HaloMark: A Spectral Threshold for Embedding-Vector Watermarking under C2PA

Imaginez que l'internet est une immense bibliothèque, mais au lieu de livres, elle est remplie de « cartes mentales » invisibles appelées embeddings. Ce sont des listes de nombres spéciales que les ordinateurs utilisent pour comprendre le sens des choses. Si vous demandez à un ordinateur : « Qu'est-ce qu'un chat ? », il ne voit pas un animal à poils ; il voit un motif spécifique de nombres. Ces motifs sont si précieux que les entreprises les achètent, les vendent et les partagent comme de l'or numérique.

Mais voici le problème : comment prouver que vous possédez une carte mentale spécifique ? Dans le monde physique, vous pourriez tamponner un livre avec votre nom. Dans le monde numérique, nous utilisons des tatouages numériques (watermarks) — des signaux minuscules et invisibles cachés à l'intérieur des données. Cependant, ces cartes mentales sont capricieuses. Elles sont écrasées, étirées et remodelées chaque fois qu'elles sont utilisées (comme lorsqu'un ordinateur les traduit dans une autre langue ou les compresse pour gagner de l'espace). Si vous essayez de leur apposer une signature numérique normale, le tampon est broyé et disparaît. Nous avons besoin d'un nouveau type de tampon qui survive au remodelage, reste invisible pour le cerveau de l'ordinateur et puisse être vérifié instantanément. Ce document, HaloMark, traite de la création de ce tampon incassable.

---

Le tampon « Halo » incassable

Les chercheurs derrière HaloMark ont réalisé que l'ancienne méthode de vérification des tatouages numériques revenait à essayer de deviner un code secret en regardant une photo floue. Si la photo était légèrement altérée (ce qui arrive tout le temps avec ces cartes mentales), la supposition serait fausse, et le tatouage paraîtrait faux.

Leur solution est une astuce ingénieuse appelée « Engagement Publié » (Published Commitment).

Imaginez que vous êtes un boulanger vendant un gâteau spécial. Au lieu de demander au client de deviner la liste des ingrédients secrets après avoir pris une bouchée (ce qui est difficile si le gâteau est légèrement brûlé ou écrasé), vous écrivez la liste secrète sur un reçu avant de livrer le gâteau. Vous signez le reçu avec un sceau magique qui dit : « Cette liste est réelle ». Lorsque le client veut vérifier si le gâteau est bien le vôtre, il ne devine pas les ingrédients ; il lit simplement votre reçu signé. Même si le gâteau est un peu désordonné, le reçu prouve qu'il est à vous.

HaloMark fait exactement cela pour les cartes mentales numériques :

1. Le Boulanger (Producteur) : Crée la carte mentale, ajoute un minuscule signal invisible appelé « Halo », et rédige un « reçu » (un engagement cryptographique) qui décrit le signal.
2. Le Sceau Magique (C2PA) : Ce reçu est attaché à une carte d'identité numérique (un manifeste C2PA) qui est signée avec un verrou ultra-sécurisé.
3. Le Client (Vérificateur) : Lorsqu'il reçoit la carte mentale, il n'essaie pas de deviner le signal. Il lit simplement le reçu de la carte d'identité et vérifie si le signal correspond. Comme il ne procède pas par devinettes, il n'est pas perturbé si la carte mentale a été légèrement écrasée ou remodelée.

Le Nombre Magique : Le « Seuil Spectral »

La découverte la plus excitante de l'article est une « ligne magique » qui détermine si ce système fonctionne ou échoue. Les chercheurs ont découvert que le succès du tatouage dépend d'un nombre spécifique appelé le ratio de rang effectif (une façon sophistiquée de mesurer à quel point les données de la carte mentale sont « complexes » ou « réparties »).

• Au-dessus de la ligne (La Zone de Succès) : Si la carte mentale est suffisamment complexe (plus précisément, si le ratio est supérieur ou égal à 0,19), le tatouage HaloMark fonctionne parfaitement. Même si un hacker très intelligent tente de l'effacer en utilisant un programme informatique puissant appelé « Autoencodeur de Débruitage » (qui tente de nettoyer les données en supprimant le tatouage), le système détecte toujours le tatouage 98 % à 99 % du temps.
• En dessous de la ligne (La Zone d'Échec) : Si la carte mentale est trop simple (en dessous de 0,19), le tatouage s'effondre. Peu importe l'ingéniosité de la conception, un hacker peut l'effacer. L'article stipule explicitement que pour ces cartes plus simples, la méthode actuelle consistant à cacher des tatouages à l'intérieur des nombres ne peut tout simplement pas fonctionner.

Pourquoi cela importe

L'article a testé ce système contre une armée massive d'attaquants, y compris des hackers possédant des millions d'exemples de cartes « propres » et « tatouées » pour apprendre.

• Le Résultat : Pour les cartes complexes (la « Zone de Succès »), le système est incroyablement robuste. Il a survécu à toutes les attaques lancées par les chercheurs, y compris les tentatives de flouter les données, de les rétrécir ou même de réentraîner les modèles informatiques qui les ont créées.
• La Vitesse : La vérification du tatouage est extrêmement rapide. Elle ne prend que 284 microsecondes (soit 0,000284 seconde) par carte, ce qui est assez rapide pour vérifier des millions de cartes en temps réel lors de leur téléchargement dans une base de données.
• Le Coût : Le « reçu » (les données supplémentaires nécessaires pour prouver la propriété) est minuscule — seulement 24 octets par carte. C'est plus petit qu'un seul emoji.

Ce qu'il ne fait pas (Les Limites)

L'auteur est très honnête sur ce que cela ne résout pas.

• Cartes Simples : Si les données sont trop simples (en dessous du seuil de 0,19), le tatouage échoue. L'article suggère que pour celles-ci, nous devrons peut-être modifier la façon dont les cartes sont créées, et pas seulement la façon dont nous les tatouons.
• Paraphrase : Si quelqu'un réécrit le texte qui a généré la carte (par exemple, en changeant « Le chat est assis » par « Un félin s'est reposé »), le tatouage pourrait disparaître. Cependant, l'article propose une solution secondaire (le Mode C) qui vérifie l'empreinte digitale du texte original si le texte est disponible, bloquant ainsi 92 % de ces attaques de réécriture.
• Attaques par Oracle : Si un hacker peut interroger le système de vérification en demandant « Est-ce que cette carte est la vôtre ? » de manière répétée et obtenir une réponse « Oui » ou « Non » instantanée, il pourrait finir par découvrir le secret. L'article suggère de ralentir ces questions (limitation de débit) pour stopper cela, plutôt que de prétendre que les mathématiques le rendent impossible.

L'essentiel

HaloMark est un moyen robuste, rapide et minuscule de prouver la propriété des cartes mentales numériques, mais cela ne fonctionne que si les cartes sont suffisamment complexes. Il résout le problème des données « écrasées » en permettant au vérificateur de lire un reçu signé plutôt que de deviner le secret. Pour les cartes complexes qui alimentent l'IA moderne, la recherche et les recommandations, c'est un changement de donne majeur. Pour les plus simples, l'article admet que la porte reste fermée et que nous avons besoin de nouvelles idées pour la franchir.