技術要約: FedOT - 連合学習型LDMにおけるウォーターマークによる所有権検証と漏洩追跡

1. 問題提起

本論文は、**連合型潜在拡散モデル（Federated Latent Diffusion Models: FedLDMs）**における知的財産（IP）保護に関する極めて重要な脆弱性に対処している。連合学習（FL）は生データをローカルに保持することでデータのプライバシーを保護するが、グローバルなモデル更新を共有する必要があり、その結果、モデルのアーキテクチャが悪意のあるクライアントにさらされることになる。これらのクライアントは、ファインチューニングされたモデルを無断で配布したり転売したりする可能性がある。

既存のソリューションをFedLDMに適用する場合、以下の2つの根本的な限界に直面する：

1. 追跡性の欠如: 現在の手法は、モデルが特定の連合グループに属しているか（所有権検証）を検証することはできるが、漏洩の原因となった特定の悪意のあるクライアントを特定することはできない。
2. 置換攻撃に対する脆弱性: 標準的なVAEベースのウォーターマーキング技術は、FLにおいては脆弱である。クライアントは通常、U-Netのパラメータのみを更新し、VAE（変分オートエンコーダ）は固定されたままにするため、悪意のあるクライアントは、ウォーターマーク付きのVAEデコーダーをクリーンなオープンソースの対応物と単に置き換えることができる。これにより、画像生成の品質を低下させることなくウォーターマークを除去できてしまい、保護策が無効化される。

2. 手法: FedOTフレームワーク

著者らは、FedLDMのために所有権検証と漏洩追跡を同時に実現するように設計された初のフレームワークであるFedOTを提案している。このフレームワークは、**チャンク分割ウォーターマーク（Chunked Watermark）メカニズムと潜在ベクトル変換（Latent Vector Transformation: LVT）**という2つのコアコンポーネントで構成されている。

2.1 チャンク分割ウォーターマークのデザイン

追跡性のギャップを解決するために、FedOTは長さ $n$ ビットのバイナリウォーターマークを採用し、それを2つの異なるセグメントに分割して、各クライアントのモデルのVAEデコーダーに埋め込む：

• 所有権セグメント ($r$ ビット): 漏洩したモデルが連合グループに由来するかどうかを検証するための共有プレフィックス。
• 追跡セグメント ($n-r$ ビット): 各特定のクライアントに割り当てられる固有のサフィックス。

ワークフロー:

1. 検証: 抽出されたウォーターマークの最初の $r$ ビットがグループのプレフィックスと一致する場合（閾値 $\tau$ 以上）、所有権が確認される。
2. 追跡: 所有権の検証が成功した場合にのみ、システムは残りの $n-r$ ビットを分析して、漏洩の原因となった特定のクライアントインデックス $j$ を特定する。この2段階のプロセスにより、大規模な展開における効率性が向上する。

2.2 潜在ベクトル変換 (LVT)

VAE置換攻撃に対抗するため、FedOTはLVTを導入し、VAEとU-Netの間に強力な依存関係を作り出す。核心となる洞察は、LDMにおけるU-Netは、訓練中にVAEによって生成される特定の潜在分布に適応するという点である。この分布を修正することで、U-Netは特定のVAEに「拘束」されることになる。

LVT訓練プロセス（2段階）:

1. ステージI（エンコーダー訓練）: サーバーは、潜在ベクトル $z$ に適用される特定の変換 $T$ を学習するようにVAEエンコーダーをファインチューニングする。デコーダーは固定される。エンコーダーは、入力画像を変換された潜在空間 $z' = T(z)$ へとマッピングすることを学習する。
2. ステージII（デコーダー訓練）: エンコーダーを固定する。デコーダーは、変換された潜在空間 $z^*$ から画像を再構成するようにファインチューニングされ、実質的に逆変換 $T^{-1}$ を学習する。

変換戦略:
本論文では、潜在分布をシフトさせるための3つの決定論的な戦略を検討している：

• 平行移動 ($FedOT_{tran}$): 潜在空間に定数ベクトル $c$ を加える ($z' = z + c$)。
• 反転 ($FedOT_{mir}$): 潜在ベクトルを反転させる ($z' = -z$)。
• 負値化 ($FedOT_{neg}$): エンコード前に入力画像に対して画素単位の反転 ($x^- = 1-x$) を適用し、潜在空間がこの反転した多様体に適応するように強制する。

セキュリティメカニズム:
悪意のあるクライアントがウォーターマーク付きのVAEをクリーンなものに置き換えた場合、U-Net（変換された分布に基づいて訓練されている）は、不一致な潜在空間からの入力を受け取ることになる。これにより、画像合成の品質に深刻な劣化が生じ、盗まれたモデルの使用を困難にする。

3. 主な貢献

本論文は以下の貢献を主張している：

1. FedLDMのための初のフレームワーク: FedOTは、連合型潜在拡散モデルにおいて、所有権検証と特定のクライアントの漏洩追跡の両方を可能にする初のシステムである。
2. 堅牢なコンポーネント結合: 提案されたLVTは、VAEとU-Netの間に強い依存関係を確立する。これにより、VAE置換によるウォーターマークの除去が画像生成品質の著しい劣化をもたらすことを保証し、ゼロコストの置換攻撃を効果的に無効化する。
3. 包括的な評価: 著者らは、VAE置換、モデル浄化（クリーンなデータによるファインチューニング）、および画像ベースの攻撃を含む様々な攻撃に対して広範な実験を行い、フレームワークの信頼性を実証している。

4. 実験結果

実験は、Stable Diffusion v2.1を使用し、LVT/ウォーターマーク訓練用としてCOCO2017、連合ファインチューニング用としてLAION-10Kを用いて行われた。

• 置換攻撃に対する防御:
  • ベースライン手法（Stable Signature* および LVTなしのFedOT）は、VAE置換後に画像品質（FID）の低下がほとんど見られず、ウォーターマークも検出不可能であった。
  • LVTを備えたFedOT: すべてのLVTバリアントは、置換時に大幅なFIDの上昇（品質劣化）を引き起こした。
    • $FedOT_{neg}$ が最も優れたバランスを示した：クリーンな状態では高い生成品質を維持しつつ、置換時にはFIDが約20ポイント上昇した（約20.3から約40.5へ）。
    • $FedOT_{mir}$ は最も深刻な意味的混乱（CLIPスコアの-0.064の低下）を引き起こし、生成されたコンテンツを実質的に使用不能にした。
• 所有権および追跡性能:
  • FedOTは、所有権検証とクライアント追跡の両方において、高い検出率（>0.96）とビット精度（>0.94）を達成した。
  • チャンク分割ウォーターマークのデザインにより、必要な場合にのみ効率的な追跡が可能となった。
• 堅牢性:
  • 浄化攻撃: モデルをクリーンなデータで300エポック ファインチューニングしても、画像品質を低下させることなくウォーターマークを除去することはできなかった（FIDが大幅に上昇した）。
  • 連合条件: クライアント数（5, 10, 20）や非i.i.d.データ分布（Dirichlet $\alpha$）に関わらず、性能は安定していた。

5. 重要性と主張

本論文は、FedOTを、プライバシー保護された連合設定における生成AIを保護するための必然的な進化として位置づけている。著者らは以下のように主張している：

• 既存のFLウォーターマーキング・ソリューションは、アーキテクチャの違いや固定されたVAEの特有の脆弱性により、LDMのような複雑な生成モデルには不十分である。
• LVTによって導入されるトレードオフは、意図的かつ効果的なセキュリティ機能である。すなわち、ウォーターマークを除去するコストは、モデルの有用性を破壊することである。これにより、攻撃者は攻撃を実行することが困難になる。
• 本フレームワークは、単純な所有権検証を超えてソース追跡へと移行することで、文献における重要な空白を埋めるものである。これにより、連合グループはモデル漏洩の責任を負う特定のクライアントを特定し、責任を追及することが可能になる。

著者らは、FedOTがFedLDMを保護するための信頼できるメカニズムを提供し、分散型の訓練環境においても知的財産権が維持されることを結論付けている。