🤖 AI

PoLO: Proof-of-Learning and Proof-of-Ownership at Once with Chained Watermarking

Le protocole PoLO permet de vérifier simultanément l'apprentissage et la propriété de données grâce à un tatouage numérique en chaîne, offrant une précision de détection de 99 % tout en réduisant considérablement les coûts de vérification et en préservant la confidentialité.

Auteurs originaux : Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Publié 2026-04-27

📖 3 min de lecture☕ Lecture pause café

CC BY 4.0

Auteurs originaux : Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Le Problème : Le syndrome du "Faux Artiste" dans l'Intelligence Artificielle

Imaginez un immense marché d'art numérique où des gens vendent des tableaux (qui sont ici des modèles d'IA). Dans ce marché, deux problèmes majeurs surgissent :

Le problème de l'effort (Proof-of-Learning) : Un vendeur prétend avoir passé des mois à peindre une fresque monumentale, mais en réalité, il a juste utilisé un filtre magique pour transformer un gribouillage en "chef-d'œuvre". Comment prouver qu'il a vraiment travaillé dur ?
Le problème de la propriété (Proof-of-Ownership) : Un voleur peut copier votre tableau, changer un petit détail, et prétendre qu'il en est l'auteur original. Comment prouver que ce tableau est bien le vôtre ?

Jusqu'à présent, les experts essayaient de régler ces deux problèmes séparément. Mais c'est comme essayer de vérifier l'authenticité d'un billet de banque en regardant d'un côté le papier et de l'autre le dessin : c'est long, coûteux, et un faussaire malin peut facilement tromper les deux contrôles.

La Solution : PoLO, la "Chaîne de Signature Invisible"

Les chercheurs ont inventé PoLO. Au lieu de vérifier le travail à la fin, PoLO transforme l'entraînement de l'IA en une sorte de "chaîne de preuves" qui se construit brique par brique.

L'analogie de la construction d'un mur de briques

Imaginez que vous construisez un mur de briques.

L'ancienne méthode : Vous construisez tout le mur, et à la fin, vous posez une étiquette "Propriété de Jean" sur le dessus. Un voleur peut simplement gratter l'étiquette et coller la sienne.
La méthode PoLO : À chaque fois que vous posez une brique, vous gravez un code secret sur la brique actuelle qui est directement lié à la forme de la brique précédente.

Si un voleur veut tricher et prétendre qu'il a construit le mur, il ne peut pas juste changer l'étiquette finale. Il devrait reconstruire tout le mur, brique par brique, en respectant chaque code secret gravé. S'il essaie de sauter des étapes ou de tricher sur une brique, toute la chaîne de codes devient fausse, et le mur est immédiatement reconnu comme un faux.

Pourquoi est-ce une révolution ?

C'est ultra-rapide (L'examen éclair) : Pour vérifier si le travail est honnête, on n'a pas besoin de reconstruire tout le mur. Il suffit de regarder quelques briques au hasard et de vérifier si les codes s'emboîtent bien. C'est 10 à 60 fois plus rapide que les anciennes méthodes.
C'est respectueux de la vie privée (Le coffre-fort) : Pour prouver qu'on a bien travaillé, les anciennes méthodes demandaient de montrer toutes les données utilisées (comme montrer ses dossiers médicaux pour prouver qu'on est un patient). PoLO, lui, utilise des "signatures mathématiques" (des empreintes) : on prouve qu'on a les données sans jamais avoir à les montrer.
C'est une barrière économique (Le coût de la triche) : Les chercheurs ont prouvé que pour un tricheur, essayer de fabriquer un faux modèle avec PoLO coûte beaucoup plus cher (jusqu'à 4 fois plus) que de simplement faire le travail honnêtement. En économie, si la triche coûte plus cher que la vérité, la triche disparaît !

En résumé

PoLO, c'est comme une signature invisible et indélébile qui se grave progressivement pendant que l'IA apprend. Cela permet de garantir à la fois que l'IA a été "bien éduquée" (effort) et qu'elle appartient bien à son créateur (propriété), le tout de manière rapide, secrète et presque impossible à falsifier.

Résumé Technique : PoLO (Proof-of-Learning and Proof-of-Ownership at Once)

1. Problématique (Le Problème)

Avec l'essor de l'économie des modèles d'apprentissage automatique (ML), les modèles sont de plus en plus échangés sur des places de marché (EMMs). Cela crée un besoin critique de deux types de preuves :

Proof-of-Learning (PoL) : Vérifier que l'effort de calcul (l'entraînement) a réellement été fourni pour garantir la performance annoncée.
Proof-of-Ownership (PoO) : Établir la propriété légale du modèle pour permettre les transactions et la résolution de litiges.

Les approches actuelles traitent ces deux aspects séparément, ce qui pose trois problèmes majeurs :

Vulnérabilité : Les méthodes de PoL basées sur les gradients sont sujettes à la falsification de trajectoires synthétiques.
Coût élevé : La vérification du PoL nécessite souvent de rejouer l'entraînement ou de partager des données sensibles, ce qui est coûteux et nuit à la confidentialité.
Incompatibilité : Séparer PoL et PoO crée des risques d'attribution et ne garantit pas que l'effort de calcul est lié à l'identité du propriétaire.

2. Méthodologie (La Solution PoLO)

Les auteurs proposent PoLO, un cadre unifié qui fusionne le PoL et le PoO via un mécanisme de tatouage numérique en chaîne (Chained Watermarking).

A. Architecture de la chaîne de tatouage

Au lieu d'insérer un tatouage uniquement à la fin de l'entraînement, PoLO divise le processus en fragments d'entraînement (shards).

Chaque fragment $s_x$ possède son propre tatouage $\Lambda_x$ .
Lien cryptographique : Le tatouage du fragment actuel est généré de manière déterministe en utilisant une fonction de hachage appliquée aux poids du modèle du fragment précédent ( $W_{x-1}$ ), ainsi qu'un nonce secret fourni par le vérificateur.
Cette structure crée une dépendance séquentielle : pour falsifier un tatouage, un attaquant doit reconstruire toute la chaîne de poids précédente.

B. Processus d'entraînement et d'obfuscation

Insertion : Le tatouage est inséré via une fonction de perte de régularisation pendant l'entraînement, complétée par une perturbation explicite à la fin de chaque fragment pour garantir la robustesse.
Confidentialité : Pour protéger les données d'entraînement contre les fuites par gradient, PoLO applique un bruit gaussien sur les zones du modèle non utilisées par le tatouage à la fin de chaque fragment.

C. Mécanisme de vérification

La vérification est effectuée au niveau du fragment (shard) et non par époque. Le vérificateur :

Vérifie la performance de la tâche principale (précision).
Reconstruit le tatouage attendu $\Lambda_x$ à partir du poids précédent $W_{x-1}$ .
Extrait le tatouage réel $\hat{\Lambda}_x$ du poids actuel $W_x$ et compare la similarité.

3. Contributions Clés

Unification : PoLO transforme le tatouage (PoO) en un mécanisme de preuve d'effort (PoL). La preuve de propriété devient la preuve d'apprentissage.
Sécurité Économique : Le cadre est conçu pour les environnements de marché où un attaquant rationnel ne cherchera à falsifier que s'il peut le faire à un coût inférieur à l'entraînement honnête. PoLO rend la falsification économiquement irrationnelle.
Efficacité et Confidentialité : Élimine le besoin de partager les données d'entraînement et réduit drastiquement les coûts de vérification par rapport aux méthodes basées sur le rejeu de gradients ou les preuves à divulgation nulle de connaissance (ZKP).

4. Résultats Expérimentaux

Les tests ont été menés sur divers modèles (ResNet, VGG, BERT) et jeux de données (CIFAR, TinyImageNet, AG News) :

Précision du tatouage : Atteint 99 % de précision pour la vérification de la propriété.
Efficacité de vérification : Le coût de vérification est réduit à seulement 1,5 % – 10 % des méthodes traditionnelles.
Résistance à la falsification :
- Une attaque par ré-entraînement complet (OFA) coûte 1,1 à 4 fois plus cher qu'un entraînement honnête.
- Même après une attaque, le tatouage original conserve une précision de détection supérieure à 90 %.
- Les attaques par manipulation de poids (WMA) échouent car elles dégradent trop la précision de la tâche principale.

5. Signification et Impact

PoLO représente une avancée majeure pour la sécurisation des écosystèmes de modèles d'IA. En liant indissociablement l'effort de calcul à l'identité du propriétaire, il fournit une solution robuste, peu coûteuse et respectueuse de la vie privée pour les places de marché de modèles d'IA et les pipelines d'entraînement externalisés. Il transforme la sécurité d'une simple protection de "marque" en une protection de l'intégrité de toute la trajectoire de création du modèle.