificado para nuevos usos.

Resumen Técnico: MeMark – Marcas de Agua en el Espacio de Membrana para Redes Neuronales de Picos

1. Planteamiento del Problema

Las Redes Neuronales de Picos (SNN, por sus siglas en inglés) se distribuyen cada vez más como puntos de control (checkpoints) preentrenados y se reutilizan como arquitecturas base para nuevas tareas. Aunque el marcado de agua de modelos es una técnica estándar para proteger las Redes Neuronales Profundas (DNN), los métodos actuales de marcas de agua para SNN enfrentan una vulnerabilidad crítica en el escenario de reutilización de puntos de control. Las marcas de agua actuales para SNN se verifican principalmente contra la salida del modelo (por ejemplo, mediante respuestas temporales o salidas dependientes de disparadores). En consecuencia, un adversario que reemplace la cabeza de salida (las capas finales específicas de la tarea) puede eliminar la evidencia de la marca de agua manteniendo la gran mayoría de los pesos y la estructura interna de la red original. Además, los métodos existentes suelen depender de decodificadores aprendidos o de la verificación basada en la salida, lo cual es insuficiente cuando la interfaz de salida es alterada o cuando el acceso de caja blanca permite a un atacante diseñar claves que coincidan con los estados internos del modelo a posteriori.

2. Metodología: MeMark

MeMark es un esquema de marca de agua de desafío-respuesta diseñado para incrustar identificadores de múltiples bits directamente en los estados de membrana internos de las neuronas de Leaky Integrate-and-Fire (LIF), asegurando la persistencia incluso tras la sustitución de la cabeza de salida.

2.1 Mecanismo Central

En lugar de almacenar las marcas de agua en los pesos o en las activaciones de salida, MeMark incrusta los bits en el potencial de membrana pre-disparo ( $v_i(t)$ ) de neuronas LIF seleccionadas en instantes de tiempo específicos.

Incrustación: Para una entrada secreta (desafío) $x_{wm}$ $x_{w m}$ , el sistema selecciona un conjunto de coordenadas $C = \{(l_k, n_k, t_k)\}$ $C = {(l_{k}, n_{k}, t_{k})}$ correspondientes a capa, neurona y tiempo. El objetivo de entrenamiento empuja el potencial de membrana de una neurona seleccionada a un lado de su umbral de disparo intrínseco ( $v_{th}$ $v_{t h}$ ) basado en el bit de la carga útil $W_k$ $W_{k}$ :
- Si $W_k = 1$ , el potencial se entrena para ser $> v_{th}$ .
- Si $W_k = 0$ , el potencial se entrena para ser $< v_{th}$ .
Función de Pérdida: El método utiliza una métrica de distancia con signo $m_k = (v_k - v_{th,k}) / \tau_{wm}$ y optimiza una pérdida de Entropía Cruzada Binaria (BCE). Esto permite que el optimizador reciba señales de gradiente respecto a la distancia al umbral incluso antes de que la decisión binaria de disparo cambie, evitando la no diferenciabilidad de la operación de pico.
Fidelidad: Para preservar el rendimiento de la tarea, el objetivo de entrenamiento incluye un término de fidelidad (divergencia KL) entre el modelo con marca de agua y una copia congelada del punto de control original, junto con la pérdida de la tarea.

2.2 Verificación

La verificación requiere acceso de caja blanca al modelo sospechoso para inspeccionar los estados internos.

Lectura Dura (Hard Read): El verificador presenta el desafío secreto y comprueba si el potencial de membrana en las coordenadas específicas está por encima o por debajo del umbral de disparo de la neurona. Esto recupera el bit sin requerir un decodificador aprendido, ya que el umbral es una parte intrínseca de la neurona.
Puntuación Continua: Una puntuación continua opcional ( $S_{mem}$ ) mide la distancia del potencial de membrana respecto al umbral, proporcionando una métrica de confianza.
Portador de Salida: MeMark incluye un portador de respuesta basado en la salida opcional para escenarios donde los estados internos son inaccesibles, aunque se reconoce como eliminable mediante la sustitución de la cabeza.

2.3 Antifalsificación y Compromiso

Para evitar las "reclamaciones ajustadas" (donde un actor deshonesto inspecciona un modelo y genera una clave que coincide con sus estados internos actuales), MeMark requiere que el propietario publique un compromiso criptográfico con sello de tiempo antes de liberar el punto de control. Este compromiso vincula la clave específica, el propietario y el hash del punto de control. Una reclamación de propiedad válida debe demostrar que la clave fue comprometida antes del lanzamiento del modelo sospechoso.

3. Contribuciones Clave

Incrustación en el Espacio de Membrana: Introducción de MeMark, que incrusta marcas de agua en los potenciales de membrana internos de las neuronas LIF, haciendo que la evidencia sea resistente a la sustitución de la cabeza de salida.
Verificación Sin Decodificador: El método utiliza el umbral de disparo intrínseco de la neurona para la decodificación, eliminando la necesidad de una capa de proyección aprendida (a diferencia de las marcas de agua basadas en la activación de las DNN) y reduciendo la sobrecarga de almacenamiento.
Evaluación de Robustez: Evaluación exhaustiva en arquitecturas de SNN recurrentes, convolucionales, residuales y transformadores, incluyendo un checkpoint de SpikeGPT de 215.4 millones de parámetros.
Protocolo de Compromiso: Integración de un mecanismo de compromiso con sello de tiempo para mitigar las falsas reclamaciones de propiedad derivadas de la inspección de modelos de caja blanca.

4. Resultados Experimentales

Los autores evaluaron MeMark en ocho bancos de pruebas de SNN, incluyendo un modelo SpikeGPT de 215.4M de parámetros y varios modelos de visión (SEW-ResNet, Spikformer, QKFormer).

Precisión de Verificación: En el checkpoint de SpikeGPT, se incrustaron 20 claves independientes de 64 bits. Las 20 claves genuinas pasaron una regla de verificación fija de 51/64 bits coincidentes. Por el contrario, 30,000 claves aleatorias nuevas fallaron en pasar esta regla en todos los puntos de control protegidos y en el modelo limpio, resultando en una Tasa de Falsos Positivos (FPR) de 0.000% (límite superior del 95% de 0.010%).
Robustez ante Modificaciones:
- Sustitución de Cabeza: La marca de agua de membrana siguió siendo verificable (BER $\approx$ 0.00) después de que la cabeza de salida fuera reiniciada y reentrenada, mientras que el portador de salida fue eliminado.
- Ajuste Fino (Fine-tuning): Tras 200 pasos de ajuste fino, todas las 20 claves seguían satisfaciendo el umbral de 51/64 (el promedio de bits coincidentes descendió ligeramente de 59.4 a 58.3).
- Poda y Cuantización: La poda del 90% y la cuantización int8 no alteraron los bits de membrana para ninguna de las 20 claves.
- Cambios Estructurales: La marca de agua sobrevivió a permutaciones de canales y división de capas, siempre que se realizó un paso de recuperación de coincidencia de canales para realinear las coordenadas.
Selectividad: La marca de agua es altamente selectiva al desafío secreto. El acuerdo de disparador erróneo (usando entradas aleatorias) fue de 0.516 (cerca del azar), significativamente menor que los decodificadores de proyección aprendidos (0.715), lo que indica que la carga útil no se filtra durante la operación normal.
Reclamaciones Ajustadas: Los experimentos confirmaron que sin el compromiso previo al lanzamiento, un atacante con acceso de caja blanca podría ajustar una clave para que coincida con los estados internos del modelo (logrando 32/32 bits). El protocolo de compromiso mitiga esto eficazmente al requerir la prueba de registro previa.

5. Significado y Reivindicaciones

El artículo afirma que MeMark proporciona una solución robusta para probar la propiedad de los puntos de control de SNN en un escenario de reutilización donde la interfaz de salida ya no es de confianza. Al trasladar la marca de agua de la capa de salida a la dinámica interna de la membrana, MeMark asegura que la evidencia de propiedad persista incluso cuando el modelo es repurposeado o sus capas finales son eliminadas.

Los autores enfatizan que MeMark ofrece una alternativa práctica a las técnicas de marca de agua de DNN que dependen de decodificadores aprendidos, ya que aprovecha las propiedades físicas existentes de las neuronas de picos (el umbral de disparo) para la verificación. Los resultados sugieren que MeMark puede proporcionar evidencia de los derivados de un punto de control y resistir ataques adaptativos, modificaciones del modelo (poda, cuantización, ajuste fino) y la sustitución completa de la cabeza. El artículo concluye que, si bien los ataques adaptativos pueden debilitar la marca de agua, no eliminan por completo la evidencia de propiedad en los entornos probados, y el método mantiene una alta fidelidad al rendimiento de la tarea original.