Watermarking Should Be Treated as a Monitoring Primitive

Riepilogo Tecnico: La Filigrana Deve Essere Tratta come un Primitivo di Monitoraggio

Enunciato del Problema
Le valutazioni attuali della filigrana per i modelli generativi si concentrano quasi esclusivamente sulla robustezza per campione contro avversari che tentano di eludere il rilevamento o di indurre falsi positivi. Questi modelli di minaccia trattano i segnali della filigrana come obiettivi da rimuovere o falsificare. Tuttavia, questa prospettiva trascura una capacità critica: la possibilità per gli osservatori di aggregare i segnali della filigrana su più output per inferire informazioni a livello di entità. Il documento sostiene che la filigrana non è meramente un meccanismo difensivo per la provenienza, ma funge intrinsecamente da primitivo di monitoraggio. Quando viene implementata con chiavi di attribuzione per entità, la filigrana introduce strutture statistiche persistenti che abilitano il tracciamento, la collegabilità e la re-identificazione nel tempo, capacità non catturate dalle metriche standard di robustezza.

Metodologia
Gli autori introducono un modello di minaccia basato sull'osservatore che sposta il focus dalla manipolazione di singoli campioni all'aggregazione passiva di segnali su un flusso di output. Questo modello distingue tra due tipi di osservatori:

1. Osservatori Interni: Entità con accesso ai rilevatori di filigrana e alle chiavi segrete. Nelle implementazioni a più chiavi, possono attribuire direttamente gli output a entità specifiche.
2. Osservatori Esterni: Entità senza accesso a chiavi o rilevatori. Si affidano agli output osservabili e all'apprendimento statistico per inferire l'identità della sorgente sfruttando pattern persistenti dipendenti dalla chiave, indotti dal processo di filigrana.

Lo studio formalizza la re-identificazione dell'entità come il compito di determinare se due output originano dalla stessa entità. Gli autori valutano ciò nel contesto della filigrana a zero bit (dove non viene codificato alcun messaggio di identità esplicito) attraverso le modalità testo e immagine.

• Modelli: Qwen2.5-14B per il testo e Stable Diffusion v2.1 per le immagini.
• Metodi di Filigrana: Multiple schemi a zero bit inclusi KGW, Unigram, EWD, MorphMark, EXP, IE, SWEET, SEMSTAMP, SynthID, TreeRing, Wind e Gaussian Shading.
• Configurazione Sperimentale: Un'implementazione a più chiavi in cui entità distinte ricevono chiavi uniche. Gli autori utilizzano impostazioni con prompt abbinati per garantire che l'attribuzione dipenda dalla struttura indotta dalla filigrana piuttosto che dalle differenze nei prompt.
• Metriche:
  • Interne: Accuratezza di attribuzione Top-1 (TPR@1%FPR).
  • Esterne: Accuratezza di classificazione Top-1 e Top-3 utilizzando classificatori appresi (BERT-Base per il testo, CLIP-RN50 per le immagini) addestrati su caratteristiche osservabili.
• Controlli: I baseline includono la generazione senza filigrana e implementazioni a chiave condivisa per isolare l'effetto della struttura dipendente dalla chiave.

Principali Contributi

1. Modello di Minaccia Basato sull'Osservatore: Il documento formalizza un modello di minaccia in cui gli osservatori aggregano segnali su più output per eseguire inferenze a livello di entità, distinguendo tra monitoraggio intrinseco (interno) e monitoraggio emergente (esterno).
2. Monitoraggio Intrinseco negli Schemi a Zero Bit: Gli autori dimostrano che il monitoraggio è inevitabile nelle implementazioni a più chiavi, anche per la filigrana a zero bit. Chiavi distinte inducono strutture statistiche persistenti che permettono agli osservatori interni di attribuire gli output senza una codifica esplicita dell'identità.
3. Monitoraggio Esterno Emergente: Lo studio mostra che gli osservatori esterni possono imparare a identificare le entità generatrici nel tempo aggregando segnali deboli, anche senza accesso a chiavi o rilevatori. Questa capacità emerge dalla struttura statistica introdotta dal design della filigrana.
4. Tensione Dual-Use: Il lavoro evidenzia una tensione fondamentale tra gli usi previsti della filigrana (attribuzione, sicurezza) e le sue capacità non intenzionali (tracciamento, perdita di privacy), sostenendo che i protocolli di valutazione devono estendersi oltre la robustezza per campione.

Risultati

• Attribuzione Interna: Sotto la filigrana a zero bit a più chiavi, gli osservatori interni hanno raggiunto un'accuratezza di attribuzione quasi perfetta (TPR@1%FPR) su tutti i metodi testati. Le prestazioni sono rimaste elevate anche quando il numero di entità è aumentato da 4 a 16, con un degrado solo lieve. Ciò conferma che gli schemi a zero bit supportano intrinsecamente un tracciamento affidabile delle entità quando le chiavi sono distinte.
• Re-identificazione Esterna: Gli osservatori esterni inizialmente hanno operato vicino al caso casuale, ma hanno mostrato un miglioramento sostanziale all'aumentare del numero di campioni osservati per entità.
  • Per il testo (KGW) con 16 entità, l'accuratezza Top-1 è passata da ~11,3% a 73,0% con 4.000 campioni per entità.
  • Per le immagini (TreeRing), la convergenza è stata più rapida, raggiungendo un'accuratezza Top-1 del 91,0% con 16 entità e 4.000 campioni.
• Esperimenti di Controllo:
  • Senza Filigrana: L'accuratezza di identificazione è crollata al caso casuale, confermando che il segnale non è intrinseco al modello o ai prompt.
  • Chiave Condivisa: Quando tutte le entità hanno utilizzato la stessa chiave, l'accuratezza di identificazione è crollata anch'essa al caso casuale, dimostrando che la capacità di monitoraggio dipende specificamente dalla struttura statistica dipendente dalla chiave.

Significato e Affermazioni
Il documento afferma che la filigrana dovrebbe essere rivalutata come una tecnologia di monitoraggio e non solo come uno strumento di provenienza. Gli autori affermano che:

• Il Monitoraggio è Inevitabile: Una volta implementate le chiavi per entità, il monitoraggio interno è una conseguenza diretta del design del sistema e non può essere tecnicamente prevenuto senza sacrificare l'utilità dell'attribuzione (ad esempio, utilizzando chiavi globali condivise).
• Capacità Emergenti: Il monitoraggio esterno è una proprietà emergente che dipende dal design della filigrana. Sebbene schemi che preservano la distribuzione o sono indetectabili possano mitigare i rischi esterni, non eliminano le capacità di monitoraggio interno nelle impostazioni a più chiavi.
• Lacuna nella Valutazione: I protocolli di valutazione attuali sottostimano significativamente le capacità di monitoraggio dei sistemi di filigrana. Gli autori raccomandano che le future valutazioni riportino esplicitamente l'accuratezza di attribuzione in funzione del numero di entità e dei campioni osservati nel tempo.

Gli autori concludono che gli sforzi normativi e di standardizzazione (come l'AI Act dell'UE) sono incompleti se trattano la filigrana solo come un meccanismo per la provenienza. Chiedono un dibattito più ampio sulla governance dei sistemi di filigrana, sottolineando la necessità di trasparenza riguardo alla loro capacità intrinseca di abilitare il tracciamento e l'inferenza nel tempo.