💻 computer science

A Watermark for Vision-Language-Action and World Action Models

本論文は、ガウスノイズのシードを介して、検知不可能かつ統計的に同一なウォーターマークをVision-Language-ActionおよびWorld Actionモデルに埋め込むことにより、所有者が敵対的攻撃や重みの変更の後でもモデルの所有権を確実に検証し、盗用を検知することを可能にする「キー付き潜在的プロベナンス検証（keyed latent-provenance verification）」手法を提案する。

原著者： Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

公開日 2026-06-23

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

あなたは、非常に精巧でカスタムメイドのロボットシェフを所有していると想像してください。あなたは、自身の秘伝の家族レシピと膨大な計算能力を用いて、何年もかけてこのロボットを訓練してきました。今、あなたは、このロボットの「脳」（ロボットにどのように動くべきかを指示するソフトウェア）を、サービスとして他のレストランに販売したいと考えています。しかし、コード（重み）そのものは渡したくありません。なぜなら、顧客にそれを盗まれたり、コピーされたり、あるいは競合他社に売られたりする可能性があるからです。代わりに、彼らが「ブラックボックス」型のインターフェースを通じてそれを利用できるようにします。彼らが「サンドイッチを作れ」というコマンドを送ると、ロボットは一連のモーター動作を返します。

問題は、特定のレストランが、あなたの作ったロボットの脳を使っているのか、それとも自分たちで作った安価な模造品を使っているのかを、後でどのように証明するかです。

この論文は、こうしたロボットの脳に「ウォーターマーク（電子透かし）」を入れる新しい方法を紹介しています。これは、あなたにしか見えない隠れた、目に見えないインクのようなものですが、ロボットの調理方法を変えることはありません。

旧来の手法の問題点

ロボットにウォーターマークを入れるこれまでの試みには、主に2つの欠点がありました。

「バックドア」方式： これは、コードの中に秘密のトリガーを隠すようなものです（例：ロボットが特定の音を聞くと、奇妙なダンスを踊る）。しかし、顧客が多岐にわたる場合、顧客ごとに異なる秘密のダンスを用意する必要があり、非常に煩雑です。また、顧客が後にコードを微調整した場合、そのダンスが機能しなくなる可能性があります。
「出力ノイズ」方式： これは、ロボットの動きに、あなたにしか聞こえない特定のハミングや振動を加えるようなものです。しかし、これはロボットに「私は盗作です」という明るい赤い看板を掲げているようなものです。巧妙な泥棒なら、サンドイッチを作る能力を損なうことなく、その特定のハミングを取り除くためのフィルターを簡単に使うことができます。

新しい解決策：「シークレット・シード（秘密の種）」

著者らは、「キー付き潜在プロベナンス検証（Keyed Latent-Provenance Verification）」を提案しています。ここでの比喩は以下の通りです。

ロボットの脳を、次に何をすべきかを決定しなければならないシェフだと想像してください。決定を下す前に、シェフは創造性や「ノイズ」を加えるために、コインを投げる（あるいは乱数を生成する）必要があります。

トリック： 所有者（あなた）は、ただの普通のコインを投げるのではありません。あなたは、他人には普通のコインに見えるけれど、あなたにしか分からない小さな偏りを持つ「特別な重み付きコイン」を投げます。
結果： ロボットは依然として完璧なサンドイッチを作ります。動きは100%正常に見えます。しかし、その「コイン投げ」がわずかに異なっていたために、一連の動作全体が、まるで生地の中にある独特なパターンのように、隠れた指紋を運ぶことになります。

仕組み（2つのステージ）

1. インジェクション（種の植え付け）
ロボットを導入する際、通常の乱数生成器をあなたの「キー付き」バージョンと入れ替えます。

比喩： パンを焼いているところを想像してください。あなたは、顧客には普通の小麦粉と全く同じに見え、味も同じに見える特別な小麦粉のブレンドを使用します。しかし、あなたは、この特定のブレンドが、パンの内部に微細で独特な結晶構造を残すことを知っています。
安全性： ロボットの出力（パン）は依然として見た目も味も正常であるため、泥棒は「結晶」を取り除くためにフィルターを使うことはできますが、その過程でサンドイッチを作る能力を台無しにしてしまう可能性があります。

2. 検証（種の発見）
後日、あるレストランがあなたのロボットを使用しているのではないかと疑ったとします。あなたは彼らのコンピュータの内部を見ることはできませんが、ロボットの動きを観察することはできます。

課題： あなたに見えるのは最終的な動き（パン）だけであり、内部の乱数（小麦粉）ではありません。
解決策： あなたは強力な数学的ツール（MAP最適化と呼ばれるもの）を使用して、逆算します。「もし私がこの特定の秘密のキーを使ってロボットを動かした場合、今見た通りの動きを生み出すだろうか？」と問いかけます。
テスト： あなたの秘密のキーを観察された動きに対して試します。もし数学が「はい、このキーがこれらの動きを完璧に説明します」と言えば、所有権の証明となります。もしランダムなキーを試して、数学が「いいえ、それは適合しません」と言えば、それは証明になりません。

論文の結果

著者らは、2種類の異なるタイプのロボットの脳（画像を見るものと、未来を予測するもの）と、2種類の異なるロボットの体（片腕と両腕）を用いてテストを行いました。

完璧に機能する： 複雑なタスクを実行している場合でも、彼らの「秘密の小麦粉」を動きの中からほぼ100%の確率で検出できました。
ロボットを壊さない： ウォーターマークを追加しても、ロボットがサンドイッチを落としたり、動作が遅くなったりすることはありませんでした。
除去が困難である：
- 泥棒がロボットの動きを滑らかにしようとしても（ハミングを取り除くフィルターのように）、ウォーターマークは生き残ります。
- 泥棒がロボットのコードを微調整（ファインチューニング）しようとしても、ウォーターマークは生き残ります。
- 唯一の対抗策： 泥棒があなたのロボットの脳を完全に破棄し、あなたのデータを使用してゼロから新しいロボットを訓練する（「蒸留」と呼ばれるプロセス）ことです。そして、新しいロボットが偶然同じ隠れたパターンを学習することを期待することです。論文では、これは非常に困難であることが示されています。新しいロボットは、そのパターンが視覚的なパターンではなく統計的なパターンであるため、通常はその隠れたパターンを忘れてしまいます。

まとめ

この論文は、ロボットの所有者に「デジタルDNA」テストを提供します。コードの内部を見る必要はなく、単にロボットの動きを見るだけで、それが自分のものであることを証明できるのです。それは、たとえパン屋があなたの特別な小麦粉を使った事実を隠そうとしても、外側の皮を見るだけで、そのパンがあなたのものであると判断できるようなものです。

技術要約：Vision-Language-Action および World Action モデルのための電子透かし

問題提起

Vision-Language-Action (VLA) モデルおよび World-Action Models (WAMs) は、モデルの重みは非公開のまま、API またはオンサイトのパッケージを介してポリシーが実行されるブラックボックス・サービスとして導入されることが増えています。これらのモデルは、その学習に要した独自のデータと計算リソースにより、重要な知的財産（IP）を構成します。重大な課題は、パートナーや攻撃者が、所有者の許可なく保護されたポリシーを転売または再デプロイしようとする際に発生します。

既存のロボット・ポリシー向け電子透かしソリューションには、主に2つの制限事項があります：

バックドア型電子透かし： これらは特定の動作をトリガーするためにモデルの重みを修正することを必要とします。これらはマルチユーザー識別シナリオへの拡張が困難であり、その後のファインチューニングや行動クローニングによって弱体化される可能性があります。
出力摂動型電子透かし： これらはアクションストリームの探索ノイズの中に信号を埋め込みます。しかし、信号が出力のアクションの狭い周波数帯域に集中しているため、スペクトル解析やナローフィルターを適用して、タスク性能への影響を最小限に抑えつつ電子透かしを除去しようとする攻撃者によって容易に検知されてしまいます。

核心となる問題は、ブラックボックス設定において所有権を保護し、マルチキー識別をサポートし、出力側の除去攻撃に対して堅牢であり、かつタスク性能を低下させない電子透かしメカニッチを設計することです。

手法：キー付き潜在プロベナンス検証 (Keyed Latent-Provenance Verification)

著者らは、最終的なアクション出力ではなく、潜在的なノイズシードに所有権の証拠を埋め込む2段階の手法である Keyed Latent-Provenance Verification を提案しています。

1. 指紋注入 (Fingerprint Injection)

注入は、モデルがアクションチャンクを生成する前に行われます。

メカニズム： モデルの所有者は、サンプラーによって描画される標準的なガウスノイズシード ( $z_c$ ) を、「指紋付き」のシード ( $z^{fp}_c$ ) に置き換えます。
キー付き摂動： 指紋付きシードは、元のノイズとキー付きのリファレンスベクトル ( $r_c$ ) の線形結合です：
$z^{fp}_c = \sqrt{1-\beta^2} z_c + \beta r_c$
ここで、 $\beta$ は注入強度を制御します。リファレンスベクトル $r_c$ は、秘密鍵 $k^*$ 、ノンス $\nu_e$ 、およびチャンクインデックスを使用してシードされた擬似乱数生成器を用いて生成されます。
統計的不変性： 極めて重要なことに、結果としての $z^{fp}_c$ は、元のノイズ ( $N(0, I)$ ) と全く同じガウス分布を保持します。これにより、アクションストリームに、攻撃者が容易にフィルタリングできるような明示的な加算信号が現れないことを保証します。シードとキーの相関関係は、モデルの非線形生成プロセスの中に隠蔽されます。
選択的注入： すべてのアクションチャンクにマークが付与されるわけではありません。キー付きセレクターがどのチャンクを摂動させるかを決定し、タスクへの干渉を制限し、攻撃者が特定の「マークされた」チャンクを特定して標的型の除去を行うことを防ぎます。

2. 指紋検証 (Fingerprint Verification)

検証は、疑わしいロボットが実行したアクション（部分的または後処理されたものである可能性がある）にアクセスできる、権限を持つ所有者によって行われます。

MAP 潜在復元： 検証者は内部のシードを見ることができないため、観測されたアクション ( $y_c$ ) からシードを復元する必要があります。著者らは、これを最大事後確率 (Maximum A Posteriori: MAP) 最適化問題として定式化しています。検証者は、予測されたアクション（ $\hat{z}$ から生成されたもの）と観測されたアクションとの誤差を最小化し、同時にガウス事前分布からの偏差にペナルティを課すような潜在シード $\hat{z}$ を探索します。このアプローチは、画像ウォーターマーキングで使用される逆ODE手法の失敗点である、観測不可能なアクションチャネルを推測する必要性を回避します。
キー条件付きスコアリング： 復元されたシードは、マッチドフィルタ（内積）を用いて候補となるキー付きリファレンスと比較されます。
キャリブレーションと集計： タスクやエピソード間の変動を処理するために、検証者は「デコイ（おとり）」キーのバンクに対して疑わしい対象をスコアリングし、スコアを正規化（Zスコア）します。複数のロールアウトからの証拠（グループ集計）を合算することで、所有権に関する最終的なバイナリ決定を下したり、複数の候補の中から特定のキーを識別したりします。

主な貢献

Keyed Latent-Provenance Verification： 潜在的なノイズシードを修正することで、ガウスノイズの法則を維持し、目に見える出力側の信号を回避しながら、VLAおよびWAMのデプロイメントに電子透かしを付与する新しいフレームワーク。
ブラックボックス検証器の設計： MAP最適化を使用して部分的な、あるいは後処理されたアクションコマンドから潜在シードを復元できる検証システム。これは、バイナリの所有権検証とマルチキー識別の両方をサポートします。
包括的な評価： 2つのポリシーファミリー ( $\pi0.5$ および LingBot-VA) と2つのロボットスイート (LIBERO-10 および RoboTwin) にわたる広範な実験を行い、出力側の攻撃（クリッピング、平滑化、ジッター、遅延）、オーナー側のバリアント（LoRA、プルーニング、量子化）、および適応的なファインチューニング攻撃に対する堅牢性を評価しました。

実験結果

本手法は、4つのモデルとロボットの組み合わせに対して評価されました。主な知見は以下の通りです：

タスク性能： 電子透かしの注入によるタスク成功率への影響は無視できる程度であり（通常、数パーセント以内の変化）、エピソード長もほとんど変化しませんでした。
検出精度： 攻撃がない場合、16回のロールアウトを集計することで、すべての組み合わせにおいて完全な検出（偽陽性率1%において真陽性率1.00）を達成しました。
出力攻撃への堅牢性： 本手法は、様々な出力側の除去攻撃に対しても検出可能な状態を維持しました。 $\pi0.5$ /LIBERO-10 の組み合わせにおいて、強力な平滑化やジッターを適用すると検出率が低下しましたが、本手法は概して高い堅牢性を維持しました。著者らは、電子透かしを除去できるほど強力な攻撃は、多くの場合、タスク性能を著しく低下させると指摘しています。
オーナー側のバリアントへの堅像性： 指紋は、LoRAファインチューニング、プルーニング、および量子化を生き残りました。圧縮によってモデルのバックボーンが損傷した場合（タスク成功率が低下する場合）でも、集計後に指紋の復元が可能でした。
識別： システムは、33個の候補の中から、疑わしいポリシーに割り当てられた特定のキーを正常に識別し、集計後に高いランク1精度を達成しました。
セキュリティ分析：
- 誤ったキーのリスク： ランダムまたは独立したキーが閾値を通過する確率は極めて低いです（閾値に応じて、経験的に $10^{-3}$ から $10^{-9}$ 程度と推定）。
- 適応的除去： ポリシーの電子透かしスコアを最小化するようにファインチューニングを行うホワイトボックス攻撃では、タスク性能を著しく低下させることなく指紋を除去することに失敗しました。
- 蒸留 (Distillation)： 行動クローニング（教師の出力に基づいて学生モデルを訓練すること）は、電子透かしの除去に成功しました。これは、学生モデルがアクションの分布を学習するものの、教師のサンプラー特有のノイズ法則の不変性は学習しないためです。著者らは、これを「回避のコスト（新しいモデルの再学習）が、単純なフィルタリングから高価なプロセスへとシフトする境界」であると位置付けています。

意義と主張

本論文は、Keyed Latent-Provenance Verification が、プライベートな生成ロボット・ポリシーを保護するための実用的かつ堅牢なメカニズムを提供すると主張しています。潜在シードに電子透かしを埋め込むことで、本手法は周波数ベースの電子透かしが持つ「安価な除去」という脆弱性を回避します。

著者らは、これらの保証は暗号学的な証明ではなく、経験的な動作点であることを強調しています。本手法は、所有者が疑わしいサービスにアクセスできる、権限を持った事後監査のために設計されています。その意義は、重みが隠されており、出力が標準的なデプロイメントの後処理を受ける場合でも、所有者が自身のポリシーの不正な再デプロイを検知できるようにすることにあります。この研究は、トレードオフを浮き彫りにしています。すなわち、電子透かしは出力操作やモデル編集に対しては堅牢ですが、蒸留に対しては脆弱であり、これは回避のコストが、単純なフィルタリングから、新しいポリシーを再学習するという高価なプロセスへと移行することを示唆しています。