💻 computer science

A Watermark for Vision-Language-Action and World Action Models

यह शोध पत्र एक "कीड लेटेंट-प्रोवेनेंस वेरिफिकेशन" (keyed latent-provenance verification) विधि प्रस्तावित करता है जो गॉसियन नॉइज़ सीड्स (Gaussian noise seeds) के माध्यम से विजन-लैंग्वेज-एक्शन और वर्ल्ड एक्शन मॉडल्स में अदृश्य, सांख्यिकीय रूप से समान वॉटरमार्क एम्बेड करता है, जिससे मालिकों को प्रतिकूल हमलों या वेट संशोधनों (weight modifications) के बाद भी मॉडल स्वामित्व को विश्वसनीय रूप से सत्यापित करने और चोरी का पता लगाने में सक्षम बनाया जा सके।

मूल लेखक: Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

प्रकाशित 2026-06-23

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक अत्यंत परिष्कृत, कस्टम-निर्मित रोबोट शेफ है। आपने वर्षों तक इसे अपने पारिवारिक गुप्त व्यंजनों और विशाल कंप्यूटिंग शक्ति के साथ प्रशिक्षित किया है। अब, आप इसके "मस्तिष्क" (वह सॉफ़्टवेयर जो रोबोट को बताता है कि कैसे हिलना है) को अन्य रेस्टोरेंट्स को एक सेवा के रूप में बेचना चाहते हैं। आप उन्हें वास्तविक कोड (वेट्स/weights) नहीं देना चाहते क्योंकि वे इसे चुरा सकते हैं, कॉपी कर सकते हैं, या आपके प्रतिस्पर्धियों को बेच सकते हैं। इसके बजाय, आप उन्हें एक "ब्लैक बॉक्स" इंटरफ़ेस के माध्यम से इसका उपयोग करने देते हैं: वे "सैंडविच बनाओ" जैसा कमांड भेजते हैं, और रोबोट उन्हें मोटर मूवमेंट की एक सूची वापस भेजता है।

समस्या यह है कि आप बाद में यह कैसे साबित करेंगे कि कोई विशिष्ट रेस्टोरेंट आपके ही रोबोट मस्तिष्क का उपयोग कर रहा है और न कि उनके द्वारा बनाए गए किसी सस्ते नकली संस्करण का?

यह पेपर रोबोट के मस्तिष्क को वॉटरमार्क (watermark) करने का एक नया तरीका पेश करता है। इसे एक छिपे हुए, अदृश्य निशान की तरह समझें जिसे केवल आप देख सकते हैं, लेकिन यह आपके रोबट के खाना बनाने के तरीके को नहीं बदलता है।

पुराने तरीकों के साथ समस्या

पिछले प्रयासों में दो मुख्य कमियां थीं:

"बैकडोर" (Backdoor) विधि: यह कोड में एक गुप्त ट्रिगर छिपाने जैसा था (जैसे, यदि रोबोट एक विशिष्ट ध्वनि सुनता है, तो वह एक अजीब नृत्य करता है)। लेकिन यदि आपके पास कई अलग-अलग ग्राहक हैं, तो आपको प्रत्येक के लिए एक अलग गुप्त नृत्य की आवश्यकता होगी, जो बहुत अव्यवस्थित है। साथ ही, यदि ग्राहक बाद में कोड में बदलाव करता है, तो वह नृत्य काम करना बंद कर सकता है।
"आउटपुट नॉइज़" (Output Noise) विधि: यह रोबोट की गतिविधियों में एक विशिष्ट गूँज या कंपन जोड़ने जैसा था जिसे केवल आप सुन सकते थे। लेकिन यह रोबोट पर एक चमकीले लाल रंग का "मैं चोरी हुआ हूँ" का साइन बोर्ड लगाने जैसा है। एक चतुर चोर बिना सैंडविच बनाना रोके, उस विशिष्ट गूँज को हटाने के लिए आसानी से एक फ़िल्टर का उपयोग कर सकता है।

नया समाधान: "सीक्रेट सीड" (Secret Seed)

लेखक एक विधि प्रस्तावित करते हैं जिसे कीड लेटेंट-प्रोवेनेंस वेरिफिकेशन (Keyed Latent-Provenance Verification) कहा जाता है। यहाँ इसकी उपमा दी गई है:

कल्पना कीजिए कि रोबोट का मस्तिष्क एक शेफ है जिसे यह तय करने की आवश्यकता है कि आगे क्या करना है। निर्णय लेने से पहले, शेफ थोड़ा रचनात्मकता या "नॉइज़" जोड़ने के लिए एक सिक्का उछालता है (या एक रैंडम नंबर चुनता है) है।

चाल (The Trick): आप केवल एक सामान्य सिक्का नहीं उछालते। आप एक विशेष, भारित (weighted) सिक्का उछालते हैं जो देखने में बिल्कुल सामान्य सिक्के जैसा है, लेकिन इसमें एक सूक्ष्म, छिपा हुआ झुकाव (bias) है जिसे केवल आप जानते हैं।
परिणाम: रोबोट अभी भी बेहतरीन सैंडविच बनाता है। गतिविधियाँ 100% सामान्य दिखती हैं। लेकिन क्योंकि "सिक्का उछालना" थोड़ा अलग था, इसलिए गतिविधियों का पूरा क्रम एक छिपे हुए फिंगरप्रिंट को वहन करता है, ठीक वैसे ही जैसे आटे में एक अद्वितीय पैटर्न होता है।

यह कैसे काम करता है (दो चरण)

1. इंजेक्शन (बीज बोना - The Injection)
जब आप रोबोट को तैनात करते हैं, तो आप सामान्य रैंडम नंबर जनरेटर को अपने "कीड" (keyed) संस्करण के साथ बदल देते हैं।

उपमा: कल्पना कीजिए कि आप ब्रेड बना रहे हैं। आप एक विशेष आटे के मिश्रण का उपयोग करते हैं जो ग्राहक के लिए नियमित आटे जैसा दिखता है और स्वाद में भी वैसा ही है। लेकिन आप जानते हैं कि इस विशिष्ट मिश्रण से ब्रेड के अंदर एक सूक्ष्म, अद्वितीय क्रिस्टल संरचना रह जाती है।
यह सुरक्षित क्यों है: क्योंकि रोबोट का आउटपुट (ब्रेड) अभी भी सामान्य दिखता है और स्वाद में भी सामान्य है, चोर इस वॉटरमार्क को आसानी से "फ़िल्टर" नहीं कर सकता है। यदि वे "क्रिस्टल" को हटाने के लिए गतिविधियों को सुचारू (smooth) करने की कोशिश करते हैं, तो वे सैंडविच बनाने की क्षमता को खराब कर सकते हैं।

2. सत्यापन (बीज खोजना - The Verification)
बाद में, आपको संदेह होता है कि कोई रेस्टोरेंट आपके रोबोट का उपयोग कर रहा है। आप उनके कंप्यूटर के अंदर नहीं देख सकते, लेकिन आप रोबोट को चलते हुए देख सकते हैं।

चुनौती: आप केवल अंतिम गतिविधियाँ (ब्रेड) देखते हैं, आंतरिक रैंडम नंबर (आटा) नहीं।
समाधान: आप पीछे की ओर काम करने के लिए एक शक्तिशाली गणितीय उपकरण (MAP Optimization) का उपयोग करते हैं। आप पूछते हैं: "यदि मैं अपने विशिष्ट गुप्त की (key) के साथ अपना रोबोट चलाता हूँ, तो क्या यह ठीक वही गतिविधियाँ उत्पन्न करेगा जो मैंने अभी देखीं?"
परीक्षण: आप अपने गुप्त की (key) का देखे गए मूवमेंट के विरुद्ध परीक्षण करते हैं। यदि गणित कहता है, "हाँ, यह की (key) इन गतिविधियों को पूरी तरह से समझाती है," तो आपके पास स्वामित्व का प्रमाण है। यदि आप एक रैंडम की (key) का परीक्षण करते हैं, तो गणित कहता है, "नहीं, यह फिट नहीं बैठता।"

इस पेपर ने क्या पाया

लेखकों ने दो अलग-अलग प्रकार के रोबोट मस्तिष्क (एक जो छवियों को देखता है, एक जो भविष्य की भविष्यवाणी करता है) और दो अलग-अलग रोबोट निकायों (एक हाथ वाला, दो हाथों वाला) पर इनका परीक्षण किया।

यह पूरी तरह से काम करता है: वे जटिल कार्यों को करते समय भी लगभग 100% बार अपनी "गुप्त आटे" को रोबोट की गतिविधियों में पहचान सके।
यह रोबोट को खराब नहीं करता है: वॉटरमार्क जोड़ने से रोबोट ने सैंडविच गिराना या धीमा चलना शुरू नहीं किया।
यह हटाना कठिन है:
- यदि चोर रोबोट की गतिविधियों को सुचारू (smooth) करने की कोशिश करता है (जैसे किसी गूँज को फ़िल्टर करना), तो वॉटरमार्क जीवित रहता है।
- यदि चोर रोबोट के कोड में बदलाव (fine-tuning) करने की कोशिश करता है, तो वॉटरमार्क जीवित रहता है।
- एकमात्र तरीका जिससे इसे हराया जा सकता है: चोर को आपके रोबोट मस्तिष्क को पूरी तरह से फेंक देना होगा, आपके डेटा का उपयोग करके एक नया रोबोट स्क्रैच से प्रशिक्षित करना होगा (जिसे "डिस्टिलेशन" कहा जाता है), और उम्मीद करनी होगी कि नया रोबोट गलती से उसी छिपे हुए पैटर्न को सीख ले। पेपर दिखाता है कि यह करना बहुत कठिन है; नया रोबोट आमतौर पर छिपे हुए पैटर्न को भूल जाता है क्योंकि यह एक दृश्य पैटर्न नहीं है, बल्कि एक सांख्यिकीय (statistical) पैटर्न है।

निचोड़ (The Bottom Line)

यह पेपर रोबोट मालिकों को एक "डिजिटल डीएनए" टेस्ट देता है। वे यह साबित कर सकते हैं कि रोबोट उनका है, केवल उसे चलते हुए देखकर, बिना उसके अंदर के कोड को देखे। यह ऐसा है जैसे आप केवल क्रस्ट को देखकर यह बता सकें कि आपकी ब्रेड आपकी है, भले ही बेकर ने यह छिपाने की कोशिश की हो कि उसने आपके विशेष आटे का उपयोग किया था।

तकनीकी सारांश: विजन-लैंग्वेज-एक्शन और वर्ल्ड एक्शन मॉडल्स के लिए एक वॉटरमार्क

समस्या विवरण

विज़न-लैंग्वेज-एक्शन (VLA) मॉडल और वर्ल्ड-एक्शन मॉडल्स (WAMs) तेजी से ब्लैक-बॉक्स सेवाओं के रूप में तैनात किए जा रहे हैं जहाँ मॉडल वेट्स (weights) निजी रहते हैं, लेकिन पॉलिसी को एक API या ऑन-साइट पैकेज के माध्यम से निष्पादित किया जाता है। ये मॉडल महत्वपूर्ण बौद्धिक संपदा (IP) का प्रतिनिधित्व करते हैं क्योंकि इनके प्रशिक्षण के लिए मालिकाना डेटा और कंप्यूटेशनल संसाधनों की आवश्यकता होती है। एक गंभीर चुनौती तब उत्पन्न होती है जब कोई पार्टनर या विरोधी स्वामी की अनुमति के बिना संरक्षित पॉलिसी को पुनर्विक्रय या पुन: तैनात करने का प्रयास करता है।

रोबोट पॉलिसी के लिए मौजूदा वॉटरमार्किंग समाधान दो प्राथमिक सीमाओं का सामना करते हैं:

बैकडोर-आधारित वॉटरमार्क्स: इनके लिए विशिष्ट क्रियाओं को ट्रिगर करने के लिए मॉडल वेट्स को संशोधित करने की आवश्यकता होती है। इन्हें मल्टी-यूज़र पहचान परिदृश्यों में विस्तारित करना कठिन है और इन्हें बाद के फाइन-ट्यूनिंग या बिहेवियर क्लोनिंग द्वारा कमजोर किया जा सकता है।
आउटपुट-परटर्बेशन वॉटरमार्क्स: ये एक्शन स्ट्रीम के एक्सप्लोरेशन नॉइज़ में सिग्नल को एम्बेड करते हैं। हालाँकि, क्योंकि सिग्नल आउटपुट के एक संकीर्ण फ्रीक्वेंसी बैंड में केंद्रित होता है, इसलिए इसे उन विरोधियों द्वारा आसानी से पहचाना जा सकता है जो स्पेक्ट्रल विश्लेषण और संकीर्ण फिल्टर लागू करके न्यूनतम टास्क परफॉर्मेंस प्रभाव के साथ वॉटरमार्क को हटा सकते हैं।

मूल समस्या यह है कि एक ऐसा वॉटरमार्किंग तंत्र डिजाइन करना है जो ब्लैक-बॉक्स सेटिंग में स्वामित्व की रक्षा करे, मल्टी-की (multi-key) पहचान का समर्थन करे, आउटपुट-साइड रिमूवल हमलों के विरुद्ध मजबूत रहे, और टास्क परफॉर्मेंस को कम न करे।

कार्यप्रणाली: कीड लेटेंट-प्रोवेनेंस वेरिफिकेशन (Keyed Latent-Provenance Verification)

लेखक कीड लेटेंट-प्रोवेनेंस वेरिफिकेशन का प्रस्ताव करते हैं, जो एक दो-चरणीय विधि है जो स्वामित्व के साक्ष्य को अंतिम एक्शन आउटपुट के बजाय लेटेंट नॉइज़ सीड (latent noise seed) में एम्बेड करती है।

1. फिंगरप्रिंट इंजेक्शन (Fingerprint Injection)

इंजेक्शन मॉडल द्वारा एक्शन चंक (action chunk) जेनरेट करने से पहले होता है।

तंत्र: मॉडल ओनर सैंपलर द्वारा उपयोग किए जाने वाले मानक गॉसियन नॉइज़ सीड ( $z_c$ ) को एक "फिंगरप्रिंटेड" सीड ( $z^{fp}_c$ ) से बदल देता है।
कीड परटर्बेशन (Keyed Perturbation): फिंगरप्रिंट किया गया सीड मूल नॉइज़ और एक कीड रेफरेंस वेक्टर ( $r_c$ ) का एक लीनियर कॉम्बिनेशन है:
$z^{fp}_c = \sqrt{1-\beta^2} z_c + \beta r_c$
जहाँ $\beta$ इंजेक्शन स्ट्रेंथ को नियंत्रित करता है। रेफरेंस वेक्टर $r_c$ को एक सीक्रेट की ( $k^*$ ), एक नॉन्स ( $\nu_e$ ), और चंक इंडेक्स द्वारा सीड किए गए साइडो-रैंडम जनरेटर का उपयोग करके जेनरेट किया जाता है।
सांख्यिकीय अपरिवर्तनीयता (Statistical Invariance): महत्वपूर्ण रूप से, परिणामी $z^{fp}_c$ मूल नॉइज़ ( $N(0, I)$ ) के समान ही सटीक गॉसियन डिस्ट्रीब्यूशन बनाए रखता है। यह सुनिश्चित करता है कि एक्शन स्ट्रीम में कोई स्पष्ट, एडिटिव सिग्नल नहीं होता है जिसे विरोधी आसानी से फिल्टर कर सके। सीड और की (key) के बीच सहसंबंध मॉडल की नॉन-लीनियर जनरेशन प्रक्रिया के भीतर छिपा रहता है।
चयनात्मक इंजेक्शन (Selective Injection): हर एक्शन चंक को मार्क नहीं किया जाता है। एक कीड सेलेक्टर यह निर्धारित करता है कि किन चंक्स को परटर्ब किया जाएगा ताकि टास्क डिस्टर्बेंस को सीमित किया जा सके और विरोधियों को लक्षित हटाने के लिए विशिष्ट "मार्क किए गए" चंक्स की पहचान करने से रोका जा सके।

2. फिंगरप्रिंट वेरिफिकेशन (Fingerprint Verification)

वेरिफिकेशन एक अधिकृत ओनर द्वारा किया जाता है जिसके पास संदिग्ध रोबोट द्वारा निष्पादित किए गए एक्शन्स तक पहुंच होती है (जो आंशिक या पोस्ट-प्रोसेस्ड हो सकते हैं)।

MAP लेटेंट रिकवरी: चूंकि वेरीफायर आंतरिक सीड को नहीं देख सकता, इसलिए उसे देखे गए एक्शन्स ( $y_c$ ) से इसे रिकवर करना होगा। लेखक इसे एक मैक्सिमम ए पोस्टेरिओरी (MAP) ऑप्टिमाइज़ेशन समस्या के रूप में फॉर्म्युलेट करते हैं। वेरीफायर एक ऐसा लेटेंट सीड $\hat{z}$ खोजता है जो प्रेडिक्टेड एक्शन (जो $\hat{z}$ से जेनरेट हुआ है) और ऑब्जर्व्ड एक्शन के बीच एरर को कम करता है, जबकि गॉसियन प्रायर से विचलन को दंडित (penalize) करता है। यह दृष्टिकोण अनऑब्जर्व्ड एक्शन चैनल्स के अनुमान की आवश्यकता को समाप्त करता है, जो इमेज वॉटरमार्किंग में उपयोग की जाने वाली रिवर्स-ODE विधियों का एक विफलता बिंदु है।
की-कंडीशनड स्कोरिंग (Key-Conditioned Scoring): रिकवर किए गए सीड की तुलना एक मैचड फिल्टर (इनर प्रोडक्ट) का उपयोग करके कैंडिडेट कीड रेफरेंसेस के विरुद्ध की जाती है।
कैलिब्रेशन और एग्रीगेशन (Calibration and Aggregation): टास्क और एपिसोड्स की परिवर्तनशीलता को संभालने के लिए, वेरीफायर स्कोर को सामान्य करने के लिए "डेकॉय कीज़" (decoy keys) के बैंक के विरुद्ध संदिग्ध को स्कोर करता है (Z-score)। स्वामित्व पर अंतिम बाइनरी निर्णय लेने या कई उम्मीदवारों में से विशिष्ट की की पहचान करने के लिए कई रोलआउट्स (ग्रुप एग्रीगेशन) के साक्ष्य को जोड़ा जाता है।

मुख्य योगदान

कीड लेटेंट-प्रोवेनेंस वेरिफिकेशन: एक नवीन ढांचा जो लेटेंट नॉइज़ सीड को संशोधित करके VLA और WAM डिप्लॉयमेंट्स को वॉटरमार्क करता है, गॉसियन नॉइज़ लॉ को सुरक्षित रखता है, और दृश्य आउटपुट-साइड सिग्नल्स से बचता है।
ब्लैक-बॉक्स वेरीफायर डिज़ाइन: एक वेरिफिकेशन सिस्टम जो MAP ऑप्टिमाइज़ेशन का उपयोग करके आंशिक, पोस्ट-प्रोसेस्ड एक्शन कमांड्स से लेटेंट सीड्स को रिकवर करने में सक्षम है, जो बाइनरी ओनरशिप वेरिफिकेशन और मल्टी-की आइडेंटिफिकेशन दोनों का समर्थन करता है।
व्यापक मूल्यांकन: दो पॉलिसी फैमिली ( $\pi0.5$ और LingBot-VA) और दो रोबोट सूट्स (LIBERO-10 और RoboTwin) में व्यापक प्रयोग, जो आउटपुट-साइड हमलों (क्लिपिंग, स्मूथिंग, जिटर, डिले), ओनर-साइड वेरिएंट्स (LoRA, प्रूनिंग, क्वांटाइजेशन), और एडेप्टिव फाइन-ट्यूनिंग हमलों के विरुद्ध मजबूती का मूल्यांकन करते हैं।

प्रयोगात्मक परिणाम

विधि का मूल्यांकन चार मॉडल-रोबोट संयोजनों पर किया गया। मुख्य निष्कर्ष शामिल हैं:

टास्क परफॉर्मेंस: वॉटरमार्क के इंजेक्शन के परिणामस्वरूप टास्क सक्सेस रेट (आमतौर पर कुछ प्रतिशत के भीतर) और एपिसोड लेंथ में नगण्य बदलाव आए।
डिटेक्शन एक्यूरेसी: हमलों की अनुपस्थिति में, 16 रोलआउट्स को एग्रीगेट करने पर विधि ने सभी संयोजनों में परफेक्ट डिटेक्शन (1% फॉल्स पॉजिटिव रेट पर TPR 1.00) प्राप्त किया।
आउटपुट हमलों के प्रति मजबूती: वॉटरमार्क विभिन्न आउटपुट-साइड रिमूवल हमलों के तहत भी पता लगाने योग्य रहा। हालांकि $\pi0.5$ /LIBERO-10 संयोजन पर आक्रामक स्मूथिंग या जिटर ने डिटेक्शन रेट को कम किया, लेकिन विधि ने आम तौर पर उच्च मजबूती बनाए रखी। लेखक नोट करते हैं कि वॉटरमार्क को हटाने के लिए पर्याप्त मजबूत हमले टास्क परफॉर्मेंस को काफी हद तक खराब कर देते हैं।
ओनर वेरिएंट्स के प्रति मजबूती: फिंगरप्रिंट LoRA फाइन-ट्यूनिंग, प्रूनिंग और क्वांटाइजेशन के दौरान भी जीवित रहा। उन मामलों में जहां कंप्रेशन ने मॉडल बैकबोन को नुकसान पहुँचाया (टास्क सक्सेस को कम किया), फिंगरप्रिंट अभी भी एग्रीगेशन के बाद रिकवरेबल था।
आइडेंटिफिकेशन: सिस्टम ने 33 उम्मीदवारों में से संदिग्ध पॉलिसी को आवंटित विशिष्ट की (key) को सफलतापूर्वक पहचाना, एग्रीगेशन के बाद उच्च रैंक-1 एक्यूरेसी हासिल की।
सुरक्षा विश्लेषण:
- फॉल्स-की रिस्क: एक रैंडम या स्वतंत्र की का थ्रेशोल्ड पास करने की संभावना अत्यंत कम है (थ्रेशोल्ड के आधार पर अनुभवजन्य रूप से लगभग $10^{-3}$ से $10^{-9}$ के बीच अनुमानित)।
- एडेप्टिव रिमूवल: व्हाइट-बॉक्स हमले जहाँ एक विरोधी वॉटरमार्क स्कोर को कम करने के लिए पॉलिसी को फाइन-ट्यून करता है, टास्क परफॉर्मेंस को गंभीर रूप से कम किए बिना फिंगरप्रिंट को हटाने में विफल रहे।
- डिस्टिलेशन (Distillation): बिहेवियर क्लोनिंग (टीचर के आउटपुट्स पर स्टूडेंट को ट्रेन करना) ने सफलतापूर्वक वॉटरमार्क को हटा दिया, क्योंकि स्टूडेंट एक्शन डिस्ट्रीब्यूशन को सीखता है लेकिन टीचर के स्पेसिफिक नॉइज़-लॉ इनवेरिएंस को नहीं। लेखक इसे एक सीमा के रूप में देखते हैं जहाँ बचाव की लागत (एक नया मॉडल बनाना) अत्यधिक हो जाती है।

महत्व और दावे

पेपर का दावा है कि कीड लेटेंट-प्रोवेनेंस वेरिफिकेशन निजी जेनेरेटिव रोबोट पॉलिसियों को सुरक्षित करने के लिए एक व्यावहारिक और मजबूत तंत्र प्रदान करता है। लेटेंट सीड में वॉटरमार्क एम्बेड करके, यह विधि फ्रीक्वेंसी-आधारित वॉटरमार्क्स की "चीप रिमूवल" भेद्यता से बचती है।

लेखक इस बात पर जोर देते हैं कि उनके गारंटी अनुभवजन्य ऑपरेटिंग पॉइंट्स हैं न कि क्रिप्टोग्राफिक प्रमाण। विधि को अधिकृत, पोस्ट-हॉक ऑडिट के लिए डिज़ाइन किया गया है जहाँ ओनर के पास संदिग्ध सर्विस तक पहुंच होती है। इसका महत्व यह है कि यह उनके स्वामित्व वाली नीतियों के अनधिकृत पुन: तैनाती का पता लगाने में सक्षम बनाता है, भले ही वेट्स छिपे हुए हों और आउटपुट स्टैंडर्ड डिप्लॉयमेंट पोस्ट-प्रोसेसिंग के अधीन हो। यह कार्य एक ट्रेड-ऑफ को उजागर करता है: जबकि वॉटरमार्क आउटपुट मैनिपुलेशन और मॉडल एडिटिंग के प्रति मजबूत है, यह डिस्टिलेशन के प्रति संवेदनशील है, जो यह सुझाव देता है कि बचाव की लागत सरल फ़िल्टरिंग से बदलकर नए पॉलिसी को रिट्रेन करने की महंगी प्रक्रिया में बदल जाती है।