🤖 AI

Mitigating Watermark Forgery in Generative Models via Randomized Key Selection

यह शोध पत्र जनरेटिव एआई के लिए एक प्रमाणित रूप से जालसाजी-प्रतिरोधी (forgery-resistant) रक्षा प्रस्तावित करता है जो वॉटरमार्क कुंजी चयन को यादृच्छिक (randomize) बनाता है और सामग्री को केवल तभी स्वीकार करता है जब वह ठीक एक कुंजी द्वारा पता लगाई जाती है, जो मॉडल उपयोगिता को कम किए बिना या कम्प्यूटेशनल ओवरहेड बढ़ाए बिना जालसाजी हमलों को प्रभावी ढंग से कम करता है।

मूल लेखक: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

प्रकाशित 2026-05-12

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Toluwani Aremu, Noor Hussein, Munachiso Nwadike, Samuele Poppi, Jie Zhang, Karthik Nandakumar, Neil Gong, Nils Lukas

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ "Mitigating Watermark Forgery in Generative Models via Randomized Key Selection" पेपर का सरल भाषा और रोजमर्रा के उदाहरणों के साथ विवरण दिया गया है।

बड़ी समस्या: AI के लिए नकली आईडी (Fake IDs)

कल्पना कीजिए कि एक प्रसिद्ध बेकरी (AI प्रदाता) है जो हर दिन लाखों केक बनाती है। यह साबित करने के लिए कि केक उनके ओवन से आया है, वे फ्रॉस्टिंग के अंदर एक छोटा सा, अदृश्य "गुप्त स्टैम्प" (secret stamp) लगा देते हैं। यदि आप एक विशेष टॉर्च (डिटेक्टर) से ध्यान से देखें, तो आप उस स्टैम्प को देख सकते हैं और जान सकते हैं कि, "हाँ, यह वास्तव में उस प्रसिद्ध बेकरी का केक है।"

खतरा: एक बुरा व्यक्ति (हमलावर) अपने गंदे किचन में एक बुरा केक (हानिकारक सामग्री) बनाना चाहता है, लेकिन वह लोगों को यह विश्वास दिलाना चाहता है कि यह प्रसिद्ध बेकरी से आया है। वह उस गुप्त स्टैम्प की नकल करने और उसे अपने बुरे केक पर लगाने की कोशिश करता है। यदि वह सफल हो जाता है, तो बेकरी को उस बुरे केक के लिए दोषी ठहराया जाएगा, जिससे उनकी प्रतिष्ठा खराब हो जाएगी।

पुराना समाधान: "बहुत सारे स्टैम्प" वाली समस्या

पहले, जालसाजों को रोकने के लिए, बेकरी ने एक सरल तरीका अपनाया: उन्होंने हर एक केक पर कई अलग-अलग गुप्त स्टैम्प लगाए।

तर्क: "यदि कोई जालसाज स्टैम्प की नकल करने की कोशिश करता है, तो वह शायद एक को सही पकड़ ले, लेकिन वह उन सभी की पूरी तरह से नकल नहीं कर सकता।"
खामी: यह एक केक पर 100 अलग-अलग अदृश्य स्टैम्प लगाने जैसा था। इससे केक भारी और अजीब हो गया (मॉडल की गुणवत्ता कम हो गई)। साथ भी, यदि जालसाज बेकरी से काफी केक चुरा लेता है ताकि वे अध्ययन कर सके, तो वह अंततः सभी स्टैम्प की नकल करने का तरीका सीख सकता था।

नया समाधान: "रैंडम की" (Random Key) लॉटरी

इस पेपर के लेखक बेकरी को सुरक्षित रखने के लिए एक स्मार्ट और हल्का तरीका प्रस्तावित करते हैं। एक ही केक पर कई स्टैम्प लगाने के बजाय, वे खेल के नियम बदल देते हैं।

1. जनरेशन चरण (केक बनाना)

हर बार जब कोई ग्राहक केक का ऑर्डर देता है, तो बेकरी एक निश्चित स्टैम्प का उपयोग नहीं करती है। इसके बजाय, उनके पास विभिन्न गुप्त स्टैम्प (कीज़) का एक बड़ा बॉक्स होता है।

हर ऑर्डर के लिए, वे बॉक्स में हाथ डालते हैं, एक रैंडम स्टैम्प निकालते हैं, और केवल उसी एक का उपयोग करते हैं।
ग्राहक को सिर्फ एक अदृश्य स्टैम्प वाला केक मिलता है, ठीक पहले की तरह। केक का स्वाद बिल्कुल वैसा ही रहता है (गुणवत्ता में कोई कमी नहीं आती)।

2. डिटेक्शन चरण (केक की जाँच करना)

जब कोई व्यक्ति केक की जाँच करने के लिए बेकरी में लाता है, तो बेकरी केवल एक स्टैम्प की तलाश नहीं करती। वे केक की जाँच बॉक्स में मौजूद सभी स्टैम्पों के विरुद्ध करते हैं।

परिदृश्य A: कोई स्टैम्प नहीं मिला। केक किसी अजनबी का है। (परिणाम: "हमारा नहीं है।")
परिदृश्य B: ठीक एक स्टैम्प मिला। केक में वही विशिष्ट स्टैम्प है जो बेकरी ने उस बैच के लिए इस्तेमाल किया था। (परिणाम: "यह असली है!")
परिदृश्य C: दो या अधिक स्टैम्प मिले। यह जादुई ट्रिक है। यदि बेकरी ने हमेशा एक केक पर केवल एक स्टैम्प लगाया है, तो एक केक में दो अलग-अलग स्टैम्प कैसे हो सकते हैं?
- निष्कर्ष: यह एक नकली (forgery) है! जालसाजी करने वाले ने स्टैम्प की नकल करने की कोशिश की, लेकिन क्योंकि उसे नहीं पता था कि उस विशिष्ट केक के लिए कौन सा स्टैम्प इस्तेमाल किया गया था, उसने अनजाने में स्टैम्पों का मिश्रण कॉपी कर लिया। बेकरी उस मिश्रण को देखती है और कहती है, "यह एक जालसाजी है।"

यह गेम-चेंजर क्यों है?

पेपर का दावा है कि यह तरीका तीन मुख्य कारणों से शक्तिशाली है:

यह नकलचीओं के लिए एक जाल है: केक की नकल करने के लिए, हमलावर को यह अनुमान लगाना होगा कि किस विशिष्ट स्टैम्प का उपयोग किया गया था। लेकिन चूंकि बेकरी हर बार एक रैंडम स्टैम्प चुनती है, इसलिए हमलावर अंधेरे में तीर चला रहा है। यदि वे कई केक से सीखने की कोशिश करते हैं, तो वे अंततः सभी स्टैम्पों का एक "मिश्रण" सीख लेते हैं। जब वे उस मिश्रण को अपने नकली केक पर लगाने की कोशिश करते हैं, तो बेकरी का डिटेक्टर कई स्टैम्प देखता है और तुरंत उसे खारिज कर देता है।
यह केक को नुकसान नहीं पहुँचाता: एक ही केक पर कई स्टैम्प लगाने के पुराने तरीके के विपरीत, यह तरीका केक को हल्का और स्वादिष्ट बनाए रखता है। AI मॉडल धीमा नहीं होता या इसकी टेक्स्ट/इमेज की गुणवत्ता खराब नहीं होती।
यह तब भी काम करता है जब हमलावर स्मार्ट हो: पेपर दिखाता है कि भले ही हमलावर अध्ययन करने के लिए हजारों केक चुरा ले, फिर भी वह सफलतापूर्वक नकल नहीं कर सकता। जालसाजी की सफलता दर पुराने तरीकों के लगभग 100% से गिरकर इस नए तरीके के साथ 2% तक कम हो जाती है।

"ब्लाइंड" (अंधा) बनाम "इन्फॉर्म्ड" (जानकार) हमलावर

पेपर दो प्रकार के बुरे तत्वों के बीच अंतर करता है:

द ब्लाइंड अटैकर (Blind Attacker): वे केक चुराते हैं लेकिन उन्हें नहीं पता कि किस केक पर कौन सा स्टैम्प इस्तेमाल किया गया था। वे रैंडमाइजेशन से पूरी तरह भ्रमित रहते हैं। यह नया तरीका उन्हें लगभग पूरी तरह से रोक देता है।
द इन्फॉर्म्ड अटैकर (Informed Attacker): वे किसी तरह यह पता लगा लेते हैं कि किस केक पर कौन सा स्टैम्प इस्तेमाल किया गया था (यह एक बहुत कठिन कार्य है जिसके लिए सुरक्षा उल्लंघन की आवश्यकता होती है)। यदि वे ऐसा कर सकते हैं, तो वे अभी भी केक की नकल कर सकते हैं, लेकिन पेपर नोट करता है कि इसके लिए बेकरी की आंतरिक सुरक्षा को तोड़ना आवश्यक है।

सारांश

इस नए तरीके को डिजिटल सामग्री के लिए एक लॉटरी टिकट सिस्टम की तरह समझें।

पुराना तरीका: हर किसी को 10 नंबरों वाला टिकट मिलता है। यदि आप 10 नंबरों का अनुमान लगा लेते हैं, तो आप जीत जाते हैं। अनुमान लगाना कठिन है, लेकिन टिकट भारी होता है।
नया तरीका: हर किसी को 1 नंबर वाला टिकट मिलता है। लेकिन सिस्टम यह जाँचता है कि क्या आपके टिकट में जीतने वाले पूल से ठीक एक नंबर है।
- यदि आपके पास 0 नंबर हैं: आप हार गए।
- यदि आपके पास 1 नंबर है: आप जीत गए!
- यदि आपके पास 2 नंबर हैं: आपने धोखाधड़ी की! (क्योंकि सिस्टम ने केवल एक व्यक्ति को 1 नंबर दिया था।)

हमलावर को यह अनुमान लगाने के लिए मजबूर करके कि किस "लॉटरी टिकट" (की) का उपयोग किया गया था, और बहुत अधिक नंबरों का अनुमान लगाने पर उन्हें दंडित करके, बेकरी अपने वास्तविक उत्पादों की गुणवत्ता खराब किए बिना तुरंत नकली चीज़ों को पकड़ सकती है।

तकनीकी सारांश: रैंडमाइज्ड की सिलेक्शन के माध्यम से जनरेटिव मॉडल्स में वॉटरमार्क फोर्जरी को कम करना

1. समस्या विवरण

जेनरेटिव एआई (GenAI) प्रदाता अपनी सामग्री को उनके मॉडल्स से जोड़ने के लिए वॉटरमार्किंग का उपयोग करते हैं, जिसमें एक गुप्त कुंजी (secret key) के माध्यम से छिपे हुए संकेतों को एम्बेड किया जाता है। इस इकोसिस्टम के लिए एक महत्वपूर्ण सुरक्षा खतरा फोर्जरी हमले (forgery attacks) हैं, जहाँ हमलावर किसी प्रदाता के वॉटरमार्क को ऐसी सामग्री में डाल देते हैं जो उस प्रदाता द्वारा जेनरेट नहीं की गई है। यह हमलावरों को किसी प्रतिष्ठित प्रदाता की सामग्री (जैसे कि गलत सूचना, हिंसा, या स्पैम) को गलत तरीके से उसका श्रेय दिलाने की अनुमति देता है, जिससे प्रदाता की प्रतिष्ठा को नुकसान पहुँचता है और वे कानूनी दायित्वों के प्रति संवेदनशील हो जाते हैं।

मौजूदा रक्षा प्रणालियों की महत्वपूर्ण सीमाएँ हैं:

सांख्यिकीय पहचान (Statistical detection): टोकन वितरण या आर्टिफैक्ट्स का विश्लेषण अक्सर अनुकूलित (adaptive) हमलावरों के विरुद्ध विफल हो जाता है।
की रोटेशन (Key rotation): $N$ सैंपल्स के बाद कुंजियों को बदलना प्रबंधन की जटिलता को बढ़ाता है और इष्टतम $N$ स्पष्ट नहीं होता है।
मल्टी-की एम्बेडिंग (Multi-key embedding): एक ही सैंपल में कई कुंजियों को एम्बेड करने से मॉडल की उपयोगिता (utility) कम हो जाती है और, जैसा कि पिछले कार्यों में दिखाया गया है, यदि हमलावर वॉटरमार्क पैटर्न को निकालने (distill) के लिए पर्याप्त संख्या में वॉटरमार्क किए गए सैंपल्स ( $N$ ) एकत्र कर लेता है, तो यह अभी भी असुरक्षित रहता है।

मुख्य चुनौती एक ऐसी फोर्जरी प्रतिरोधक क्षमता (forgery resistance) प्राप्त करना है जो वॉटरमार्क किए गए सैंपल्स की संख्या के बावजूद प्रभावी बनी रहे, बिना जेनेरेटिव मॉडल की उपयोगिता को कम किए।

2. कार्यप्रणाली (Methodology)

लेखक एक रैंडमाइज्ड की सिलेक्शन (randomized key selection) रणनीति प्रस्तावित करते हैं जो मौजूदा वॉटरमार्किंग विधियों के लिए एक ब्लैक-बॉक्स रैपर के रूप में कार्य करती है (जो टेक्स्ट और इमेज दोनों मोडैलिटीज पर लागू होती है)।

मुख्य तंत्र

जेनरेशन (Generation): प्रत्येक उपयोगकर्ता क्वेरी के लिए, प्रदाता $r$ कुंजियों के पूल ( $K = \{k_1, ..., k_r\}$ ) में से ठीक एक गुप्त कुंजी को चुनी हुई चुनता है ताकि जेनरेट की गई सामग्री को वॉटरमार्क किया जा सके। यह जेनरेशन ओवरहेड के मामले में मानक सिंगल-की वॉटरमार्किंग के समान है।
डिटेक्शन (Detection): प्रदाता सामग्री पर पूल की सभी $r$ कुंजियों के लिए डिटेक्शन टेस्ट चलाता है।
निर्णय नियम (Decision Rule):
- असली (Genuine): ठीक एक कुंजी पहचानी जाती है (सांख्यिकीय रूप से महत्वपूर्ण)।
- फर्जी (Forged): शून्य कुंजियाँ पहचानी जाती हैं (सामग्री प्रदाता की नहीं है) OR दो या अधिक कुंजियाँ पहचानी जाती हैं।
- तर्क (Logic): एक हमलावर जो वॉटरमार्क किए गए सैंपल्स के डेटासेट (जहाँ प्रत्येक सैंपल एक अलग रैंडम की का उपयोग करता है) से पैटर्न को निकालने (distill) का प्रयास करता है, वह अनजाने में वॉटरमार्क सिग्नल्स के एक "मिश्रण" (mixture) को सीख लेगा। परिणामस्वरूप, उनकी फर्जी सामग्री एक साथ कई कुंजियों को ट्रिगर करने की संभावना रखती है, जिससे उसे खारिज कर दिया जाता है।

सैद्धांतिक ढांचा (Theoretical Framework)

यह विधि "ब्लाइंड" हमलावरों (blind attackers) की धारणा पर आधारित है जो यह अंतर नहीं कर सकते कि किस विशिष्ट कुंजी का उपयोग किस विशिष्ट सैंपल को जेनरेट करने के लिए किया गया था।

थ्रेशोल्ड कैलिब्रेशन (Threshold Calibration): $r$ टेस्ट्स में फैमिली-वाइज एरर रेट (FWER) को नियंत्रित करने के लिए, प्रति-की थ्रेशोल्ड $\tau$ को Šidák correction का उपयोग करके समायोजित किया जाता है: $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$ ।
सैद्धांतिक सीमा (Theoretical Bound): ब्लाइंड हमलावरों के लिए, एक सैंपल को सफलतापूर्वक फोर्ज करने (ठीक एक कुंजी को ट्रिगर करने) की सफलता दर को सीमित किया गया है। सफलता दर तब अधिकतम होती है जब प्रति-की डिटेक्शन प्रोबेबिलिटी $1/r$ होती है, जिससे $(1 - 1/r)^{r-1}$ की एक ऊपरी सीमा प्राप्त होती। महत्वपूर्ण रूप से, यह सीमा हमलावर के पास उपलब्ध सैंपल्स की संख्या ( $N$ ) से स्वतंत्र है, जो पिछले मल्टी-की दृष्टिकोणों के विपरीत है जहाँ गारंटी $N$ बढ़ने के साथ घट जाती है।

3. मुख्य योगदान

रैंडमाइज्ड की सिलेक्शन स्ट्रैटेजी: एक सरल, ब्लैक-बॉक्स दृष्टिकोण जो नए वॉटरमार्किंग स्कीम्स की आवश्यकता के बिना विभिन्न हमलों के विरुद्ध वॉटरमार्क फोर्जरी प्रतिरोध को महत्वपूर्ण रूप से सुधारता है।
सैद्धांतिक गारंटी: हमलावर के सैंपल साइज से स्वतंत्र होने वाली पहली फोर्जरी सफलता की सैद्धांतिक सीमा।
अनुभवजन्य सत्यापन (Empirical Validation): टेक्स्ट (LLMs) और इमेज (डिफ्यूजन मॉडल्स) मोडैलिटीज पर व्यापक परीक्षण, जो वॉटरमार्क फोर्जरी सफलता में निरंतर कमी प्रदर्शित करता है।
ओपन सोर्स: कार्यान्वयन कोड का रिलीज।

4. प्रयोगात्मक परिणाम

लेखकों ने एडव बेंच (AdvBench), हार्मफुल क्यू (HarmfulQ), और सेलेब ए (CelebA) जैसे डेटासेट्स का उपयोग करके एडेप्टिव हमलावरों (दोनों "ब्लाइंड" और "इन्फॉर्म्ड") के विरुद्ध अपने मेथड का मूल्यांकन किया।

टेक्स्ट मोडैलिटी (Text Modality):
- चार वॉटरमार्किंग वेरिएंट्स (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard) का उपयोग करते हुए, इस पद्धति ने फोर्जरी सफलता दर को सिंगल-की बेसलाइन्स के लिए लगभग पूर्ण (99-100% तक) से घटाकर 4 कुंजियों के साथ केवल 2% तक कम कर दिया।
- उदाहरण के लिए, AdvBench पर Unigram स्कीम के साथ, फोर्जरी सफलता 68% (सिंगल-की) से गिरकर 16% (4 कुंजियां) हो गई।
- यह विधि बड़े मॉडल्स (जैसे LLaMA-13B) तक स्केल करने और डिस्टिलेशन-आधारित हमलों के खिलाफ भी प्रभावी रही।
इमेज मोडैलिटी (Image Modality):
- Tree-Ring वॉटरमार्किंग मेथड पर लागू होने पर, इस दृष्टिकोण ने फोर्जरी सफलता को 100% (सिंगल-की) से घटाकर 4 कुंजियों के साथ 2% कर दिया।
- डिफेंस ने हमलावर के पास उपलब्ध ट्रेनिंग इमेज की संख्या के बावजूद कम फोर्जरी दर बनाए रखी (5,000 सैंपल्स तक टेस्ट किया गया)।
उपयोगिता और मजबूती (Utility and Robustness):
- फॉल्स नेगेटिव रेट (FNR): यह विधि वास्तविक सामग्री का पता लगाने की क्षमता को सुरक्षित रखती है। वास्तविक वॉटरमार्क की गई सामग्री के लिए FNR नगण्य (4 कुंजियों के साथ 0-3% भी) रहा, जो दर्शाता है कि मॉडल की उपयोगिता या डिटेक्शन सटीकता में कोई महत्वपूर्ण गिरावट नहीं आई है।
- मजबूती (Robustness): पैराफ्रेसिंग हमलों (जैसे Dipper) के खिलाफ मजबूती मूल वॉटरमार्किंग स्कीम के अनुरूप बनी रही, क्योंकि यह रैपर एम्बेडिंग प्रक्रिया को नहीं बदलता है।

5. महत्व और सीमाएं

महत्व:
पेपर का तर्क है कि यह दृष्टिकोण मौजूदा वॉटरमार्किंग सिस्टम के लिए एक व्यावहारिक, तैनात करने योग्य सुरक्षा परत प्रदान करता है। की सिलेक्शन को रैंडमाइज करके और "ठीक एक" डिटेक्शन नियम लागू करके, यह एक सांख्यिकीय बाधा बनाता है जिसे एवरेजिंग-आधारित हमले पार नहीं कर सकते। यह जटिल की रोटेशन शेड्यूल्स की आवश्यकता को समाप्त करता है और उच्च मॉडल उपयोगिता बनाए रखता है।

सीमाएं और धारणाएं:

ब्लाइंड बनाम इन्फॉर्म्ड हमलावर: सैद्धांतिक गारंटी "ब्लाइंड" हमलावरों के विरुद्ध मान्य है। यदि कोई हमलावर यह अनुमान लगा सकता है कि किस कुंजी ने किस विशिष्ट सैंपल को जेनरेट किया है (जैसे सिस्टम ब्रीच या साइड-चैनल के माध्यम से), तो वे कुंजियों के आधार पर सैंपल्स को क्लस्टर कर सकते हैं और अधिक प्रभावी ढंग से फोर्ज कर सकते हैं। प्रयोगों में "इन्फॉर्म्ड" हमलावरों (जिनके पास की लेबल्स थे) के साथ, फोर्जरी सफलता ~65% पर स्थिर हो गई, हालांकि इसके लिए व्यावहारिक रूप से की लेबल्स तक पहुंच की आवश्यकता होती है।
इंस्टेंस-आधारित हमले (Instance-Based Attacks): यह विधि उन "इंस्टेंस-आधारित" हमलों के खिलाफ बचाव नहीं कर सकती जहाँ एक सिंगल सैंपल ( $N=1$ ) का उपयोग करके वॉटरमार्क को फोर्ज किया जा सकता है। यह मूल वॉटरमार्किंग पद्धति (जैसे Tree-Ring) की कमजोरी है, न कि प्रस्तावित डिफेंस की।
कंप्यूटेशनल ओवरहेड (Computational Overhead): वेरिफिकेशन कुंजियों की संख्या ( $r$ ) के साथ रैखिक रूप से स्केल होता है। हालांकि टेक्स्ट के लिए यह नगण्य है (माइक्रोसेकंड्स), लेकिन डिफ्यूजन मॉडल इन्वर्जन की आवश्यकता वाले इमेज वॉटरमार्क्स के लिए यह अधिक गणनात्मक हो सकता है।
ट्रेड-ऑफ (Trade-offs): कुंजियों की संख्या बढ़ाने के लिए ग्लोबल फॉल्स पॉजिटिव रेट को बनाए रखने के लिए डिटेक्शन थ्रेशोल्ड को बढ़ाना आवश्यक है, जिससे मूल वॉटरमार्क की ट्रू पॉजिटिव रेट (रोबस्टनेस) थोड़ी कम हो सकती है, हालांकि अनुभवजन्य परिणाम दिखाते हैं कि इसका प्रभाव मामूली (2-3%) है।

निष्कर्षतः, लेखक तर्क देते हैं कि रैंडमाइज्ड की सिलेक्शन एक तैयार-से-डिप्लॉयमेंट समाधान है जो वर्तमान ह्यूरिस्टिक वॉटरमार्किंग स्कीम्स के लिए वॉटरमार्क फोर्जरी के खतरे को प्रभावी ढंग से कम करता है, बशर्ते की (key) की गोपनीयता बनी रहे।