🤖 machine learning

Dynamics-Level Watermarking of Flow Matching Models with Random Codes

本論文は、訓練中に鍵依存の摂動を介して速度場へメッセージを埋め込むフローマッチングモデル向けの動的レベルの透かし技術を導入し、生成品質を損なうことなく信頼性の高いブラックボックス検出を可能にするものである。

原著者： Shuchan Wang

公開日 2026-05-18

📖 1 分で読めます☕ さくっと読める

原著者： Shuchan Wang

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

以下は、平易な言葉と日常的な比喩を用いた、この論文の説明です。

大きなアイデア：創造の「流れ」に秘密を隠す

あなたがカスタム玩具を作る工場を経営していると想像してください。誰かが玩具のデザインをコピーしたり、あなたの名前を隠したりしようとしても、特定の玩具があなたの工場から作られたものであることを証明したいとします。

現在のほとんどの方法は、これらの創作に透かしを入れるために以下の 2 つのアプローチを試みます：

完成した玩具に： 完成品に小さく目に見えないシールを貼る。（問題点：玩具を削ったり塗り直したりすると、シールは消えてしまいます。）
工場の設計図に： 作業員が従う指示の中に秘密のコードを隠す。（問題点：誰かが設計図を盗んで数値を少し変えると、コードは壊れてしまいます。）

この論文は、これらよりも賢明な第 3 の方法を提案しています。秘密を「玩具」や「設計図」に隠すのではなく、工場そのものの動きの中に隠すのです。

比喩：川と船

この論文は、フローマッチング（Flow Matching） と呼ばれる AI に焦点を当てています。この AI を、船（ランダムなノイズ粒子）を起点（点 A）から目的地（点 B、猫や数字などの実際の画像）へと運ぶ川だと考えてください。

速度場： これは川の流れです。船が A から B へ到達するために、あらゆる瞬間にどのくらいの速さで、どの方向へ動くべきかを正確に指示します。
透かし： 研究者たちは目的地（最終的な画像）を変えません。また、地図（設計図）も変えません。代わりに、川の流れに小さくリズミカルな揺らぎを加えます。

通常、川はまっすぐに流れていると想像してください。研究者たちは、船が進むにつれて、川の流れがサイン波（滑らかな波状の動き）のように前後に揺らぐようにします。

秘密： その揺らぎのパターンが秘密のメッセージです。
魔法： この揺らぎは、前進と後退が完璧に打ち消し合うように設計されているため、船は揺らぎがなかった場合と全く同じ場所に到達します。最終的な画像は完璧に見えます。「揺らぎ」は最終結果からは消えますが、旅の間じゅうそこに存在していました。

仕組み（簡単なステップ）

1. 学習（秘密の埋め込み）
AI が画像の描き方を学習する際、研究者たちは AI にこの特定の「揺らぎ」を川の流れに加えるよう教えます。

彼らは AI に秘密の鍵（パスワードのようなもの）を与えます。
その鍵に基づいて、AI は特定のメッセージ（例：「このモデルは X 社に所属する」）に対応するパターンで流れを揺らすことを学習します。
重要なのは、揺らぎが旅全体を通じて自らを打ち消すように設計されている点です。船は依然として正しい場所に到着します。

2. 検出（秘密の発見）
秘密を見つけるために、設計図や最終的な画像を見る必要はありません。AI に「ねえ、もし私が今、川の中のこの地点にいて、この時点なら、どちらへ押しているの？」と尋ねるだけで済みます。

検出器は AI に何千回ものこうした質問（ブラックボックスクエリ）を投げかけます。
回答の中に、その特定のリズミカルな「揺らぎ」を聞き取ります。
AI が秘密の鍵を持っている場合、検出器はメッセージを復号できます。AI が鍵を持っていない場合、検出器が聞くのは単なるランダムなノイズです。

なぜこれが特別なのか（5 つのスーパーパワー）

この論文は、この方法が他の方法が抱える 5 つの大きな問題を解決すると主張しています。

「削り」には耐えられる： 秘密は最終的な画像ではなく、動き（ダイナミクス）にあるため、画像を編集しても取り除くことはできません。「揺らぎ」は画像が作られる過程そのものの一部だからです。
ブラックボックスに対応： AI の内部コードや重みを見る必要はありません。AI に質問できる（API を使える）だけで十分です。
品質を維持： 揺らぎは時間とともに自らを打ち消すため、最終的な画像は透かしがない場合と全く同じ品質に見えます。この論文は、数字の画像（MNIST）や小さなカラー写真（CIFAR-10）でこれをテストし、品質が低下しないことを確認しました。
鍵が必要： 秘密の鍵（揺らぎの特定のパターン）がなければ、メッセージを見つけることはできません。特定の周波数なしに特定のラジオ局を聞こうとするようなもので、聞こえるのは雑音だけです。この論文では、鍵がない場合、検出率はランダムに推測するのと変わらないことが分かりました。
大量のデータを運べる： これは単なる「はい/いいえ」の透かしではありません。「コードブック」を用いて異なる揺らぎのパターンを使用しているため、シリアル番号やバージョン ID などの完全なメッセージを運ぶことができます。

結果

研究者たちは、この方法を 2 種類の AI モデル（単純な MLP と複雑な UNet）でテストしました。

成功率： 透かしが施されたモデルから秘密のメッセージを100% の確率で復元できました。
誤検知： 透かしのないクリーンなモデルが、透かしのあるものと誤って判定されることは一度もありませんでした（偽陽性 0%）。
品質： 生成された画像は、オリジナルと全く同じ品質でした。

結論

この論文は、AI が何かを創造する際の「動き」そのものに、秘密で、取り除くことができず、高品質な署名を直接刻み込む方法を導入しています。まるで、川に所有者だけが聞き取れる秘密のリズムで流れるよう教えるようなもので、たとえ水が新しいカップに注がれたとしても、そのリズムは残ります。

技術的概要：ランダム符号を用いたフローマッチングモデルの動力学レベル透かし

1. 問題定義

本論文は、特にフローマッチングモデルに対する、堅牢で検証可能な所有権保護の必要性に取り組む。既存の透かし手法のパラダイムは、特定の限界を有している：

出力レベル手法は生成サンプルに信号を埋め込むが、後処理によって除去可能であり、モデル自体の所有権を証明しない。
重みレベル手法はパラメータにビットを埋め込むが、ホワイトボックスアクセスを必要とし、ファインチューニングやプルーニングに対して脆弱である。
行動レベル（バックドア）手法はブラックボックス検証を支援するが、しばしば目に見えるアーティファクトや統計的な不規則性を導入するか、強力な暗号鍵を欠く（トリガーが一度発見されれば、検証は自明となる）。

さらに、これまでに生成プロセスの学習された連続動力学（速度場）に直接透かしを埋め込んだ先行研究はない。著者らは核心的な問いを提示する：検証可能で鍵付きの多ビットメッセージを、フローマッチングモデルの速度場に直接埋め込むことは可能か？その際、検出にはブラックボックスアクセスのみを必要とし、生成品質は維持され、秘密鍵なしでは復元が不可能であるようにできるか？

2. 手法

中核概念：輸送動力学におけるランダム符号

著者らは、透かしを連続チャネルにおけるランダム符号として定式化する。重みや出力を変更するのではなく、学習された速度場 $v_\theta(x, t)$ を高次元連続チャネルとして扱う。メッセージは、この速度場に対して鍵依存の摂動を加えることで埋め込まれる。

透かし信号の構築

透かし信号 $s_{K,m}(x, t)$ は、以下の 3 つの条件を満たすように構築される：品質を維持するための時間平均ゼロ、メッセージ分離のための近似直交性、エネルギー正規化。

鍵 ( $K$ )：半直交射影行列 $P \in \mathbb{R}^{D \times k}$ と、 $\mathbb{R}^k$ 内の単位ベクトルのコードブック $C = \{c_m\}$ から構成される。
信号定義：メッセージ $m$ に対して、信号は以下のように定義される：
$s_{K,m}(x, t) = \sin(2\pi t) \cdot P c_m$
ここで、 $P c_m$ は符号語を速度空間に埋め込み、 $\sin(2\pi t)$ は時間キャリアとして機能する。
平均ゼロ特性： $\sin(2\pi t)$ の $t \in [0, 1]$ における積分はゼロである。したがって、摂動は任意の生成軌道に沿って積分するとゼロとなり、理論的には生成サンプルの終端分布を維持する。

訓練手順（埋め込み）

フローマッチングの訓練中、モデルは結合損失関数の最小化のために最適化される：

速度損失 ( $L_{vel}$ )：モデルの速度 $v_\theta$ を、標準的な条件付き速度 $u$ に透かし $\epsilon_0 s_{K,m}$ を加えたターゲット $\tilde{v} = u + \epsilon_0 s_{K,m}$ に対して回帰させる。
透かし損失 ( $L_{wm}$ )：復調された射影（ $\sin(2\pi t) P^T v_\theta$ ）がターゲット符号語 $c_m$ と一致するように、モデルが速度ベクトルを生成することを報酬とする正則化項。

理論的解析により、この目的関数下での最適予測器は、実効的な透かし強度 $\epsilon_0 + \lambda/2$ を含むことが示される。

検出手順（ブラックボックス）

検出には、モデルの速度場へのクエリアクセスのみが必要である。

クエリ：検出器は $N$ 個のランダムな点 $(x_i, t_i)$ をサンプリングし、モデルに対して速度 $v(x_i, t_i)$ をクエリする。
同期復調：検出器は速度を潜在コード空間に射影 ( $P^T v$ ) し、時間キャリア $\sin(2\pi t_i)$ を乗算する。
平均化：結果を平均化してシグネチャ $\hat{s}$ を推定する。
復号：コードブック内の符号語 $c_m$ のうち、 $\hat{s}$ との相関を最大化するものを見つけることでメッセージを復元する。

安全性と容量

安全性：秘密鍵（ $P$ と $C$ ）がない場合、攻撃者はグラスマン多様体 $Gr(k, D)$ 上の部分空間探索問題と、部分空間の基底に関する非識別性の問題に直面する。経験的に、誤った鍵を用いた検出は、偶然レベルの精度しか示さない。
容量：チャネル容量は射影次元 $k$ に比例し、クエリ数 $N$ に対して対数的にスケールする。

3. 主要な貢献

動力学レベル埋め込み：重みや出力ではなく、フローマッチングモデルの連続速度場に直接透かしを埋め込んだ最初の研究。
品質維持：軌道全体で積分するとゼロとなる摂動を設計し、生成分布が透かしなしバージョンと統計的に区別できないことを保証。
鍵付きセキュリティ：検出とメッセージ復元が秘密鍵（射影行列とコードブック）を厳密に必要とする方式を実装。鍵がない場合、精度はランダム推測レベルに低下する。
多ビット容量：コードブック構成を活用して多ビットメッセージ（二値検証を超えたもの）をサポートし、所有者識別やトライトラッキングなどの応用を可能にする。
経験的検証：MLP および UNet 構造を用いて MNIST と CIFAR-10 上で手法を検証。

4. 実験結果

著者らは、様々な設定（MNIST/CIFAR-10、MLP/UNet、異なる訓練ステップ）で手法を評価した。

検出精度：透かしを施したモデルは、すべてのテスト構成で100% のメッセージ復元を達成した。クリーンモデル（透かしなし）は 0% の偽陽性を示した（ある特定の場合のみ 2.5% で、これはランダム推測のベースライン 3.1% 以下）。
鍵付きセキュリティ：ランダムな射影行列（誤った鍵）を用いた攻撃は、50 回中 0 回の正しい復元に留まり、ランダム推測率と一致した。
統計的分離：透かしモデルとクリーンモデルのシグネチャ間の分離は有意であり、最小分離は8.4 $\sigma$ を超えた（一部の設定では 25.5 $\sigma$ に達した）。
品質維持：透かしモデルとクリーンモデル間のフリーchet Inception Distance (FID) 比は、1.0 $\times$ に近かった（0.95 $\times$ から 1.10 $\times$ の範囲）。一部の場合、透かしモデルはわずかに低い FID を示したが、これは透かし自体ではなくランダムな訓練変動に起因すると考えられた。
持続性：訓練を 10,000 ステップに延長しても、透かしの復元は劣化しなかった。

5. 意義と主張

本論文は、動力学レベル透かしが以下のための堅牢な基盤を提供すると主張する：

モデル所有権検証：ブラックボックスクエリを通じて展開されたモデルの所有権を証明すること。
トライトラッキング：異なる顧客に配布されたモデルの特定のコピーを識別すること。
規制コンプライアンス：生成モデルの由来を検証すること。

著者らは、自らのアプローチが学習された速度場を連続通信チャネルとして扱うという視点を提供しており、これは透かし以外の有用性も有し得ると強調している。彼らは明確に、この手法は有望さを示しているが、展開規模での評価とチャネル容量の厳密な有限サンプル分析は将来の課題に委ねられると述べている。本論文はすべての生成モデルファミリーに対する透かしを解決すると主張するものではなく、特にフローマッチングの枠組み内での有効性を示すものである。