GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures

Résumé Technique de GoodDiffusion

Énoncé du Problème
L'article traite du défi critique que représente le développement d'un mécanisme de protection proactive des droits d'auteur (CP) pour les modèles de pont de diffusion (DBM), spécifiquement pour les tâches d'Image-to-Image (I2I). Les défenses existantes sont largement post-hoc (par exemple, le tatouage numérique et l'empreinte digitale), qui ne fournissent des preuves d'utilisation non autorisée qu'après la génération, ou reposent sur des stratégies de dégradation uniquement (par exemple, PCDiff), qui réduisent la qualité de sortie mais ne parviennent pas à empêcher complètement la génération non autorisée. Les auteurs soutiennent que ces méthodes sont insuffisantes pour un déploiement en conditions réelles où les dérivés non autorisés peuvent se propager avant détection. Le problème central est de conceendre un mécanisme capable de prévenir complètement la génération non autorisée au niveau du modèle tout en maintenant une sortie de haute qualité pour les utilisateurs autorisés, même dans un scénario de boîte blanche (white-box) où un adversaire possède un accès total aux paramètres et à l'architecture du modèle.

Méthodologie : GoodDiffusion
Le cadre proposé, GoodDiffusion, s'inspire des mécanismes de porte dérobée (backdoor) mais en inverse l'objectif : au lieu de forcer des sorties incorrectes avec un déclencheur, il force des sorties de haute qualité uniquement lorsqu'une signature valide est présente.

1. Mécanisme Central (Backdoor pour le Bien) :
   La méthode entraîne le DBM pour présenter deux comportements distincts selon l'entrée :

   • Trajectoire Autorisée : Si l'entrée contient une signature valide, le modèle suit un pont de diffusion pour générer des images cibles de haute qualité.
   • Trajectoire Non Autorisée : Si l'entrée est « propre » (dépourvue de signature valide), le modèle est dirigé pour générer une image d'avertissement prédéfinie (par exemple, une image avec un texte d'avertissement), coupant ainsi efficacement l'usage non autorisé.

2. Implémentation Naïve (Signatures Statiques) :
   Initialement, les auteurs explorent une approche naïve utilisant un motif de perturbation fixe (signature statique $k$) injecté dans l'entrée. Le modèle est entraîné sur un mélange d'entrées autorisées ($x_1 + k$) et d'entrées non autorisées ($x_1$) mappées vers une cible d'avertissement.

   • Vulnérabilité : L'article démontre théoriquement (Théorème 4.1) que les signatures statiques sont fondamentalement fragiles dans les scénarios de boîte blanche. Un adversaire ayant accès au modèle peut récupérer efficacement une signature de substitution ($N^*$) via une optimisation basée sur le gradient qui imite l'effet de la signature originale, contournant ainsi la protection.

3. Solution Proposée (Réseau de Signature Apprenable - LSN) :
   Pour remédier à la vulnérabilité des signatures statiques, GoodDiffusion introduit des Signatures Spécifiques à l'Échantillon.

   • Architecture : Un Réseau de Signature Apprenable (LSN), noté $g_\phi(\cdot)$, est entraîné pour générer une signature unique $k(x_1)$ conditionnée par chaque entrée spécifique $x_1$.
   • Injection : L'entrée autorisée est formée par $\tilde{x}_1 = \gamma \cdot x_1 + (1-\gamma) \cdot k(x_1)$, mélangeant l'information sémantique originale avec la signature dynamique.
   • Logique de Sécurité : Contrairement aux signatures statiques qui représentent un décalage vectoriel fixe dans l'espace des pixels, les signatures spécifiques à l'échantillon créent une variété d'images déformée de manière non linéaire. Cette conception brise l'aspect « universel » de la signature ; une signature de substitution récupérée pour une entrée donnée ne peut pas être transférée à une autre. Par conséquent, même si un adversaire récupère une signature pour un échantillon spécifique, celle-ci échoue à se généraliser à d'autres entrées, empênant le contournement du mécanisme de protection.

Contributions Clés

• Contrôle Proactif au Niveau du Modèle : GoodDiffusion est présenté comme une première étape vers le passage d'une protection des droits d'auteur par analyse post-hoc de la sortie vers une prévention internalisée au niveau du modèle. Il impose une politique de « Pas de ticket, pas de trajet » où les utilisateurs non autorisés ne reçoivent qu'une image d'avertissement.
• Aperçu Théorique sur les Signatures Statiques : L'article fournit une preuve théorique que les conceptions de signatures statiques naïves sont vulnérables à la récupération de signatures de substitution par gradient dans des contextes de boîte blanche, soulignant la nécessité de conceptions dynamiques dépendantes de l'entrée.
• Réseau de Signature Apprenable (LSN) : L'introduction du LSN pour générer des signatures dépendantes de l'entrée, ce qui atténue efficacement la transférabilité des signatures de substitution et renforce la sécurité contre les adversaires en boîte blanche.
• Évaluation Complète : Expérimentations approfondies sur CelebA et ImageNet à travers trois tâches d'I2I (Super-Résolution, Inpainting, Débruitage) en utilisant divers DBM (DDBM, I2SB, DBIM).

Résultats Expérimentaux

• Efficacité de la Protection : GoodDiffusion atteint un Taux d'Abus (AR) proche de 0 % (par exemple, < 0,06 % sur CelebA) pour les entrées non autorisées, ce qui signifie que le modèle refuse avec succès de générer des images cibles de haute qualité sans signatures valides. En revanche, lorsqu'un adversaire tente d'utiliser une signature de substitution récupérée sur la conception statique, l'AR grimpe à ~98 %, confirmant la vulnérabilité des signatures statiques.
• Qualité de Génération : Pour les utilisateurs autorisés (avec une signature valide), le modèle maintient une qualité de génération satisfaisante. Bien qu'il y ait une légère baisse de performance par rapport aux lignes de base non protégées (mesurée par FID, PSNR et SSIM), les résultats restent compétitifs. Par exemple, en Super-Résolution sur CelebA avec DDBM-VP, le SSIM surpasse légèrement la ligne de base.
• Taux d'Erreur : Le Taux d'Erreur (ER) — la fraction de requêtes autorisées incorrectement bloquées — est maintenu très bas (par exemple, 0,06 % à 0,25 %), indiquant une grande fiabilité pour les utilisateurs légitimes.
• Validation de la Sécurité : Les expériences simulant des attaques de boîte blanche montrent que si les signatures statiques sont facilement contournées par des substituts récupérés, la conception de signature spécifique à l'échantillon produit une faible qualité de génération (FID élevé, PSNR faible) même lorsqu'un adversaire tente d'optimiser un substitut, confirmant l'absence de substitut universel.

Signification et Revendications
L'article affirme que GoodDiffusion offre une solution proactive et pratique au vol de modèles qui complète les protections logicielles existantes (comme l'authentification). En séparant le déploiement du modèle du service de signature (maintenu par le propriétaire), la méthode garantit que même si un modèle est volé et que le voleur possède un accès complet en boîte blanche, il ne peut pas l'utiliser pour une génération de haute qualité sans les signatures dynamiques. Les auteurs positionnent ce travail comme une étape significative pour sécuriser les modèles de diffusion en tant que propriétés intellectuelles précieuses, passant d'une détection passive à une prévention active de l'inférence non autorisée. Le code est mis à disposition pour faciliter la recherche ultérieure dans ce domaine.