🤖 AI

Mitigating Watermark Forgery in Generative Models via Randomized Key Selection

Ce papier propose une défense prouvée résistante à la contrefaçon pour l'IA générative qui randomise la sélection des clés de filigrane et n'accepte le contenu que s'il est détecté par exactement une clé, atténuant ainsi efficacement les attaques par contrefaçon sans dégrader l'utilité du modèle ni augmenter la surcharge computationnelle.

Auteurs originaux : Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

Publié 2026-05-12

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Le Grand Problème : De faux papiers d'identité pour l'IA

Imaginez une boulangerie célèbre (le Fournisseur d'IA) qui cuit des millions de gâteaux chaque jour. Pour prouver qu'un gâteau provient de leur four, ils insèrent un minuscule « cachet secret » invisible dans le glaçage. Si vous regardez de près avec une lampe de poche spéciale (le détecteur), vous pouvez voir le cachet et savoir : « Oui, c'est un vrai gâteau de la boulangerie. »

La Menace : Un mauvais acteur (l'Attaquant) veut cuire un gâteau horrible (contenu nuisible) dans sa propre cuisine sale, mais il veut tromper les gens en leur faisant croire qu'il provient de la boulangerie célèbre. Il tente de copier le cachet secret et de l'apposer sur son mauvais gâteau. S'il réussit, la boulangerie est blâmée pour le mauvais gâteau, ce qui ruine sa réputation.

L'Ancienne Solution : Le Problème des « Trop de Cachets »

Auparavant, pour arrêter les contrefacteurs, la boulangerie essayait un tour simple : elle apposait plusieurs cachets secrets différents sur chaque gâteau.

La Logique : « Si un contrefacteur tente de copier les cachets, il pourrait en avoir un juste, mais il est impossible qu'il copie tous d'entre eux parfaitement. »
Le Défaut : C'était comme mettre 100 cachets invisibles différents sur un gâteau. Cela rendait le gâteau lourd et bizarre (dégradant la qualité du modèle). De plus, si le contrefacteur volait suffisamment de gâteaux à la boulangerie pour les étudier, il pouvait éventuellement trouver comment copier tous les cachets.

La Nouvelle Solution : La Loterie de la « Clé Aléatoire »

Les auteurs de ce document proposent un moyen plus intelligent et plus léger de protéger la boulangerie. Au lieu de mettre plusieurs cachets sur un seul gâteau, ils changent les règles du jeu.

1. La Phase de Génération (Cuisson du Gâteau)

À chaque fois qu'un client commande un gâteau, la boulangerie n'utilise pas un cachet fixe. Au lieu de cela, elle dispose d'une énorme boîte de différents cachets secrets (clés).

Pour chaque commande, elle plonge la main dans la boîte, sort un cachet au hasard, et n'utilise que celui-là.
Le client reçoit un gâteau avec un seul cachet invisible, comme avant. Le gâteau a exactement le même goût (aucune perte de qualité).

2. La Phase de Détection (Vérification du Gâteau)

Quand quelqu'un apporte un gâteau à la boulangerie pour vérifier s'il est réel, la boulangerie ne cherche pas un seul cachet. Elle vérifie le gâteau contre tous les cachets de la boîte.

Scénario A : Aucun cachet trouvé. Le gâteau vient d'un étranger. (Résultat : « Pas le nôtre. »)
Scénario B : Exactement un cachet trouvé. Le gâteau possède le cachet spécifique que la boulangerie a utilisé pour ce lot. (Résultat : « C'est authentique ! »)
Scénario C : Deux cachets ou plus trouvés. C'est l'astuce magique. Si la boulangerie ne met jamais qu'un seul cachet sur un gâteau, comment un gâteau pourrait-il avoir deux cachets différents ?
- La Conclusion : C'est un faux ! Le contrefacteur a tenté de copier les cachets, mais comme il ne savait pas quel cachet spécifique avait été utilisé pour ce gâteau précis, il a accidentellement copié un mélange de cachets. La boulangerie voit le mélange et dit : « C'est une contrefaçon. »

Pourquoi C'est un Changement de Jeu

Le document affirme que cette méthode est puissante pour trois raisons principales :

C'est un piège pour les copieurs : Pour contrefaire un gâteau, l'attaquant doit deviner quel cachet spécifique a été utilisé. Mais comme la boulangerie en choisit un au hasard à chaque fois, l'attaquant tire dans le noir. S'il essaie d'apprendre à partir de nombreux gâteaux, il finit par apprendre un « mélange » de tous les cachets. Quand il essaie de mettre ce mélange sur son faux gâteau, le détecteur de la boulangerie voit plusieurs cachets et le rejette immédiatement.
Cela ne gâche pas le gâteau : Contrairement à l'ancienne méthode consistant à mettre plusieurs cachets sur un seul gâteau, cette méthode garde le gâteau léger et savoureux. Le modèle d'IA ne devient pas plus lent ni ne produit de meilleurs textes/images.
Cela fonctionne même si l'attaquant est intelligent : Le document montre que même si l'attaquant vole des milliers de gâteaux pour les étudier, il ne peut toujours pas contrefaire un nouveau gâteau avec succès. Le taux de réussite de la contrefaçon chute de près de 100 % (avec les anciennes méthodes) à aussi bas que 2 % avec cette nouvelle méthode.

L'Attaquant « Aveugle » vs « Informé »

Le document distingue deux types de mauvais acteurs :

L'Attaquant Aveugle : Il vole des gâteaux mais ne sait pas quel cachet a été utilisé sur quel gâteau. Il est complètement confus par la randomisation. La nouvelle méthode l'arrête presque entièrement.
L'Attaquant Informé : Il parvient d'une manière ou d'une autre à déterminer exactement quel cachet a été utilisé sur quel gâteau (une tâche très difficile nécessitant une faille de sécurité). S'il peut le faire, il peut toujours contrefaire des gâteaux, mais le document note que cela nécessite de pirater la sécurité interne de la boulangerie en premier lieu.

Résumé

Pensez à cette nouvelle méthode comme à un système de tickets de loterie pour le contenu numérique.

Ancienne méthode : Tout le monde reçoit un ticket avec 10 numéros. Si vous devinez 10 numéros, vous gagnez. Difficile à deviner, mais le ticket est encombrant.
Nouvelle méthode : Tout le monde reçoit un ticket avec 1 numéro. Mais le système vérifie si votre ticket contient exactement un numéro provenant du pool gagnant.
- Si vous avez 0 numéros : Vous avez perdu.
- Si vous avez 1 numéro : Vous avez gagné !
- Si vous avez 2 numéros : Vous avez triché ! (Parce que le système n'a jamais distribué plus d'un numéro par personne).

En forçant l'attaquant à deviner exactement quel « ticket de loterie » (clé) a été utilisé, et en le punissant s'il en devine trop, la boulangerie peut repérer les faux instantanément sans gâcher la qualité de ses vrais produits.

Résumé technique : Atténuation de la falsification de filigranes dans les modèles génératifs par sélection aléatoire de clés

1. Énoncé du problème

Les fournisseurs d'IA générative (GenAI) utilisent le filigranage pour attribuer le contenu à leurs modèles, en intégrant des signaux cachés détectables via une clé secrète. Une menace de sécurité critique pour cet écosystème est les attaques par falsification, où des adversaires insèrent le filigrane d'un fournisseur dans du contenu non généré par ce fournisseur. Cela permet aux attaquants d'attribuer faussement un contenu nuisible (par exemple, de la désinformation, de la violence ou du spam) à un fournisseur réputé, portant atteinte à sa réputation et l'exposant à une responsabilité juridique.

Les défenses existantes présentent des limitations significatives :

Détection statistique : L'analyse des distributions de tokens ou des artefacts échoue souvent face à des attaquants adaptatifs.
Rotation des clés : La rotation des clés après $N$ échantillons introduit une complexité de gestion et laisse incertaine la valeur optimale de $N$ .
Intégration multi-clés : L'intégration de multiples clés dans un seul échantillon dégrade l'utilité du modèle et, comme le montrent des travaux antérieurs, reste vulnérable si un attaquant collecte un nombre suffisant d'échantillons filigranés ( $N$ ) pour distiller le motif du filigrane.

Le défi central est d'atteindre une résistance à la falsification qui reste efficace indépendamment du nombre d'échantillons filigranés qu'un attaquant peut collecter, sans dégrader l'utilité du modèle génératif.

2. Méthodologie

Les auteurs proposent une stratégie de sélection aléatoire de clés qui agit comme un wrapper boîte noire pour les méthodes de filigranage existantes (applicable aux modalités texte et image).

Mécanisme central

Génération : Pour chaque requête utilisateur, le fournisseur sélectionne aléatoirement exactement une clé secrète parmi un pool de $r$ clés ( $K = \{k_1, ..., k_r\}$ ) pour filigraner le contenu généré. Cela est identique au filigranage standard à clé unique en termes de surcharge de génération.
Détection : Le fournisseur exécute des tests de détection pour toutes les $r$ clés du pool sur le contenu.
Règle de décision :
- Authentique : Exactement une clé est détectée (statistiquement significative).
- Falsifié : Zéro clé est détectée (le contenu ne provient pas du fournisseur) OU deux clés ou plus sont détectées.
- Logique : Un attaquant tentant de falsifier un filigrane en distillant des motifs à partir d'un ensemble d'échantillons filigranés (où chaque échantillon utilise une clé aléatoire différente) apprendra involontairement un "mélange" de signaux de filigrane. Par conséquent, leur contenu falsifié est susceptible de déclencher la détection pour plusieurs clés simultanément, conduisant au rejet.

Cadre théorique

La méthode repose sur l'hypothèse d'attaquants "aveugles" qui ne peuvent pas distinguer quelle clé spécifique a été utilisée pour générer un échantillon spécifique.

Calibration du seuil : Pour contrôler le taux d'erreur par famille (FWER) sur $r$ tests, le seuil par clé $\tau$ est ajusté en utilisant la correction de Šidák : $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$ .
Limite théorique : Pour les attaquants aveugles, la probabilité de falsifier avec succès un échantillon (déclenchant exactement une clé) est bornée. Le taux de réussite est maximisé lorsque la probabilité de détection par clé est de $1/r$ , produisant une borne supérieure de $(1 - 1/r)^{r-1}$ . Crucialement, cette borne est indépendante du nombre d'échantillons ( $N$ ) disponibles pour l'attaquant, contrairement aux approches multi-clés précédentes où les garanties se dégradent à mesure que $N$ augmente.

3. Contributions clés

Stratégie de sélection aléatoire de clés : Une approche simple, boîte noire, qui améliore considérablement la résistance à la falsification de filigranes face à diverses attaques sans nécessiter de nouveaux schémas de filigranage.
Garanties théoriques : La première borne théorique sur le succès de la falsification qui est indépendante de la taille de l'échantillon de l'attaquant, à condition que l'attaquant ne puisse pas distinguer les clés (attaque aveugle).
Validation empirique : Tests approfondis sur les modalités texte (LLM) et image (modèles de diffusion), démontrant des réductions cohérentes du succès de la falsification.
Open Source : Publication du code d'implémentation.

4. Résultats expérimentaux

Les auteurs ont évalué leur méthode face à des attaquants adaptatifs (à la fois "aveugles" et "informés") en utilisant des ensembles de données tels que AdvBench, HarmfulQ et CelebA.

Modalité texte :
- En utilisant quatre variantes de filigranage (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard), la méthode a réduit les taux de succès de falsification de presque parfaits (jusqu'à 100 % pour les références à clé unique) à aussi bas que 2 % lors de l'utilisation de 4 clés.
- Par exemple, avec le schéma Unigram sur AdvBench, le succès de la falsification est passé de 68 % (clé unique) à 16 % (4 clés).
- La méthode est restée efficace même lors de la mise à l'échelle vers des modèles plus grands (par exemple, LLaMA-13B) et face à des attaques basées sur la distillation.
Modalité image :
- Appliqué à la méthode de filigranage Tree-Ring, l'approche a réduit le succès de la falsification de 100 % (clé unique) à 2 % avec 4 clés.
- La défense a maintenu de faibles taux de falsification indépendamment du nombre d'images d'entraînement disponibles pour l'attaquant (testé jusqu'à 5 000 échantillons).
Utilité et robustesse :
- Taux de faux négatifs (FNR) : La méthode préserve la détection du contenu authentique. Le FNR pour le contenu authentique filigrané est resté négligeable (0–3 % même avec 4 clés), indiquant aucune dégradation significative de l'utilité du modèle ou de la précision de détection.
- Robustesse : La robustesse face aux attaques de paraphrase (par exemple, Dipper) est restée cohérente avec le schéma de filigranage sous-jacent, car le wrapper ne modifie pas le processus d'intégration.

5. Importance et limites

Importance :
L'article soutient que cette approche offre une couche de sécurité pratique et déployable pour les systèmes de filigranage existants. En randomisant la sélection des clés et en appliquant une règle de détection "exactement une", elle crée une barrière statistique que les attaques par moyennage ne peuvent surmonter. Elle élimine le besoin de calendriers complexes de rotation des clés et maintient une haute utilité du modèle.

Limites et hypothèses :

Attaquants aveugles vs informés : Les garanties théoriques tiennent face aux attaquants "aveugles". Si un attaquant peut déduire quelle clé a généré un échantillon spécifique (par exemple, via une violation de système ou un canal auxiliaire), il peut regrouper les échantillons par clé et falsifier plus efficacement. Dans les expériences avec des attaquants "informés" (qui avaient les étiquettes de clés), le succès de la falsification s'est stabilisé à environ 65 %, bien que cela nécessite un accès irréaliste aux étiquettes de clés dans la pratique.
Attaques basées sur l'instance : La méthode ne peut pas se défendre contre les attaques "basées sur l'instance" où un filigrane peut être falsifié à l'aide d'un seul échantillon ( $N=1$ ). Il s'agit d'une vulnérabilité de la méthode de filigranage sous-jacente (par exemple, Tree-Ring) plutôt que de la défense proposée.
Surcharge computationnelle : La vérification s'échelonne linéairement avec le nombre de clés ( $r$ ). Bien que négligeable pour le texte (microsecondes), elle est plus coûteuse en calcul pour les filigranes d'images nécessitant une inversion de modèle de diffusion.
Compromis : L'augmentation du nombre de clés nécessite d'élever le seuil de détection pour maintenir le taux de faux positifs global, ce qui réduit légèrement le taux de vrais positifs (robustesse) du filigrane sous-jacent, bien que les résultats empiriques montrent que cet impact est marginal (2–3 %).

En conclusion, les auteurs posent que la sélection aléatoire de clés est une solution prête au déploiement qui atténue efficacement la menace de la falsification de filigranes pour les schémas de filigranage heuristiques actuels, à condition que le secret des clés soit maintenu contre l'inférence.