🤖 AI

PoLO: Proof-of-Learning and Proof-of-Ownership at Once with Chained Watermarking

Il paper presenta PoLO, un sistema che combina la prova di apprendimento e di proprietà tramite watermarking concatenato, garantendo un'accuratezza del 99% nella verifica della proprietà, la protezione della privacy e una riduzione significativa dei costi di verifica rispetto ai metodi tradizionali.

Autori originali: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Pubblicato 2026-04-27

📖 3 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Il Problema: Il "Falsario" di Cervelli Digitali

Immaginate che l'Intelligenza Artificiale (IA) sia come un grande chef che crea ricette incredibili. Oggi, queste ricette (i "modelli" di IA) vengono vendute, scambiate e affittate in grandi mercati digitali.

Qui sorgono due problemi enormi:

La Prova dello Sforzo (Proof-of-Learning): Come faccio a sapere che lo chef ha davvero passato ore a cucinare quella ricetta complessa e non ha solo copiato un vecchio libro o usato un mix già pronto? (Voglio pagare per il lavoro fatto, non per un trucco).
La Prova di Proprietà (Proof-of-Ownership): Come faccio a essere sicuro che quella ricetta appartenga davvero a chi la vende e che nessuno possa rubarla, cambiare il nome e rivenderla come propria?

Fino ad oggi, per controllare queste due cose, bisognava "riaprire la cucina" e rifare tutto il lavoro, il che è costosissimo, lento e rischia di rivelare i segreti (i dati privati) dello chef.

La Soluzione: PoLO e la "Catena di Sigilli Magici"

Gli autori hanno inventato PoLO. Invece di controllare il lavoro solo alla fine, PoLO trasforma la creazione dell'IA in una sorta di scultura a strati con sigilli invisibili.

L'analogia della "Scultura di Argilla Sigillata"

Immaginate che lo chef non stia solo cucinando, ma stia costruendo una scultura di argilla pezzo dopo pezzo.

I Sigilli a Catena (Chained Watermarking): Ogni volta che lo chef finisce una piccola parte della scultura (un "pezzo" o shard), applica un sigillo magico (un watermark). Ma ecco il trucco: il sigillo del secondo pezzo è costruito usando la forma esatta del primo pezzo. Il terzo sigillo dipende dal secondo, e così via. È una catena di fiducia.
Perché è sicuro? Se un ladro volesse falsificare la scultura, non potrebbe limitarsi a cambiare l'ultimo pezzo. Poiché ogni sigillo è incastrato nel precedente, per falsificare un solo dettaglio dovrebbe ricostruire tutta la scultura dall'inizio, con lo stesso identico sforzo e tempo del vero chef. Sarebbe come cercare di falsificare un quadro di Van Gogh rifacendo ogni singola pennellata: non conviene economicamente!

Perché PoLO è una rivoluzione? (I 3 vantaggi)

1. È velocissimo (Niente più "Rifare tutto"):
- Prima: Per verificare se il lavoro era vero, dovevi rifare tutto il processo (come se per controllare un pasto dovessi cucinarlo di nuovo da zero).
- Con PoLO: Basta guardare i sigilli. È come controllare se i timbri sulla scatola sono corretti. Il controllo è 10-60 volte più veloce.
2. Protegge i segreti (Privacy):
- Prima: Per verificare il lavoro, dovevi mostrare tutti gli ingredienti (i dati privati).
- Con PoLO: I sigilli sono invisibili e non rivelano gli ingredienti. Puoi dimostrare di aver cucinato senza mostrare la tua dispensa segreta.
3. È un "Antifurto" intelligente:
- Se un ladro prova a cancellare il sigillo del proprietario per metterne uno suo, la scultura si rompe o perde la sua forma (l'IA smette di funzionare bene). Il ladro si ritrova con un oggetto rotto che non può vendere.

In sintesi

PoLO è come un sistema di certificazione continua. Invece di dare un certificato di nascita a un bambino quando compie 18 anni, PoLO mette un piccolo, invisibile e indelebile "marchio di autenticità" su ogni singola cellula mentre il bambino cresce.

Così, alla fine, hai la certezza matematica che quel bambino è cresciuto in modo naturale, che è chi dice di essere, e che nessuno può scambiarlo con un manichino senza che ce ne accorgiamo immediatamente.

Riassunto Tecnico: PoLO

1. Il Problema (Problem Statement)

Con la crescente commercializzazione dei modelli di Machine Learning (ML) attraverso i Model Marketplaces (EMM), sorge la necessità di verificare due aspetti fondamentali:

Proof-of-Learning (PoL): Dimostrare che il modello è stato effettivamente addestrato con uno sforzo computazionale reale (evitando modelli sintetici o "falsi" per ottenere ricompense).
Proof-of-Ownership (PoO): Stabilire la proprietà legale del modello tramite watermarking per gestire transazioni e dispute.

Le soluzioni attuali trattano PoL e PoO come entità separate. Questo approccio presenta tre criticità principali:

Vulnerabilità alla frode: I metodi PoL basati sul tracciamento dei gradienti sono suscettibili ad attacchi di "traiettoria sintetica" (creazione di percorsi di addestramento plausibili ma falsi).
Alti costi di verifica: Molti metodi PoL richiedono di riprodurre l'addestramento o condividere i dati di training, rendendo la verifica costosa e lenta.
Rischi per la privacy: La verifica spesso richiede l'esposizione dei dataset di addestramento, violando la riservatezza dei dati.

2. Metodologia (Methodology)

Gli autori propongono PoLO, un framework unificato che fonde PoL e PoO attraverso un meccanismo di watermarking a catena (chained watermarking).

Il concetto chiave: Invece di inserire un watermark solo alla fine dell'addestramento, PoLO suddivide il processo in shard (frammenti) di addestramento. Ogni shard incorpora un watermark dedicato che è criptograficamente legato allo stato precedente.

Componenti tecniche:

Chained Watermark Generation: Per ogni shard $s_x$ , il watermark $\Lambda_x$ viene generato utilizzando una funzione di hash $H$ che prende come input i pesi del modello dello shard precedente $W_{x-1}$ , un indice di shard e un nonce segreto fornito dal verificatore. Questo crea una catena ininterrotta: per falsificare un singolo watermark, un attaccante dovrebbe ricostruire l'intera catena di addestramento.
Embedding del Watermark: Durante l'addestramento di ogni shard, il watermark viene inserito nei pesi del modello tramite un termine di regolarizzazione nella funzione di perdita (loss function). Una volta raggiunta una soglia di rilevamento ( $\eta_G$ ), viene applicata una perturbazione esplicita per consolidare il watermark.
Protezione della Privacy (Obfuscation): Al termine di ogni shard, viene applicato del rumore Gaussiano su porzioni di pesi non marcate. Questo protegge i dati di addestramento dai tentativi di gradient leakage (inferenza dei dati dai gradienti).
Verifica Efficiente: Il verificatore non deve riaddestrare il modello. Deve solo estrarre il watermark dallo shard corrente e verificare se corrisponde al valore atteso derivato dallo hash dello shard precedente.

3. Contributi Chiave (Key Contributions)

Unificazione di PoL e PoO: PoLO trasforma il problema della proprietà in un problema di verifica dello sforzo di addestramento. La prova di proprietà è la prova di apprendimento.
Resilienza Economica: Il design impone un "dilemma economico" agli attaccanti. Per falsificare un modello (rimuovere il watermark originale e inserirne uno falso), l'attaccante deve sostenere un costo computazionale pari o superiore all'addestramento onesto.
Efficienza e Privacy: Elimina la necessità di condividere i dataset durante la verifica e riduce drasticamente l'overhead computazionale rispetto ai metodi basati su Zero-Knowledge Proofs (ZKP) o riproduzione dei gradienti.

4. Risultati (Results)

Il framework è stato testato su diverse architetture (ResNet, VGG, BERT) e dataset (CIFAR, TinyImageNet, AG News).

Accuratezza della Proprietà: PoLO raggiunge un'accuratezza del 99% nel rilevamento del watermark per la verifica della proprietà.
Efficienza di Verifica: I costi di verifica sono ridotti al solo 1,5% – 10% rispetto ai metodi PoL tradizionali.
Resistenza alla Frode (Unforgeability):
- Gli attacchi di tipo Overhaul Fine-tuning (OFA) richiedono da 1,1 a 4 volte più risorse rispetto all'addestramento onesto.
- Anche dopo attacchi, il watermark originale mantiene un'accuratezza di rilevamento superiore al 90%.
- Gli attacchi di manipolazione dei pesi (WMA) falliscono perché degradano eccessivamente l'accuratezza del compito principale (task accuracy), rendendo il modello non accettabile per il mercato.

5. Significato e Impatto (Significance)

PoLO rappresenta un passo fondamentale per la creazione di ecosistemi di Machine Learning sicuri e commerciabili. Fornendo un metodo che è allo stesso tempo economico, privato e resistente alle frodi, il framework abilita i Model Marketplaces a operare con fiducia, garantendo che i venditori siano i veri proprietari e che abbiano effettivamente svolto il lavoro computazionale dichiarato. È una soluzione progettata per la realtà economica dei mercati digitali, dove la sicurezza deve essere bilanciata con la sostenibilità dei costi.