🤖 AI

Protecting Deep Neural Network Intellectual Property with Chaos-Based White-Box Watermarking

Questo lavoro propone un framework di filigrana in bianco robusto ed efficiente per la protezione della proprietà intellettuale delle reti neurali profonde, che codifica informazioni di proprietà nei parametri del modello utilizzando sequenze caotiche generate da una mappa logistica e ne verifica l'autenticità tramite un algoritmo genetico, garantendo al contempo prestazioni di classificazione inalterate su dataset come MNIST e CIFAR-10.

Autori originali: Sangeeth B, Serena Nicolazzo, Deepa K., Vinod P

Pubblicato 2026-03-17

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Sangeeth B, Serena Nicolazzo, Deepa K., Vinod P

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di aver passato mesi a cucinare la ricetta perfetta per un piatto delizioso. Hai selezionato gli ingredienti migliori, affinato le spezie e trovato il tempo esatto di cottura. Ora, questo piatto è diventato famoso e tutti vogliono la tua ricetta. Ma c'è un problema: come fai a dimostrare che è davvero tua, se qualcuno la copia, la modifica leggermente e la vende come sua?

Nel mondo dell'intelligenza artificiale, le "ricette" sono le Reti Neurali Profonde (DNN). Sono modelli complessi addestrati con enormi quantità di dati e potenza di calcolo. Proteggere la proprietà intellettuale di questi modelli è una sfida enorme.

Questo articolo propone un metodo geniale per proteggere queste "ricette digitali" usando un sistema basato sul caos e un "detective" evolutivo. Ecco come funziona, spiegato in modo semplice:

1. Il Problema: Copiare è troppo facile

Oggi, i modelli di intelligenza artificiale sono file di numeri (pesi). Se qualcuno li scarica, può copiarli, modificarli un po' (ad esempio, addestrandoli di nuovo su nuovi dati) e rivendicarli come propri. È come se qualcuno rubasse la tua ricetta, cambiasse un pizzico di sale e dicesse: "È la mia!".

2. La Soluzione: Un Segreto "Caoico"

Gli autori propongono di nascondere un segreto dentro il modello, proprio come nascondere un piccolo oggetto prezioso dentro una torta senza rovinarne il sapore.

Il Segreto (La Sequenza Caotica): Invece di usare un codice fisso e prevedibile (che un ladro potrebbe facilmente trovare e cancellare), usano una mappa logistica. Immagina questa come una macchina che genera numeri in modo totalmente imprevedibile, ma che segue regole precise. Se imposti la macchina con un numero di partenza specifico (come un segreto), otterrai una sequenza di numeri unica al mondo. È come se il caos fosse il tuo "sigillo" personale.
Dove lo nascondiamo? Iniettano questa sequenza di numeri caotici direttamente nei "pesi" (i mattoncini fondamentali) di uno strato intermedio del modello. Lo fanno in modo così sottile che il modello continua a funzionare perfettamente: se prima riconosceva i gatti e i cani al 99%, lo farà ancora al 99% dopo aver aggiunto il segreto. Non cambia il gusto della torta, ma c'è il tuo marchio nascosto dentro.

3. Il Detective: L'Algoritmo Genetico

Ora, arriva il momento della verità. Qualcuno ti porta un modello e dice: "È mio!". Tu sospetti che sia una copia. Come fai a dimostrarlo?

Non puoi semplicemente guardare i numeri, perché sono troppo complessi e il ladro potrebbe averli modificati. Qui entra in gioco il Detective Evolutivo (Algoritmo Genetico).

Come funziona? Immagina di dover indovinare la combinazione di una cassaforte. Invece di provare tutte le combinazioni a caso (che ci vorrebbero secoli), il detective usa un processo simile all'evoluzione naturale:
1. Crea un gruppo di "sospetti" (combinazioni di numeri casuali).
2. Li fa "riprodurre" e "mutare" (cambia leggermente i numeri).
3. Ogni generazione, controlla quale combinazione si avvicina di più al segreto nascosto nel modello sospetto.
4. Dopo molte generazioni, il detective trova la combinazione esatta che ha generato la sequenza caotica originale.

Se il detective riesce a trovare la tua combinazione segreta (i parametri iniziali della mappa logistica), allora il modello è tuo! Se non la trova, o trova una combinazione completamente diversa, allora non è il tuo modello.

4. Perché è speciale?

Resistente ai "Ritocchi": Anche se il ladro prova a modificare il modello (ad esempio, facendolo studiare di nuovo su nuovi dati, un processo chiamato fine-tuning), il segreto rimane nascosto. È come se qualcuno provasse a levigare la superficie della tua torta per nascondere il segreto, ma il segreto è così ben integrato che resiste.
Nessuna modifica alla ricetta originale: Non devi ricucinare tutto da capo. Puoi prendere un modello già pronto, aggiungere il segreto e riprenderlo.
Verifica visiva: Gli autori usano anche grafici per mostrare che i modelli con il segreto hanno una "firma" interna diversa rispetto a quelli falsi, proprio come un'analisi delle impronte digitali.

In sintesi

Questo metodo è come se tu avessi un modo per nascondere un codice segreto dentro un'opera d'arte digitale usando il caos matematico. Se qualcuno ruba l'opera, tu hai un detective intelligente che può analizzare l'opera, cercare quel codice segreto e dire al mondo: "Sì, questa è la mia, perché solo io conosco la combinazione per generare quel caos specifico".

È una soluzione intelligente, robusta e che non rovina il lavoro originale, perfetta per proteggere il duro lavoro degli scienziati e delle aziende nell'era dell'intelligenza artificiale.

1. Il Problema

La rapida proliferazione delle Reti Neurali Profonde (DNN) in ambiti commerciali, accademici e critici ha sollevato preoccupazioni urgenti riguardo alla protezione della Proprietà Intellettuale (IP). I modelli addestrati rappresentano asset di alto valore, sviluppati con ingenti investimenti in dati, risorse computazionali ed expertise. Tuttavia, la facilità con cui questi modelli possono essere copiati, ridistribuiti o riutilizzati senza autorizzazione rende necessario un meccanismo efficace per affermare e verificare la proprietà.
A differenza del software tradizionale, le DNN sono spesso distribuite come file di pesi o grafi serializzati, rendendo difficile il controllo degli accessi. Le tecniche di watermarking esistenti presentano diverse limitazioni:

Molte richiedono modifiche al processo di addestramento o l'aggiunta di funzioni di perdita complesse, rendendole inapplicabili a modelli di terze parti o legacy.
Alcune sono fragili e possono essere rimosse tramite fine-tuning avversario o attacchi di modelli surrogati.
Spesso si basano su segnali statici o "handcrafted" che possono essere filtrati o rimossi tramite smoothing dei parametri.
La maggior parte è limitata a compiti di classificazione di immagini e architetture convoluzionali.

2. Metodologia Proposta

Gli autori propongono un framework di watermarking "white-box" (dove i parametri interni del modello sono accessibili) che combina la generazione di sequenze caotiche con algoritmi genetici per la verifica. L'approccio si articola in due fasi principali:

A. Generazione e Inserimento del Watermark (Embedding)

Generazione della Sequenza Caotica: Viene utilizzata la Mappa Logistica, una funzione caotica ben nota definita come $x_{n+1} = r \cdot x_n \cdot (1 - x_n)$ $x_{n + 1} = r \cdot x_{n} \cdot (1 - x_{n})$ .
- I parametri chiave (il segreto) sono: il parametro di controllo caotico $r$ (es. 3.9), il valore iniziale $x_0$ (es. 0.5) e un fattore di scala $\epsilon$ .
- Questa sequenza è altamente sensibile alle condizioni iniziali, rendendola unica e difficile da replicare senza conoscere i parametri esatti.
Inserimento nei Pesi: La sequenza caotica generata viene iniettata nei pesi di un livello intermedio selezionato della DNN pre-addestrata.
- La modifica è minima: ogni peso $w_i$ viene aggiornato come $w'_i = w_i + \epsilon \cdot c_i$ , dove $c_i$ è il valore della sequenza caotica.
- Questo approccio non richiede modifiche strutturali al modello né un ri-addestramento da zero.
Fine-tuning: Dopo l'inserimento, il modello viene sottoposto a un breve periodo di fine-tuning sui dati originali (con un tasso di apprendimento ridotto) per mitigare qualsiasi impatto sulle prestazioni predittive e ripristinare l'accuratezza.

B. Verifica della Proprietà (Ownership Verification)

La verifica avviene in un contesto white-box, dove l'utente ha accesso ai pesi del modello sospetto.

Estrazione del Segnale: Si calcola la differenza tra i pesi del modello sospetto ( $W_{ft}$ ) e quelli di un modello di riferimento (o il modello originale) per isolare il segnale del watermark ( $\Delta W$ ).
Recupero dei Parametri con Algoritmo Genetico (GA): Poiché i parametri originali ( $r, x_0, \epsilon$ $r, x_{0}, ϵ$ ) sono noti solo al proprietario, il sistema utilizza un Algoritmo Genetico per recuperarli.
- Il GA evolve una popolazione di candidati (triplette di parametri).
- La funzione di fitness valuta quanto la sequenza caotica generata dai candidati assomiglia al segnale estratto $\Delta W$ , minimizzando l'Errore Quadratico Medio (MSE) e massimizzando la correlazione.
- Se il GA converge verso parametri che producono una sequenza simile all'estratta, la proprietà è confermata.

C. Tecniche di Verifica Ausiliaria

Per migliorare l'interpretabilità, gli autori introducono:

Analisi della Densità dei Pesi: Confronto visivo delle distribuzioni dei pesi tra modelli originali, watermarked e manomessi.
Classificatore Logistico basato su Attivazioni: Un classificatore leggero addestrato sulle attivazioni interne del modello per distinguere tra modelli originali, watermarked e fine-tuned senza bisogno di recuperare i parametri caotici.

3. Contributi Chiave

Tecnica Leggera e Post-Training: Il metodo non altera la procedura di addestramento originale e può essere applicato a modelli già addestrati e distribuiti.
Robustezza tramite Caos: L'uso di sequenze caotiche rende il watermark imprevedibile e resistente alla rimozione tramite smoothing o attacchi basati su modelli surrogati.
Verifica Evolutiva: L'uso di un Algoritmo Genetico per recuperare i parametri caotici permette una verifica robusta anche in presenza di perturbazioni dei pesi dovute al fine-tuning.
Strategia di Verifica Multi-livello: Combinazione di recupero numerico dei parametri, analisi statistica dei pesi e classificazione delle attivazioni per una verifica affidabile.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti sui dataset MNIST e CIFAR-10 utilizzando architetture CNN.

Fedeltà (Fidelity): L'inserimento del watermark ha avuto un impatto trascurabile sull'accuratezza del modello.
- Su MNIST, si è osservato un lieve miglioramento dell'accuratezza (da 0.9945 a 0.9957), suggerendo un effetto regolarizzante.
- Su CIFAR-10, c'è stata una minima diminuzione (da 0.7326 a 0.7279), ma le prestazioni sono rimaste entro limiti accettabili.
Robustezza al Fine-tuning: Il watermark è rimasto rilevabile anche dopo che il modello è stato sottoposto a fine-tuning aggressivo (addestramento su un sottoinsieme dei dati con learning rate ridotto).
Efficacia del Recupero:
- Per i modelli watermarked, l'Algoritmo Genetico ha recuperato i parametri ( $r, x_0, \epsilon$ ) con una differenza minima rispetto ai valori originali (es. differenza di ~0.001 per $\epsilon$ ).
- Per i modelli "casuali" (watermark con parametri diversi), il GA non è riuscito a trovare una corrispondenza, confermando l'assenza di falsi positivi.
Classificazione delle Attivazioni: Il classificatore logistico ha raggiunto un'accuratezza quasi perfetta nel distinguere i modelli:
- MNIST: 1 errore su 7.920 campioni.
- CIFAR-10: 1 errore su 29.049 campioni.

5. Significato e Limitazioni

Significato:
Il lavoro offre una soluzione pratica e scalabile per la protezione della proprietà intellettuale delle DNN in scenari white-box. La combinazione di caos (per l'unicità e la sicurezza) e algoritmi genetici (per la resilienza alla ricerca) supera le limitazioni dei metodi statici tradizionali. La capacità di funzionare su modelli già distribuiti senza ri-addestramento lo rende particolarmente utile per il mercato reale.

Limitazioni:

Contesto White-box: Richiede l'accesso ai pesi interni del modello, limitando l'applicazione in scenari black-box (es. API commerciali).
Architettura: I test sono stati effettuati principalmente su CNN per la classificazione di immagini; la validità su trasformatori, RNN o modelli linguistici non è stata ancora esplorata.
Costo Computazionale: La fase di verifica tramite Algoritmo Genetico può essere computazionalmente onerosa per modelli molto grandi o in tempo reale.
Payload: Attualmente supporta solo una sequenza caotica continua e non l'incorporazione diretta di payload multi-bit (es. ID creatori complessi o metadati strutturati).
Attacchi Non Valutati: La robustezza contro potatura (pruning), quantizzazione o riscrittura del watermark non è stata testata approfonditamente.

In conclusione, il paper presenta un approccio innovativo che bilancia efficacemente l'integrazione impercettibile del watermark con la capacità di recupero affidabile, fornendo uno strumento cruciale per la tutela della proprietà intellettuale nell'era dell'IA.