🤖 machine learning

Dynamics-Level Watermarking of Flow Matching Models with Random Codes

यह शोध पत्र फ्लो मैचिंग मॉडल्स के लिए एक डायनेमिक्स-स्तर की वॉटरमार्किंग तकनीक प्रस्तुत करता है जो प्रशिक्षण के दौरान की-डिपेंडेंट (key-dependent) विक्षोभों के माध्यम से वेग क्षेत्र (velocity field) में संदेशों को एम्बेड करती है, जिससे जनरेशन की गुणवत्ता से समझौता किए बिना विश्वसनीय ब्लैक-बॉक्स डिटेक्शन सक्षम होता है।

मूल लेखक: Shuchan Wang

प्रकाशित 2026-05-18

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Shuchan Wang

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ इस शोध पत्र (paper) का सरल भाषा और रोज़मर्रा के उदाहरणों के साथ अनुवाद दिया गया है।

मुख्य विचार: निर्माण के "प्रवाह" (Flow) में एक गुप्त संदेश छिपाना

कल्पना कीजिए कि आपकी एक ऐसी फैक्ट्री है जो कस्टम खिलौने बनाती है। आप यह साबित करना चाहते हैं कि एक विशिष्ट खिलौना आपकी ही फैक्ट्री से आया है, भले ही कोई और उस खिलौने के डिज़ाइन की नकल कर ले या आपका नाम छिपाने की कोशिश करे।

वर्तमान में अधिकांश तरीके इन रचनाओं में वॉटरमार्क (watermark) डालने के दो तरीकों का उपयोग करते हैं:

तैयार खिलौने पर: तैयार उत्पाद पर एक छोटा, अदृश्य स्टिकर लगाना। (समस्या: यदि आप खिलौने को घिस देते हैं या उस पर पेंट कर देते हैं, तो स्टिकर गायब हो जाता है।)
फैक्ट्री के ब्लूप्रिंट में: उन निर्देशों में एक गुप्त कोड छिपाना जिनका पालन कर्मचारी करते हैं। (समस्या: यदि कोई ब्लूप्रिंट चुरा लेता है और कुछ नंबर बदल देता है, तो कोड टूट जाता है।)

यह शोध पत्र एक तीसरा, अधिक स्मार्ट तरीका प्रस्तावित करता है। गुप्त संदेश को खिलौने या ब्लूप्रिंट में छिपाने के बजाय, वे इसे फैक्ट्री की हलचल (movement) में छिपाते हैं।

उपमा: नदी और नाव

यह शोध पत्र फ्लो मैचिंग (Flow Matching) नामक AI पर केंद्रित है। इस AI को एक नदी के रूप में सोचें जो एक नाव (एक रैंडम नॉइज़ पार्टिकल) को एक शुरुआती बिंदु (बिंदु A) से एक गंतव्य (बिंदु B, जो एक वास्तविक छवि जैसे बिल्ली या संख्या है) तक ले जाती है।

वेलोसिटी फील्ड (Velocity Field): यह नदी की धारा है। यह नाव को ठीक से बताती है कि A से B तक पहुँचने के लिए उसे हर क्षण कितनी तेज़ी से और किस दिशा में चलना चाहिए।
वॉटरमार्क (Watermark): शोधकर्ता गंतव्य (अंतिम छवि) को नहीं बदलते। वे नक्शा (ब्लूप्रिंट) भी नहीं बदलते। इसके बजाय, वे नदी की धारा में एक सूक्ष्म, लयबद्ध लहर (wiggle) जोड़ देते हैं।

कल्पना कीजिए कि नदी आमतौर पर सीधी बहती है। शोधकर्ता नदी की धारा को एक साइन वेव (एक चिकनी, लुढ़कती हुई गति) की तरह आगे-पीछे लहराने के लिए बनाते हैं।

गुप्त संदेश (The Secret): लहर का पैटर्न ही गुप्त संदेश है।
जादू (The Magic): क्योंकि लहर आगे और फिर पीछे बिल्कुल सटीक रूप से जाती है, नाव अंततः उसी स्थान पर पहुँच जाती है जहाँ वह बिना लहर के होती। अंतिम छवि एकदम सही दिखती है। "लहर" यात्रा के दौरान पूरी तरह मौजूद थी, लेकिन अंतिम परिणाम में वह गायब हो जाती है।

यह कैसे काम करता है (सरल चरण)

1. ट्रेनिंग (गुप्त संदेश को समाहित करना)
जब AI चित्र बनाना सीख रहा होता है, तो शोधकर्ता उसे नदी की धारा में यह विशिष्ट "लहर" जोड़ने के लिए प्रशिक्षित करते हैं।

वे AI को एक गुप्त कुंजी (जैसे पासवर्ड) देते हैं।
उस कुंजी के आधार पर, AI धारा में एक विशिष्ट पैटर्न में लहर पैदा करना सीखता है जो एक संदेश (जैसे, "यह मॉडल कंपनी X का है") से मेल खाता है।
महत्वपूर्ण बात यह है कि लहर को इस तरह डिज़ाइन किया गया है कि पूरी यात्रा के दौरान वह खुद को रद्द (cancel) कर दे। नाव अभी भी सही जगह पर पहुँचती है।

2. डिटेक्शन (गुप्त संदेश को खोजना)
गुप्त संदेश खोजने के लिए आपको ब्लूप्रिंट या अंतिम छवि देखने की आवश्यकता नहीं है। आपको बस AI से पूछना है, "हे, अगर मैं इस समय नदी के इस स्थान पर हूँ, तो तुम मुझे किस दिशा में धकेल रहे हो?"

डिटेक्टर AI से हजारों ऐसे सवाल पूछता है (ब्लैक-बॉक्स क्वेरी)।
वह जवाबों में उस विशिष्ट लयबद्ध "लहर" को सुनता है।
यदि AI के पास गुप्त कुंजी है, तो डिटेक्टर संदेश को डिकोड कर सकता है। यदि AI के पास कुंजी नहीं है, तो उसे केवल रैंडम शोर (noise) सुनाई देता है।

यह क्यों विशेष है (5 महाशक्तियाँ)

शोध पत्र का दावा है कि यह विधि अन्य तरीकों की तुलना में पाँच बड़ी समस्याओं को हल करती है:

"घिसने" (Sanding) से अटूट: चूंकि गुप्त संदेश गति (dynamics) में है न कि अंतिम चित्र में, इसलिए आप चित्र को एडिट करके इसे हटा नहीं सकते। "लहर" चित्र बनने की प्रक्रिया का हिस्सा है।
ब्लैक-बॉक्स के अनुकूल: आपको AI के आंतरिक कोड या वेट्स (weights) को देखने की आवश्यकता नहीं है। आपको बस उससे प्रश्न पूछने में सक्षम होना चाहिए (जैसे API का उपयोग करके)।
गुणवत्ता बनाए रखता है: क्योंकि लहर समय के साथ खुद को रद्द कर देती है, इसलिए अंतिम चित्र उतने ही अच्छे दिखते हैं जितने बिना वॉटरमार्क के होते। शोधकर्ताओं ने संख्याओं (MNIST) और छोटी रंगीन तस्वीरों (CIFAR-10) पर इसका परीक्षण किया, और गुणवत्ता में कोई गिरावट नहीं आई।
इसे एक कुंजी (Key) की आवश्यकता है: यदि आपके पास गुप्त कुंजी (लहर का विशिष्ट पैटर्न) नहीं है, तो आप संदेश नहीं पा सकते। यह बिना फ्रीक्वेंसी के विशिष्ट रेडियो स्टेशन सुनने की कोशिश करने जैसा है; आपको केवल स्टेटिक सुनाई देता है। शोध पत्र ने पाया कि बिना कुंजी के, डिटेक्शन रेट अनुमान लगाने से बेहतर नहीं था।
बहुत सारा डेटा ले जा सकता है: यह केवल "हाँ/नहीं" वाला वॉटरमार्क नहीं है। यह एक पूरा संदेश (जैसे सीरियल नंबर या वर्जन आईडी) ले जा सकता है क्योंकि उन्होंने अलग-अलग लहर पैटर्न का एक "कोडबुक" इस्तेमाल किया है।

परिणाम

शोधकर्ताओं ने दो प्रकार के AI मॉडल (एक सरल जिसे MLP कहा जाता है और एक जटिल जिसे UNet कहा जाता है) पर इसका परीक्षण किया।

सफलता दर (Success Rate): वे वॉटरमार्क वाले मॉडल्स से गुप्त संदेश को 100% बार रिकवर कर सके।
गलत अलार्म (False Alarms): बिना वॉटरमार्क वाले मॉडल्स को कभी भी वॉटरमार्क वाले मॉडल्स के रूप में नहीं पहचाना गया (0% फॉल्स पॉजिटिव)।
गुणवत्ता (Quality): उत्पन्न चित्र मूल चित्रों जितने ही अच्छे थे।

निष्कर्ष

यह शोध पत्र एक तरीका पेश करता है जिससे किसी भी AI के भीतर उसके निर्माण की "गति" (motion) में एक गुप्त, अटूट, उच्च-गुणवत्ता वाला हस्ताक्षर डाला जा सकता है। यह एक नदी को एक गुप्त लय के साथ बहना सिखाने जैसा है जिसे केवल उसका मालिक ही सुन सकता है, यह सुनिश्चित करते हुए कि भले ही पानी को नए कप में डाला जाए, लय बनी रहे।

तकनीकी सारांश: रैंडम कोड्स के साथ फ्लो मैचिंग मॉडल्स का डायनेमिक्स-लेवल वॉटरमार्किंग

1. समस्या विवरण (Problem Statement)

यह शोध पत्र जनरेटिव मॉडल्स, विशेष रूप से फ्लो मैचिंग (Flow Matching) मॉडल्स के लिए एक सुदृढ़ और सत्यापन योग्य स्वामित्व संरक्षण (ownership protection) की आवश्यकता को संबोधित करता है। मौजूदा वॉटरमार्किंग पद्धतियां विशिष्ट सीमाओं से ग्रस्त हैं:

आउटपुट-लेवल विधियाँ (Output-level methods): ये जनरेट किए गए सैंपल्स में सिग्नल एम्बेड करती हैं, लेकिन इन्हें पोस्ट-प्रोसेसिंग के माध्यम से हटाया जा सकता है और ये स्वयं मॉडल के स्वामित्व को सिद्ध नहीं करती हैं।
वेट-लेवल विधियाँ (Weight-level methods): ये पैरामीटर्स में बिट्स एम्बेड करती हैं, लेकिन इनके लिए व्हाइट-बॉक्स एक्सेस की आवश्यकता होती है और ये फाइन-ट्यूनिंग या प्रूनिंग के प्रति संवेदनशील (fragile) होती हैं।
बिहेवियर-लेवल (बैकडोर) विधियाँ (Behavior-level methods): ये ब्लैक-बॉक्स सत्यापन का समर्थन करती हैं, लेकिन अक्सर दृश्य आर्टिफैक्ट्स (visible artifacts), सांख्यिकीय अनियमितताएं उत्पन्न करती हैं, या मजबूत क्रिप्टोग्राफिक कीइंग (cryptographic keying) का अभाव होता है (एक बार ट्रिगर मिल जाने पर, सत्यापन सरल हो जाता है)।

इसके अतिरिक्त, किसी भी पूर्व कार्य ने जनरेटिव प्रक्रिया के सीखे गए निरंतर डायनेमिक्स (learned continuous dynamics) यानी वेलोसिटी फील्ड (velocity field) में सीधे वॉटरमार्क को एम्बेड नहीं किया है। लेखक इस मूल प्रश्न को उठाते हैं: क्या एक सत्यापन योग्य, कीड (keyed), मल्टी-बिट संदेश को फ्लो मैचिंग मॉडल के वेलोसिटी फील्ड में सीधे एम्बेड किया जा सकता है ताकि डिटेक्शन के लिए केवल ब्लैक-बॉक्स एक्सेस की आवश्यकता हो, जनरेशन की गुणवत्ता बनी रहे, और गुप्त कुंजी (secret key) के बिना रिकवरी असंभव हो?

2. कार्यप्रणाली (Methodology)

मुख्य अवधारणा: ट्रांसपोर्ट डायनेमिक्स पर रैंडम कोडिंग (Random Coding over Transport Dynamics)

लेखक वॉटरमार्किंग को कंटीन्यूअस चैनल पर रैंडम कोडिंग के रूप में तैयार करते हैं। वेट्स या आउटपुट्स को संशोधित करने के बजाय, वे सीखे गए वेलोसिटी फील्ड $v_\theta(x, t)$ को एक उच्च-आयामी निरंतर चैनल (high-dimensional continuous channel) के रूप में देखते हैं। एक संदेश को इस वेलोसिटी फील्ड में एक की-डिपेंडेंट परटर्बेशन (key-dependent perturbation) जोड़कर एम्बेड किया जाता है।

वॉटरमार्क सिग्नल का निर्माण (Construction of the Watermark Signal)

वॉटरमार्क सिग्नल $s_{K,m}(x, t)$ को तीन शर्तों को पूरा करने के लिए बनाया गया है: समय के साथ शून्य-औसत (गुणवत्ता बनाए रखने के लिए), अनुमानित ऑर्थोगोनैलिटी (संदेश पृथक्करण के लिए), और एनर्जी नॉर्मलाइजेशन।

की (Key - $K$ ): इसमें एक सेमी-ऑर्थोगोनल प्रोजेक्शन मैट्रिक्स $P \in \mathbb{R}^{D \times k}$ और $\mathbb{R}^k$ में यूनिट वेक्टर्स का एक कोडबुक $C = \{c_m\}$ शामिल है।
सिग्नल की परिभाषा (Signal Definition): एक संदेश $m$ के लिए, सिग्नल को इस प्रकार परिभाषित किया गया है:
$s_{K,m}(x, t) = \sin(2\pi t) \cdot P c_m$
यहाँ, $P c_m$ वेलोसिटी स्पेस में कोडवर्ड को एम्बेड करता है, जबकि $\sin(2\pi t)$ एक टेम्पोरल कैरियर (temporal carrier) के रूप में कार्य करता है।
जीरो-मीन प्रॉपर्टी (Zero-Mean Property): $t \in [0, 1]$ पर $\sin(2\pi t)$ का इंटीग्रल शून्य है। फलस्वरूप, किसी भी जनरेटिव ट्रेजेक्टरी के साथ परटर्बेशन का इंटीग्रल शून्य हो जाता है, जो सैद्धांतिक रूप से जनरेट किए गए सैंपल्स के टर्मिनल डिस्ट्रीब्यूशन को सुरक्षित रखता है।

प्रशिक्षण प्रक्रिया (एम्बेडिंग) (Training Procedure - Embedding)

फ्लो मैचिंग ट्रेनिंग के दौरान, मॉडल को एक संयुक्त लॉस फंक्शन को मिनिमाइज करने के लिए ऑप्टिमाइज़ किया जाता है:

वेलोसिटी लॉस ( $L_{vel}$ ): यह मॉडल के वेलोसिटी $v_\theta$ को एक वॉटरमार्क किए गए टारगेट $\tilde{v} = u + \epsilon_0 s_{K,m}$ के विरुद्ध रिग्रेस करता है, जहाँ $u$ मानक कंडीशनल वेलोसिटी है।
वॉटरमार्क लॉस ( $L_{wm}$ ): यह एक रेगुलराइजेशन टर्म है जो मॉडल को ऐसे वेलोसिटी वेक्टर्स बनाने के लिए पुरस्कृत करता है जिनका डीमॉड्यूलेटेड प्रोजेक्शन ( $\sin(2\pi t) P^T v_\theta$ ) टारगेट कोडवर्ड $c_m$ के साथ संरेखित (align) होता है।

सैद्धांतिक विश्लेषण से पता चलता है कि इस ऑब्जेक्टिव के तहत इष्टतम प्रेडिक्टर में एक प्रभावी वॉटरमार्क स्ट्रेंथ $\epsilon_0 + \lambda/2$ शामिल है।

डिटेक्शन प्रक्रिया (ब्लैक-बॉक्स) (Detection Procedure - Black-Box)

डिटेक्शन के लिए केवल मॉडल के वेलोसिटी फील्ड तक क्वेरी एक्सेस की आवश्यकता होती है।

क्वेरीइंग (Querying): डिटेक्टर $N$ रैंडम पॉइंट्स $(x_i, t_i)$ को सैंपल करता है और मॉडल से वेलोसिटीज $v(x_i, t_i)$ के लिए क्वेरी करता है।
सिनक्रोनस डीमॉड्यूलेशन (Synchronous Demodulation): डिटेक्टर वेलोसिटीज को लेटेंट कोड स्पेस ( $P^T v$ ) में प्रोजेक्ट करता है और टेम्पोरल कैरियर $\sin(2\pi t_i)$ से गुणा करता है।
एवरेजिंग (Averaging): सिग्नेचर $\hat{s}$ का अनुमान लगाने के लिए परिणामों को औसत निकाला जाता है।
डिकोडिंग (Decoding): संदेश को कोडबुक में उस कोडवर्ड $c_m$ को खोजकर रिकवर किया जाता है जो $\hat{s}$ के साथ कोरिलेशन को मैक्सिमाइज करता है।

सुरक्षा और क्षमता (Security and Capacity)

सुरक्षा (Security): गुप्त कुंजी ( $P$ और $C$ ) के बिना, हमलावर को ग्रासमैन मैनिफोल्ड $Gr(k, D)$ पर एक सबस्पेस सर्च प्रॉब्लम और सबस्पेस के आधार (basis) के संबंध में एक नॉन-आइडेंटिफिएबिलिटी समस्या का सामना करना पड़ता है। अनुभवजन्य रूप से, गलत कुंजी के साथ डिटेक्शन चांस-लेवल एक्यूरेसी (chance-level accuracy) देता है।
क्षमता (Capacity): चैनल क्षमता प्रोजेक्शन डायमेंशन $k$ के साथ रैखिक रूप से और क्वेरीज की संख्या $N$ के साथ लॉगरिदमिक रूप से स्केल करती है।

3. प्रमुख योगदान (Key Contributions)

डायनेमिक्स-लेवल एम्बेडिंग: फ्लो मैचिंग मॉडल्स के निरंतर वेलोसिटी फील्ड में सीधे वॉटरमार्क एम्बेड करने वाला पहला कार्य, न कि वेट्स या आउटपुट्स में।
गुणवत्ता संरक्षण (Quality Preservation): एक ऐसा परटर्बेशन डिज़ाइन किया गया है जो ट्रेजेक्टरीज के ऊपर शून्य को इंटीग्रेट करता है, जिससे यह सुनिश्चित होता है कि जनरेटेड डिस्ट्रीब्यूशन सांख्यिकीय रूप से अनवॉटरमार्क किए गए वर्जन से अलग न हो।
कीड सुरक्षा (Keyed Security): एक ऐसी योजना लागू की गई है जहाँ डिटेक्शन और मैसेज रिकवरी के लिए सख्त रूप से एक गुप्त कुंजी (प्रोजेक्शन मैट्रिक्स और कोडबुक) की आवश्यकता होती है; इसके बिना, सटीकता रैंडम गेसिंग तक गिर जाती है।
मल्टी-बिट क्षमता (Multi-bit Capacity): मालिक की पहचान और ट्रेयटर ट्रेसिंग (traitor tracing) जैसे अनुप्रयोगों को सक्षम करने के लिए कोडबुक कंस्ट्रक्शन का उपयोग किया गया है।
अनुभवजन्य सत्यापन (Empirical Validation): MLP और UNet आर्किटेक्चर का उपयोग करके MNIST और CIFAR-10 पर विधि को मान्य किया गया।

4. प्रयोगात्मक परिणाम (Experimental Results)

लेखकों ने विभिन्न सेटिंग्स (MNIST/CIFAR-10, MLP/UNet, विभिन्न ट्रेनिंग स्टेप्स) में विधि का मूल्यांकन किया।

डिटेक्शन एक्यूरेसी (Detection Accuracy): वॉटरमार्क किए गए मॉडल्स ने सभी परीक्षण की गई कॉन्फ़िगरेशन में 100% मैसेज रिकवरी हासिल की। क्लीन मॉडल्स (अनवॉटरमार्क किए गए) ने 0% फाल्स पॉजिटिव (या एक विशिष्ट मामले में 2.5%, जो 3.1% के रैंडम गेस बेसलाइन से नीचे है) दिए।
कीड सुरक्षा (Keyed Security): एक रैंडम प्रोजेक्शन मैट्रिक्स (गलत कुंजी) का उपयोग करने वाले हमलों के परिणामस्वरूप 0/50 सही रिकवरी हुई, जो रैंडम गेस रेट से मेल खाती है।
सांख्यिकीय पृथक्करण (Statistical Separation): वॉटरमार्क किए गए और क्लीन मॉडल के सिग्नेचर के बीच का अंतर महत्वपूर्ण था, जिसमें न्यूनतम सेपरेशन 8.4 $\sigma$ से अधिक (कुछ सेटिंग्स में 25.5 $\sigma$ तक) था।
गुणवत्ता संरक्षण (Quality Preservation): वॉटरमार्क किए गए और क्लीन मॉडल्स के बीच फ्रेट चेत इनसेप्शन डिस्टेंस (FID) रेशियो 1.0 $\times$ के करीब रहा (0.95 $\times$ से 1.10 $\times$ के बीच)। कुछ मामलों में, वॉटरमार्क किए गए मॉडल्स में थोड़ा कम FID देखा गया, जिसका कारण वॉटरमार्क के बजाय रैंडम ट्रेनिंग वेरिएशन था।
स्थिरता (Persistence): ट्रेनिंग को 10,000 स्टेप्स तक बढ़ाने से वॉटरमार्क रिकवरी में गिरावट नहीं आई।

5. महत्व और दावे (Significance and Claims)

यह शोध पत्र दावा करता है कि डायनेमिक्स-लेवल वॉटरमार्किंग निम्नलिखित के लिए एक मजबूत आधार प्रदान करता है:

मॉडल ओनरशिप वेरिफिकेशन (Model Ownership Verification): ब्लैक-बॉक्स क्वेरीज के माध्यम से तैनात मॉडल के स्वामित्व को सिद्ध करना।
ट्रेयटर ट्रेसिंग (Traitor Tracing): विभिन्न ग्राहकों को वितरित किए गए मॉडल की विशिष्ट कॉपियों की पहचान करना।
नियामक अनुपालन (Regulatory Compliance): जनरेटिव मॉडल्स की उत्पत्ति (provenance) को सत्यापित करना।

लेखक इस बात पर जोर देते हैं कि उनका दृष्टिकोण निरंतर संचार चैनल (continuous communication channel) के रूप में सीखे गए वेलोसिटी फील्ड को मानता है, जिसका उपयोग वॉटरमार्किंग से परे भी किया जा सकता है। वे स्पष्ट रूप से कहते हैं कि हालांकि यह विधि आशाजनक है, लेकिन डिप्लॉयमेंट-स्केल मूल्यांकन और चैनल क्षमता के कठोर परिमित-नमूना विश्लेषण (finite-sample analysis) को भविष्य के कार्य के लिए छोड़ दिया गया है। यह पेपर सभी जनरेटिव मॉडल परिवारों के लिए वॉटरमार्किंग समाधान करने का दावा नहीं करता है, बल्कि विशेष रूप से फ्लो मैचिंग फ्रेमवर्क के भीतर इसकी प्रभावकारिता को प्रदर्शित करता है।