🤖 machine learning

MeMark: Membrane-Space Watermarking for Spiking Neural Networks

MeMark introduce una tecnica di watermarking robusta per le Reti Neurali Spiking che incorpora identificatori multi-bit direttamente negli stati di membrana interni dei neuroni, consentendo una verifica affidabile della proprietà anche dopo la sostituzione del layer di output, il fine-tuning, il pruning e la quantizzazione.

Autori originali: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

Pubblicato 2026-08-27

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Nel mondo in rapida evoluzione dell'intelligenza artificiale, si sta verificando un cambiamento significativo verso un tipo di cervello artificiale che imita il sistema nervoso umano più da vicino rispetto ai modelli tradizionali. Questi sistemi, noti come reti neurali spiking, non elaborano le informazioni in un flusso costante di numeri. Invece, comunicano attraverso brevi e discrete raffiche di attività, proprio come i neuroni che scattano nel cervello. Rimangono silenti finché un segnale specifico non li attiva, il che li rende incredibilmente efficienti nell'uso dell'energia. Poiché l'addestramento di questi sistemi avanzati richiede enormi quantità di dati, computer potenti e tempo significativo, i modelli finali addestrati sono asset preziosi. Le aziende e i ricercatori spesso rilasciano questi modelli come punti di partenza pre-addestrati, permettendo ad altri di costruirvi sopra per nuovi compiti. Tuttavia, questa pratica crea una vulnerabilità: se qualcuno prende un modello rilasciato, lo modifica leggermente e sostituisce la parte che produce la risposta finale, può effettivamente cancellare ogni prova che il creatore originale abbia costruito il nucleo del sistema.

Per risolvere questo problema, un team di ricercatori ha sviluppato un nuovo metodo chiamato MeMark, che agisce come una firma nascosta incorporata profondamente all'interno del funzionamento interno di queste reti spiking. A differenza dei precedenti tentativi di proteggere i modelli di intelligenza artificiale, che si affidavano al controllo dell'output finale o dei risultati visibili, MeMark nasconde la sua prova all'interno dei neuroni stessi. I ricercatori si sono concentrati su un tipo specifico di neurone che mantiene una carica elettrica interna, nota come potenziale di membrana. Questa carica si accumula nel tempo fino a raggiungere un limite critico, causando lo scatto del neurone e il successivo reset. Il team si è reso conto di poter usare questa naturale soglia di attivazione come una serratura segreta. Regolando attentamente il processo di addestramento, possono costringere specifici neuroni a mantenere la loro carica appena sopra o appena sotto questo limite di attivazione quando viene presentato un input segreto e nascosto. Ciò crea un modello di stati di "attivato" e "non attivato" che corrisponde a un codice segreto, scrivendo di fatto una password a più cifre nello stato elettrico della rete.

La genialità di questo approccio risiede nel modo in cui viene letto e in come sopravvive ai cambiamenti. Per verificare la proprietà di un modello, il proprietario non ha bisogno di addestrare un decoder separato o apprendere un nuovo modo per interpretare i dati. Deve semplicemente presentare l'input segreto e controllare la carica interna dei neuroni selezionati. Se la carica è sopra il limite, conta come uno; se è sotto, conta come zero. Poiché la soglia è una parte integrata nel design del neurone, il processo di verifica è immediato e non richiede ulteriore apprendimento. Questo metodo si è dimostrato straordinariamente resiliente. In test che hanno coinvolto un enorme modello linguistico con oltre 200 milioni di parametri, i ricercatori hanno incorporato venti chiavi segrete diverse. Anche quando il modello è stato pesantemente modificato — come tramite la rimozione del novanta per cento delle sue connessioni, la compressione dei suoi dati o la completa sostituzione degli strati finali che generano testo — la firma nascosta è rimasta intatta. L'evidenza interna è sopravvissuta a questi cambiamenti drastici, mentre i marcatori dell'output visibile usati nei metodi precedenti venivano facilmente cancellati.

I ricercatori hanno anche affrontato un trucco astuto che un rivendicatore disonesto potrebbe tentare: ispezionare un modello e poi creare una chiave falsa che per coincidenza corrisponda agli stati interni esistenti del modello. Per prevenire ciò, il sistema richiede un registro datato creato prima che il modello venga mai rilasciato. Questo record lega la chiave segreta alla specifica versione del modello in quel momento. Se qualcuno prova a rivendicare la proprietà in seguito tramite l'ingegneria inversa di una chiave, non potrà produrre questo record precedente, provando che la sua pretesa è falsa. Lo studio ha dimostrato che, sebbene un attaccante potesse effettivamente creare una chiave che corrispondesse al modello se gli fosse stato permesso di guardare all'interno, non poteva aggirare il requisito del precedente impegno datato. Inoltre, il sistema è stato testato contro migliaia di chiavi casuali, e nessuna di esse corrispondeva accidentalmente ai modelli protetti, garantendo che l'evidenza sia specifica e affidabile.

Questo lavoro dimostra che la proprietà di un'intelligenza artificiale complessa può essere protetta anche quando il modello viene riutilizzato o alterato. Incorporando la prova direttamente nel comportamento elettrico fondamentale dei neuroni, piuttosto che nell'output finale, i ricercatori hanno creato una firma che è difficile da rimuovere senza distruggere la capacità del modello di funzionare. Il metodo funziona attraverso diversi tipi di architetture di rete, dalle strutture semplici ripetitive ai complessi sistemi basati su transformer utilizzati per il linguaggio. Sebbene il sistema sia robusto, i ricercatori hanno osservato che, se un attaccante conosce l'esatto input segreto e le posizioni specifiche dei neuroni nascosti, potrebbe potenzialmente mirare a rimuoverli. Tuttavia, senza tale conoscenza segreta, il watermark rimane una forma di evidenza persistente e affidabile, garantendo che i creatori originali possano provare il proprio lavoro anche dopo che il modello è passato attraverso molte mani ed è stato modificato per nuovi usi.

Riassunto Tecnico: MeMark – Watermarking nello Spazio di Membrana per Reti Neurali Spiking

1. Definizione del Problema

Le Reti Neurali Spiking (SNN) vengono sempre più distribuite come checkpoint pre-addestrati e riutilizzate come backbone per nuovi compiti. Sebbene il watermarking dei modelli sia una tecnica standard per proteggere le Reti Neurali Profonde (DNN), i metodi esistenti di watermarking per le SNN affrontano una vulnerabilità critica nel contesto del riutilizzo dei checkpoint. Gli attuali watermark per SNN sono principalmente verificati rispetto all'output del modello (ad esempio, tramite risposte temporali o output dipendenti dal trigger). Di conseguenza, un avversario che sostituisce l'head di output (gli strati finali specifici del compito) può rimuovere l'evidenza del watermark pur mantenendo la stragrande maggioranza dei pesi e della struttura interna della rete originale. Inoltre, i metodi esistenti spesso si affidano a decoder appresi o alla verifica basata sull'output, il che è insufficiente quando l'interfaccia di output viene alterata o quando l'accesso white-box permette a un attaccante di creare chiavi che corrispondano agli stati interni del modello ex-post.

2. Metodologia: MeMark

MeMark è uno schema di watermarking challenge-response progettato per incorporare identificatori multi-bit direttamente negli stati di membrana interni dei neuroni Leaky Integrate-and-Fire (LIF), garantendo la persistenza anche dopo la sostituzione dell'head di output.

2.1 Meccanismo Centrale

Invece di memorizzare i watermark nei pesi o nelle attivazioni di output, MeMark incorpora i bit nel potenziale di membrana pre-firing ( $v_i(t)$ ) di selezionati neuroni LIF a specifici istanti temporali.

Embedding: Per un input segreto (challenge) $x_{wm}$ $x_{w m}$ , il sistema seleziona un insieme di coordinate $C = \{(l_k, n_k, t_k)\}$ $C = {(l_{k}, n_{k}, t_{k})}$ corrispondenti a layer, neurone e istante temporale. L'obiettivo di addestramento spinge il potenziale di membrana di un neurone selezionato da un lato della sua soglia di firing intrinseca ( $v_{th}$ $v_{t h}$ ) in base al bit del payload $W_k$ $W_{k}$ :
- Se $W_k = 1$ , il potenziale è addestrato per essere $> v_{th}$ .
- Se $W_k = 0$ , il potenziale è addestrato per essere $< v_{th}$ .
Funzione di Perdita: Il metodo utilizza una metrica di distanza con segno $m_k = (v_k - v_{th,k}) / \tau_{wm}$ e ottimizza una perdita Binary Cross-Entropy (BCE). Ciò consente all'ottimizzatore di ricevere segnali di gradiente riguardanti la distanza dalla soglia anche prima che la decisione binaria di spike cambi, evitando la non-differenziabilità dell'operazione di spiking.
Fedeltà: Per preservare le prestazioni del compito, l'obiettivo di addestramento include un termine di fedeltà (divergenza KL) tra il modello watermarked e una copia congelata del checkpoint originale, insieme alla perdita del compito.

2.2 Verifica

La verifica richiede l'accesso white-box al modello sospetto per ispezionare gli stati interni.

Hard Read: Il verificatore presenta la challenge segreta e controlla se il potenziale di membrana alle coordinate specifiche è sopra o sotto la soglia di firing del neurone. Questo recupera il bit senza richiedere un decoder appreso, poiché la soglia è una parte intrinseca del neurone.
Punteggio Continuo: Un punteggio continuo opzionale ( $S_{mem}$ ) misura la distanza del potenziale di membrana dalla soglia, fornendo una metrica di confidenza.
Carrier di Output: MeMark include un opzionale response basato sull'output per scenari in cui gli stati interni sono inaccessibili, sebbene sia riconosciuto come rimovibile tramite la sostituzione dell'head.

2.3 Anti-Contraffazione e Impegno (Commitment)

Per prevenire le "richieste adattate" (dove un attore disonesto ispeziona un modello e genera una chiave che corrisponde ai suoi stati interni correnti), MeMark richiede al proprietario di pubblicare un impegno crittografico con timestamp prima del rilascio del checkpoint. Questo impegno vincola la specifica chiave, il proprietario e l'hash del checkpoint. Una valida rivendicazione di proprietà deve dimostrare che la chiave è stata impegnata prima del rilascio del modello sospetto.

3. Contributi Chiave

Embedding nello Spazio di Membrana: Introduzione di MeMark, che incorpora i watermark nei potenziali di membrana interni dei neuroni LIF, rendendo l'evidenza resiliente alla sostituzione dell'head di output.
Verifica Senza Decoder: Il metodo utilizza la soglia di firing intrinseca del neurone per la decodifica, eliminando la necessità di un layer di proiezione appreso (a differenza dei watermark basati sulle attivazioni delle DNN) e riducendo l'overhead di archiviazione.
Valutazione della Robustezza: Valutazione completa su architetture SNN ricorrenti, convoluzionali, residuali e transformer, incluso un checkpoint SpikeGPT da 215.4M di parametri.
Protocollo di Impegno: Integrazione di un meccanismo di impegno con timestamp per mitigare le false rivendicazioni di proprietà derivanti dall'ispezione white-box del modello.

4. Risultati Sperimentali

Gli autori hanno valutato MeMark su otto testbed SNN, inclusi un modello SpikeGPT da 215.4M di parametri e vari modelli di visione (SEW-ResNet, Spikformer, QKFormer).

Accuratezza di Verifica: Sul checkpoint SpikeGPT, sono stati incorporati 20 key indipendenti a 64 bit. Tutti i 20 key genuini hanno superato una regola di verifica fissa di 51/64 bit corrispondenti. Al contrario, 30.000 key casuali freschi hanno fallito nel superare questa regola su tutti i checkpoint protetti e sul modello pulito, con un tasso di falsi positivi (FPR) dello 0.000% (limite superiore al 95% di 0.010%).
Robustezza alle Modifiche:
- Sostituzione dell'Head: Il watermark di membrana è rimasto verificabile (BER $\approx$ 0.00) dopo che l'head di output è stato resettato e ri-addestrato, mentre il carrier di output è stato rimosso.
- Fine-tuning: Dopo 200 step di fine-tuning, tutti i 20 key soddisfacevano ancora la soglia di 51/64 (la media dei bit corrispondenti è scesa leggermente da 59.4 a 58.3).
- Pruning e Quantizzazione: Il pruning al 90% e la quantizzazione int8 non hanno alterato i bit di membrana per nessuno dei 20 key.
- Cambiamenti Strutturali: Il watermark è sopravvissuto a permutazioni di canali e divisioni di layer, a patto che venisse eseguito un passaggio di riallineamento dei canali per far corrispondere le coordinate.
Selettività: Il watermark è altamente selettivo rispetto alla challenge segreta. L'accordo off-trigger (usando input casuali) era 0.516 (vicino al caso casuale), significativamente inferiore ai decoder di proiezione appresi (0.715), indicando che il payload non viene trapelato durante il normale funzionamento.
Richieste Adattate (Fitted Claims): Gli esperimenti hanno confermato che, senza l'impegno pre-rilascio, un attaccante con accesso white-box potrebbe adattare una chiave per corrispondere agli stati interni del modello (raggiungendo 32/32 bit). Il protocollo di impegno mitiga efficacementamente questo problema richiedendo la prova di una registrazione precedente.

5. Significato e Rivendicazioni

Il paper sostiene che MeMark fornisca una soluzione robusta per provare la proprietà dei checkpoint SNN in uno scenario di riutilizzo in cui l'interfaccia di output non è più affidabile. Spostando il watermark dai layer di output alla dinamica di membrana interna, MeMark assicura che l'evidenza della proprietà persista anche quando il modello viene riutilizzato o i suoi strati finali vengono rimossi.

Gli autori sottolineano che MeMark offre un'alternativa pratica alle tecniche di watermarking per DNN che si affidano a decoder appresi, poiché sfrutta le proprietà fisiche esistenti dei neuroni spiking (la soglia di firing) per la verifica. I risultati suggeriscono che MeMark può fornire evidenza della derivazione del checkpoint resistendo ad attacchi adattivi, modifiche del modello (pruning, quantizzazione, fine-tuning) e sostituzione completa dell'head. Il paper conclude che, sebbene gli attacchi adattivi possano indebolire il watermark, non possono rimuovere completamente l'evidenza della proprietà nei settings testati, e il metodo mantiene un'alta fedeltà alle prestazioni del compito originale.