アーティストが単に筆で絵を描くのではなく、魔法の言葉で描く世界を想像してみてください。あなたが「サイバーパンクな猫がピザを食べている」といった文章を入力すると、コンピューターは瞬時に、全く新しい高解像度の画像を生み出します。これが、最新のAIアートブームの背後にいるデジタル的な魔法使い、「テキスト・トゥ・イメージ（Text-to-Image）拡散モデル」の世界です。これらのモデルは、画面いっぱいの静止ノイズ（信号のない古いテレビのようなもの）から始まり、ステップ・バイ・ステップで、鮮明な画像が現れるまでゆっくりとノイズを取り除いていくことで機能します。これらのモデルは非常に強力であるため、企業はそれらをサービスとして販売したり、他の人が使用するための「レシピ」（モデルファイル）を共有したりしています。しかし、これは厄介な問題を生み出します。もし誰かが企業の秘密のレシピを盗んだり、それを少しだけ微調整して自分のものとして販売したりした場合、元の所有者はそれが自分のものであるとどうやって証明すればよいのでしょうか？ 泥棒が中身を隠してしまえば、コードの内部を覗き見ることはできませんし、芸術性を損なうことなく、モデルに秘密のデジタルウォーターマーク（電子透かし）を埋め込むためにモデルを変更することも常にできるわけではありません。彼らは、モデルが「何をするか」を観察するだけで、泥棒を捕まえる方法を必要としているのです。

この論文では、「崩壊した生成（Collapsed Generation）」と呼ばれる巧妙な新しい探偵の手法を紹介しています。これは、AIに対する性格テストのようなものだと考えてください。通常、AIに同じ言葉を使い、異なるランダムな開始点（ダイスを振るようなもの）を用いて5回絵を描かせると、5つの全く異なるユニークな画像が得られます。それは、シェフにバーガーを作るよう5回依頼する場合のようなものです。あなたは5回、少しずつ異なるバーガーが出てくることを期待するでしょう。しかし、研究者たちは、特定の特定の単語に対して、一部のAIモデルがループに陥ってしまうことを発見しました。何度ダイスを振っても、モデルはほぼ全く同じ画像を生成し続けるのです。それはまるで、シェフが「バーガー」と頼まれた途端に、レシピのバリエーションを忘れてしまい、5回連続で全く同じバーガーを提供してしまうかのようです。この論文は、この奇妙で反復的な振る舞いが、その特定のモデルの学習におけるユニークな指紋であると示唆しています。もし、適切な質問をしたときに、これらの「同一のバーガー」を生成する容疑モデルを見つけたら、それは元の所有者の秘密のレシピを使用していることを突き止めたことになります。たとえ泥棒がそれを偽装しようとしてもです。

探偵の新しい道具：AIの「吃音」で捕らえる

研究チーム（復旦大学およびその他のチーム）は、この「吃音」あるいは「崩壊した生成」がバグではなく、モデルが学習する方法における一つの特徴であることを理解しました。モデルがある種の学習データから特定のパターンを記憶すると、それらの特定のプロンプトに対して創造性を失うことがあります。広範な可能性を探索する代わりに、モデルは単一の、極めて一貫した結果へと崩壊してしまうのです。チームは、この振る舞いがユニークな「声紋」のようなものであると考えました。二人の人間が同じ文章を話してもアクセントが異なるように、異なるデータで訓練された二つの異なるAIモデルは、同じプロンプトに対して異なる反応を示します。一つのモデルは多様で混沌とした画像セットを生成する一方で、「盗まれた」モデルは退屈なほど同一のセットを生成するかもしれません。

論文では、所有権を証明するための二段階の「いたちごっこ」を提案しています。まず、元の所有者（探偵）は、自身のモデルにおいてこの吃音を引き起こす「魔法の言葉」や「魔法の設定」を見つける必要があります。彼らは、容疑者に対してどの程度のアクセス権を持っているかに応じて、二つの方法を用います。

1. 「ホワイトボックス」アプローチ（内部を知る者）： もし探偵がモデルの内部構造（例えば、泥棒がコードを流出させた場合など）を見ることができるなら、コンピューターを使用して、モデルを吃音させる完璧な「エンベディング（プロンプトのデジタル版）」を数学的に探し出すことができます。最終的な画像が出るのを待つ必要はありません。モデルがプロセスの中でつまずいている様子を早期に察知できるため、膨大な計算資源を節約できます。
2. 「ブラックボックス」アプローチ（外部の者）： もし容疑となるモデルが、テキストを入力して画像を受け取るだけのウェブサイトやアプリの背後に隠されている場合、探偵は内部の歯車をいじることはできません。代わりに、元の学習データを掘り下げて、モデルを吃音させる既存の自然な文章を見つけ出します。彼らは、これらの「吃音プロンプト」が、モデルが非常に容易に学習した画像（学習中の「ロス（損失）」が低いもの）に対応していることを発見しました。これらの自然な文章をテストすることで、容疑モデルも同様に吃音を起こすかどうかを確認できます。

判決：それは模倣者か？

探偵は、これらの「吃音トリガー」のリストを作成した後、容疑モデルをテストします。容疑モデルに対し、これらのトリガーを使用して画像を生成するよう求め、ダイスを振る（ランダムシードを変更する）作業を何度も繰り返します。もし容疑モデルが模倣者であれば、オリジナルと同様に、ほぼ同一の画像のスタックを生成します。もしそれが全く無関係な別のモデルであれば、バラバラの画像の山を生成し、それらの特定のプロンプトに関する同じ「記憶」を共有していないことを示します。

研究者たちは、古い「UNet」設計や新しい「Transformer」設計に基づくいくつかの異なるタイプのAIモデルを用いて、このアイデアをテストしました。彼らは、この手法が非常にうまく機能することを発見しました。表面上は似ていても、別々に訓練された二つのモデルを区別することができます。さらに重要なことに、この指紋は壊れにくいものです。たとえ泥棒が以下の方法で足跡を隠そうとしても：

• ファインチューニング（モデルに新しい技術を教える）、
• プルーニング（モデルを小さくするために部分を切り取る）、
• 量子化（モデルが使用する数値を簡略化する）、
• あるいは結果を難読化しようとする試みであっても、

...この「吃音」の振る舞いはしばしば生き残ります。論文は、泥棒を捕まえるために何百万もの質問をする必要はなく、適度な数のテストで統計的に強い答えを得るのに十分であることを示しています。

これが意味すること（そして意味しないこと）

論文は、これがすべての著作権問題を即座に解決する魔法の杖ではないことを慎重に述べています。これは、盗難を防ぐためのものでも、すべてのモデルにこれらの指紋があることを示唆するものでもありません（ただし、テストしたモデルには存在することを発見しています）。また、「ホワイトボックス」手法は非常に効率的ですが、「ブラックボックス」手法は適切な自然なプロンプトを見つけることに依存しており、それはまるで「干し草の山の中から針を探す」ような作業になり得ますが、彼らの「低ロス」の学習サンプルを探す手法によって、そのプロセスははるかに高速になります。

決定的な点として、著者らは、所有権を証明するためにモデルの内部に秘密のウォーターマークを植え付ける必要があるという考えに反論しています。彼らは、モデル自身の自然な振る舞い――特定の入力に対してループに陥る傾向――が、所有権の証拠として十分であることを示しています。これは大きな意味を持ちます。なぜなら、モデルを保護するためにモデル自体を変更する必要がないからです。ただ、その振る舞いを観察するだけでよいのです。

結局のところ、この研究は、崩壊した生成が、AIアートモデルの所有者を検証するための、非侵襲的で信頼できる方法であることを示唆しています。それはモデル特有の癖を署名へと変えるのです。もしモデルが、創造的であるべき場面で同じ画像を何度も繰り返し生成するならば、たとえ泥棒が歌詞を変えようと必死に努力したとしても、それは元の所有者の歌を歌っているのかもしれません。