技術要約：TrajPrint – 内在的モデル・フィンガープリントによるロスレスな著作権保護

問題提起

拡散モデルは、その学習に膨大な計算資源とデータが必要であることから、極めて価値の高い知的財産となっています。しかし、モデルの重みがオープンソースであることや、蒸留技術の普及により、これらのモデルは不正な複製や流用に対して脆弱です。既存の著作権保護戦略には、以下のような重大なトレードオフが存在します：

• 推論への介入： デノイジング・ループに信号を注入する手法（Tree-Ring、Gaussian Shadingなど）は、自然な拡散軌道を乱し、アーティファクトを導入して生成の多様性を制限することがあります。
• モデルの微調整（Fine-tuning）： モデルのパラメータを修正してウォーターマークを埋め込む手法（Stable Signature、SleeperMarkなど）は、学習コストを増大させ、事前学習済みの最適分布から逸脱させるため、生成性能を損なう可能性があります。
• ブラックボックスへの非互換性： 既存のフィンガープリント手法の多くは、中間デノイジング・ステップへの詳細な介入を必要とするため、アトミックな推論（入出力のみ）しかアクセスできないブラックボックスAPIとは互換性がありません。

さらに、現在の手法の多くは厳格な統計的基準を欠いており、信頼性の高い検証のための定量的な証拠を提供できていません。

手法：TrajPrint

著者らは、決定論的な生成プロセス中に形成される一意の多様体（マニフォールド）フィンガープリントを抽出することで、モデルの著作権を検証する、完全にロスレスかつ学習不要なフレームワークであるTrajPrintを提案しています。その核心となる洞察は、拡散モデルの決定論的な生成プロセスは、固有のアイデンティティとして機能する一意の高次元多様体写像を構成しているという点にあります。

本フレームワークは、主に2つのフェーズで動作します。

1. フィンガープリント・ノイズの生成

目標は、対象モデル $G_\theta$ に対するユニークなトリガーとして機能する特定のフィンガープリント・ノイズ $z^*$ を構築することです。

• ウォーターマーク・アンカー： キャリア画像に離散的なバイナリ著作権メッセージを埋め込み、「ウォーターマーク付きアンカー」（$I_w$）を作成します。
• 軌道逆転（Trajectory Inversion）： 決定論的なDDIMインバージョンを用いて、アンカーをその潜在的なノイズ起源（$x_T$）へと写像します。このステップは、画像ドメインからノイズドメインへの経路を辿ることで、モデル固有の生成的挙動を固定します。
• 結合最適化： インバージョンによる離散化誤差を軽減し、特異性を高めるために、結合最適化戦略を用いて最終的なフィンガープリント・ノイズ $z^*$ を合成します。これにはデュアルエンド・アンカリングを採用しています。
  • 知覚的多様体整合（出力側）： 再構成損失（$L_{rec}$）が意味的一貫性を強制し、生成された画像がウォーターマーク付きアンカー $I_w$ と一致するようにします。これにより、最適化プロセスは対象モデルのユニークなデノイジング・パスに沿ったノイズを発見することを強制されます。
  • 潜在軌道正則化（入力側）： 正則化損失（$L_{reg}$）が、最適化されたノイズ $z^*$ を軌道起点 $x_T$ の局所的な近傍内に制約します。これにより、他のモデルに転移可能なユニバーサルな敵対的摂動の生成を防ぎます。
  • ウォーターマーク復元： ウォーターマーク復元損失（$L_w$）が、埋め込まれたメッセージが正常に抽出できることを保証するように最適化を導きます。

全損失関数は、モデルのパラメータを凍結したまま、潜在入力 $z$ に対してのみ最適化される、これらの目的関数の加重和となります。

2. 検証

検証フェーズでは、防御者は最適化されたフィンガープリント・ノイズ $z^*$ を用いて、疑わしいブラックボックスモデルに対してクエリを実行します。

• アトミック推論： このプロセスは標準的な入出力インタラクションのみを必要とするため、カプセル化されたAPIとも互換性があります。
• 統計的テスト： 抽出されたウォーターマーク・メッセージは元のものと比較されます。ビット精度（BA）が計算され、帰無仮説（ランダムな推測、$\mu=0.5$）に対して一標本t検定が行われます。統計的に有意なp値は、侵害の信頼できる証拠を提供します。

主な貢献

1. ロスレスかつ学習不要な検証： TrajPrintは、モデルの重みやアーキテクチャを変更することなく、モデル固有のフィンガープリントを抽出するため、生成品質の劣化をゼロに抑えます。
2. ブラックボックスへの互換性： アトミックな推論と決定論的な軌道逆転に依存しているため、中間状態へのアクセスが不可能なシナリオでも機能し、これは従来のフィンガープリント技術とは対照的です。
3. 多様体に特化したフィンガープリント： 軌道遡及を通じて、固有の生成多様体を特定のフィンガープリント・ノイズへと写像し、非ターゲットモデルに対する誤検知を防ぐトリガー・検証ペアを構築します。
4. 統計的厳密性： 本フレームワークは、定量可能で法的に堅牢な著作権侵害の証拠を提供するための、統計的仮説検定プロトコルを導入しています。

実験結果

多様な潜在拡散モデル（Stable Diffusion v1.5, v2.1, XL, DeciDiffusion, Pixart-$\alpha$）および様々な攻撃シナリオにわたって、広範な実験が行われました。

• 特異性： TrajPrintは、ターゲットモデルにおいて0.96を超えるビット精度（BA）と $p < 10^{-3}$ のp値を達成しました。クロスモデル検証においては、精度は約0.55（ランダムな推測）まで低下し、転移性の欠如を示し、誤った告発を効果的に防ぎました。対照的に、ランダムノイズ最適化を用いたベースラインは、高いクロスモデル転移性（BA $\approx$ 0.7）を示し、誤検知を招きました。
• 堅牢性： 本手法は、以下の攻撃に対して卓越した耐性を示しました：
  • パラメータの微調整： LoRAやDreamBoothによる微調整（最大5000ステップ）後でも、高いBA（> 0.91）を維持しました。
  • 量子化： FP16およびBFloat16精度下でも堅牢に動作しました（BA > 0.95）。
  • プルーニング： 構造化されていないマグニチュード・プルーニング（スパース性10%まで）に対しても耐性を持ちました（BA > 0.8）。
• アブレーション研究： デュアルエンド・アンカリングの制約を取り除くと、クロスモデル精度が急上昇（$\approx$ 0.7）し、特異性のための軌道アンカリングの必要性が確認されました。本手法は、異なる決定論的サンプラーおよびサンプリングステップ数（20–100）の間で安定しており、最大128ビットのウォーターマーク・ペイロードをサポートしています。

意義と限界

本論文は、モデルの所有者が内部パラメータにアクセスできない、あるいはモデルの重みを変更できない実世界の環境において、TrajPrintが著作権検証のための実用的なソリューションを提供すると主張しています。アトミックな推論を介して動作する能力により、ブラックボックスAPIとしてデプロイされているモデルの検証に特に適しています。

限界：
著者らは特定の制約を指摘しています。対象となる環境は、カスタム初期ノイズ注入（ComfyUIやStable Diffusion WebUIなどのインターフェース経由）をサポートしている必要があります。したがって、初期ノイズを直接入力パラメータとして受け付けないAPIシナリオには、本手法を適用できない可能性があります。