Riepilogo Tecnico: Mitigazione della Falsificazione dei Filigrana nei Modelli Generativi tramite Selezione Casuale delle Chiavi

1. Enunciato del Problema

I fornitori di Intelligenza Artificiale Generativa (GenAI) utilizzano la filigrana (watermarking) per attribuire i contenuti ai propri modelli, incorporando segnali nascosti rilevabili tramite una chiave segreta. Una minaccia critica alla sicurezza di questo ecosistema sono gli attacchi di falsificazione, in cui gli avversari inseriscono la filigrana di un fornitore in contenuti non generati da tale fornitore. Ciò permette agli attaccanti di attribuire falsamente contenuti dannosi (ad esempio, disinformazione, violenza o spam) a un fornitore affidabile, danneggiandone la reputazione ed esponendolo a responsabilità legali.

Le difese esistenti presentano limitazioni significative:

• Rilevamento statistico: L'analisi delle distribuzioni dei token o degli artefatti spesso fallisce contro attaccanti adattivi.
• Rotazione delle chiavi: La rotazione delle chiavi dopo $N$ campioni introduce complessità gestionale e lascia incerto il valore ottimale di $N$.
• Incorporamento multi-chiave: Incorporare più chiavi in un singolo campione degrada l'utilità del modello e, come dimostrato da lavori precedenti, rimane vulnerabile se un attaccante raccoglie un numero sufficiente di campioni filigranati ($N$) per distillare il pattern della filigrana.

La sfida principale è raggiungere una resistenza alla falsificazione che rimanga efficace indipendentemente dal numero di campioni filigranati che un attaccante può raccogliere, senza degradare l'utilità del modello generativo.

2. Metodologia

Gli autori propongono una strategia di selezione casuale delle chiavi che funge da wrapper black-box per i metodi di filigrana esistenti (applicabile sia alle modalità testo che immagine).

Meccanismo Principale

1. Generazione: Per ogni query dell'utente, il fornitore seleziona casualmente esattamente una chiave segreta da un pool di $r$ chiavi ($K = \{k_1, ..., k_r\}$) per filigranare il contenuto generato. Questo è identico alla filigrana standard a chiave singola in termini di sovraccarico di generazione.
2. Rilevamento: Il fornitore esegue test di rilevamento per tutte le $r$ chiavi del pool sul contenuto.
3. Regola di Decisione:
   • Autentico: Viene rilevata esattamente una chiave (statisticamente significativa).
   • Falsificato: Vengono rilevate zero chiavi (il contenuto non proviene dal fornitore) OPPURE due o più chiavi.
   • Logica: Un attaccante che tenta di falsificare una filigrana distillando pattern da un dataset di campioni filigranati (dove ogni campione utilizza una chiave casuale diversa) apprenderà involontariamente una "miscela" di segnali della filigrana. Di conseguenza, il loro contenuto falsificato è probabile che inneschi il rilevamento per più chiavi simultaneamente, portando al rifiuto.

Quadro Teorico

Il metodo si basa sull'assunzione di attaccanti "ciechi" che non possono distinguere quale chiave specifica sia stata utilizzata per generare un campione specifico.

• Calibrazione della Soglia: Per controllare il tasso di errore familiare (FWER) attraverso $r$ test, la soglia per chiave $\tau$ viene aggiustata utilizzando la correzione di Šidák: $\alpha = 1 - (1 - \alpha_{fw})^{1/r}$.
• Limite Teorico: Per attaccanti ciechi, la probabilità di falsificare con successo un campione (innescando esattamente una chiave) è limitata. Il tasso di successo è massimizzato quando la probabilità di rilevamento per chiave è $1/r$, producendo un limite superiore di $(1 - 1/r)^{r-1}$. Crucialmente, questo limite è indipendente dal numero di campioni ($N$) disponibili all'attaccante, a differenza dei precedenti approcci multi-chiave in cui le garanzie si degradano all'aumentare di $N$.

3. Contributi Chiave

1. Strategia di Selezione Casuale delle Chiavi: Un approccio semplice e black-box che migliora significativamente la resistenza alla falsificazione delle filigrane attraverso vari attacchi senza richiedere nuovi schemi di filigrana.
2. Garanzie Teoriche: Il primo limite teorico sul successo della falsificazione che è indipendente dalla dimensione del campione dell'attaccante, a condizione che l'attaccante non possa distinguere le chiavi (attacco cieco).
3. Validazione Empirica: Test estesi sulle modalità testo (LLM) e immagine (modelli di diffusione), che dimostrano riduzioni coerenti nel successo della falsificazione.
4. Open Source: Rilascio del codice di implementazione.

4. Risultati Sperimentali

Gli autori hanno valutato il loro metodo contro attaccanti adattivi (sia "ciechi" che "informati") utilizzando dataset come AdvBench, HarmfulQ e CelebA.

• Modalità Testo:
  • Utilizzando quattro varianti di filigrana (KGW-SelfHash, Unigram, KGW-Soft, KGW-Hard), il metodo ha ridotto i tassi di successo della falsificazione da quasi perfetti (fino al 100% per le baseline a chiave singola) a un minimo del 2% utilizzando 4 chiavi.
  • Ad esempio, con lo schema Unigram su AdvBench, il successo della falsificazione è sceso dal 68% (chiave singola) al 16% (4 chiavi).
  • Il metodo è rimasto efficace anche scalando verso modelli più grandi (ad esempio, LLaMA-13B) e contro attacchi basati sulla distillazione.
• Modalità Immagine:
  • Applicato al metodo di filigrana Tree-Ring, l'approccio ha ridotto il successo della falsificazione dal 100% (chiave singola) al 2% con 4 chiavi.
  • La difesa ha mantenuto bassi tassi di falsificazione indipendentemente dal numero di immagini di training disponibili all'attaccante (testato fino a 5.000 campioni).
• Utilità e Robustezza:
  • Tasso di Falsi Negativi (FNR): Il metodo preserva il rilevamento dei contenuti autentici. L'FNR per i contenuti filigranati autentici è rimasto trascurabile (0–3% anche con 4 chiavi), indicando nessuna degradazione significativa nell'utilità del modello o nell'accuratezza del rilevamento.
  • Robustezza: La robustezza contro gli attacchi di parafrasi (ad esempio, Dipper) è rimasta coerente con lo schema di filigrana sottostante, poiché il wrapper non altera il processo di incorporamento.

5. Significato e Limitazioni

Significato:
Il documento sostiene che questo approccio offre un livello di sicurezza pratico e deployabile per i sistemi di filigrana esistenti. Randomizzando la selezione delle chiavi e imponendo una regola di rilevamento "esattamente-uno", crea una barriera statistica che gli attacchi basati sulla media non possono superare. Elimina la necessità di complessi programmi di rotazione delle chiavi e mantiene un'alta utilità del modello.

Limitazioni e Assunzioni:

• Attaccanti Ciechi vs. Informati: Le garanzie teoriche valgono contro gli attaccanti "ciechi". Se un attaccante può inferire quale chiave ha generato un campione specifico (ad esempio, tramite una violazione del sistema o un canale laterale), può raggruppare i campioni per chiave e falsificare in modo più efficace. Negli esperimenti con attaccanti "informati" (che disponevano di etichette delle chiavi), il successo della falsificazione si è stabilizzato a circa il 65%, sebbene ciò richieda un accesso irrealistico alle etichette delle chiavi nella pratica.
• Attacchi Basati su Istanza: Il metodo non può difendersi contro gli attacchi "basati su istanza" in cui una filigrana può essere falsificata utilizzando un singolo campione ($N=1$). Questa è una vulnerabilità del metodo di filigrana sottostante (ad esempio, Tree-Ring) piuttosto che della difesa proposta.
• Sovraccarico Computazionale: La verifica scala linearmente con il numero di chiavi ($r$). Sebbene trascurabile per il testo (microsecondi), è più impegnativa dal punto di vista computazionale per le filigrane delle immagini che richiedono l'inversione del modello di diffusione.
• Compromessi: Aumentare il numero di chiavi richiede di alzare la soglia di rilevamento per mantenere il tasso globale di falsi positivi, il che riduce leggermente il tasso di veri positivi (robustezza) della filigrana sottostante, sebbene i risultati empirici mostrino che questo impatto sia marginale (2–3%).

In conclusione, gli autori ipotizzano che la selezione casuale delle chiavi sia una soluzione pronta per il deployment che mitiga efficacemente la minaccia della falsificazione delle filigrane per gli attuali schemi euristici di filigrana, a condizione che la segretezza delle chiavi sia mantenuta contro l'inferenza.