GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures

GoodDiffusion 기술 요약

문제 정의
본 논문은 디퓨전 브릿지 모델(DBM), 특히 이미지 투 이미지(I2I) 작업에 대한 선제적 저작권 보호(CP) 메커니즘을 개발하는 데 있어 매우 중요한 과제를 다룹니다. 기존의 방어 기제는 주로 생성이 발생한 후에야 무단 사용의 증거를 제공하는 사후 대응적(예: 워터마킹 및 핑거프린팅) 방식이거나, 출력 품질을 저하시키기는 하지만 무단 생성을 완전히 차단하지는 못하는 품질 저하 전용(예: PCDiff) 전략입니다. 저자들은 이러한 방법들이 무단 파생물이 탐지되기 전에 확산될 수 있는 실제 배포 환경에서는 불충분하다고 주장합니다. 핵심 문제는 공격자가 모델의 파라미터와 아키텍처에 완전히 접근할 수 있는 화이트박스 시나리오에서도, 권한이 있는 사용자에게는 고품질 출력을 유지하면서 권한이 없는 생성은 모델 수준에서 완전히 차단할 수 있는 메커니즘을 설계하는 것입니다.

방법론: GoodDiffusion
제안된 프레임워크인 GoodDiffusion은 백도어 메커니즘에서 영감을 얻었으나 그 목적을 반전시켰습니다. 즉, 트리거를 통해 잘못된 출력을 강제하는 대신, 유효한 시그니처가 존재할 때만 고품질 출력을 강제하도록 합니다.

1. 핵심 메커니즘 (선한 의도의 백도어):
   이 방법은 입력값에 따라 두 가지 뚜렷한 동작을 보이도록 DBM을 학습시킵니다.

   • 권한이 있는 궤적(Authorized Trajectory): 입력에 유효한 시그니처가 포함되어 있으면, 모델은 디퓨전 브릿지를 따라 고품질 타겟 이미지를 생성합니다.
   • 권한이 없는 궤적(Unauthorized Trajectory): 입력이 "클린(clean)" 상태(유효한 시그니처가 없는 상태)라면, 모델은 사전 정의된 경고 이미지(예: 경고 텍스트가 포함된 이미지)를 생성하도록 유도되어 무단 사용을 효과적으로 차단합니다.

2. 순진한 구현 (정적 시그니처):
   초기에 저자들은 입력에 주입되는 고정된 섭동 패턴(정적 시그니처 $k$)을 사용하는 순진한 접근 방식을 탐구합니다. 모델은 유효한 입력($x_1 + k$)과 경고 타겟으로 매핑되는 무권한 입력($x_1$)의 혼합 데이터로 학습됩니다.

   • 취약점: 본 논문은 정적 시그니처가 화이트박스 시나리오에서 근본적으로 취약함을 이론적으로 입증합니다(정리 4.1). 모델에 접근할 수 있는 공격자는 원래의 시그니처 효과를 모방하는 그래디언트 기반 최적화를 통해 효율적으로 대리 시그니처(surrogate signature, $N^*$)를 복구하여 보호 체계를 우회할 수 있습니다.

3. 제안된 솔루션 (학습 가능한 시그니처 네트워크 - LSN):
   정적 시그니처의 취약성을 해결하기 위해, GoodDiffusion은 **샘플별 시그니처(Sample-Specific Signatures)**를 도입합니다.

   • 아키텍처: 각 특정 입력 $x_1$에 조건화된 고유한 시그니처 $k(x_1)$를 생성하도록 학습된 학습 가능한 시그니처 네트워크(LSN), $g_\phi(\cdot)$를 사용합니다.
   • 주입: 권한이 있는 입력은 원래의 의미 정보와 동적 시그니처를 혼합한 $\tilde{x}_1 = \gamma \cdot x_1 + (1-\gamma) \cdot k(x_1)$로 형성됩니다.
   • 보안 로직: 픽셀 공간에서의 고정된 벡터 이동을 나타내는 정적 시그니처와 달리, 샘플별 시그니처는 비선형적으로 변형된 이미지 매니폴드를 생성합니다. 이 설계는 시그니처의 "보편성"을 깨뜨립니다. 즉, 한 입력에 대해 복구된 대리 시그니처는 다른 입력으로 전이될 수 없습니다. 결과적으로 공격자가 특정 샘플에 대한 시그니처를 복구하더라도 다른 입력에는 적용되지 않으므로, 보호 메커니즘의 우회를 방지합니다.

주요 기여

• 선제적인 모델 수준 제어: GoodDiffusion은 저작권 보호를 사후 출력 분석에서 내재화된 모델 수준의 예방으로 전환하는 첫걸음으로 제시됩니다. 이는 "티켓 없이는 탑승 불가(No Ticket, No Ride)" 정책을 강제하여, 권한 없는 사용자에게는 경고 이미지만 제공합니다.
• 정적 시그니처에 대한 이론적 통찰: 본 논문은 순진한 정적 시그니처 설계가 화이트박스 환경에서 그래디언트 기반 대리 복구에 취약하다는 이론적 증명을 제공하며, 동적이고 입력 의존적인 설계의 필요성을 강조합니다.
• 학습 가능한 시그니처 네트워크 (LSN): 입력 의존적 시그니처를 생성하여 대리 시그니처의 전이성을 효과적으로 완화하고 화이트박스 공격자에 대한 보안을 강화하는 LSN을 도입했습니다.
• 포괄적인 평가: 다양한 DBM(DDBM, I2SB, DBIM)을 사용하여 세 가지 I2I 작업(초해상도, 인페인팅, 디블러링)에 대해 CelebA 및 ImageNet 데이터셋을 대상으로 광범위한 실험을 수행했습니다.

실험 결과

• 보호 효과: GoodDiffusion은 무권한 입력에 대해 거의 **0%**에 가까운 남용률(Abuse Rate, AR)(예: CelebA에서 < 0.06%)을 달성했습니다. 이는 유효한 시그니처 없이는 모델이 고품질 타겟 이미지를 생성하는 것을 성공적으로 거부함을 의미합니다. 반면, 정적 설계를 사용하여 복구된 대리 시그니처를 사용하려는 공격자의 경우 AR이 약 98%까지 치솟아 정적 시그니처의 취약성을 확인했습니다.
• 생성 품질: 권한이 있는 사용자(유효한 시그니처 보유)의 경우, 모델은 만족스러운 생성 품질을 유지합니다. 보호되지 않은 베이스라인과 비교했을 때 약간의 성능 저하(FID, PSNR, SSIM으로 측정)가 있으나, 결과는 여전히 경쟁력 있는 수준입니다. 예를 들어, DDBM-VP를 사용한 CelebA의 초해상도 작업에서 SSIM은 베이스라인보다 약간 높았습니다.
• 오류율: 권한 있는 요청이 잘못 차단되는 비율인 **오류율(Error Rate, ER)**은 매우 낮게(예: 0.06% ~ 0.25%) 유지되어, 정당한 사용자에 대한 높은 신뢰성을 보여줍니다.
• 보안 검증: 화이트박스 공격을 시뮬레이션한 실험 결과, 정적 시그니처는 복구된 대리 시그니처에 의해 쉽게 우회되는 반면, 샘플별 시그니처 설계는 공격자가 대리 시그니처를 최적화하더라도 낮은 품질(높은 FID, 낮은 PSNR)을 보여, 보편적인 대리 시그니처가 존재하지 않음을 확인했습니다.

의의 및 주장
본 논문은 GoodDiffusion이 기존의 소프트웨어 수준 보호(예: 인증)를 보완하는 실용적이고 선제적인 모델 탈취 방지 솔루션이라고 주장합니다. 모델 배포와 시그니처 서비스(소유자가 관리)를 분리함으로써, 모델이 도난당하고 공격자가 완전한 화이트박스 접근 권한을 갖더라도 동적 시그니처 없이는 고품질 생성을 이용할 수 없도록 보장합니다. 저자들은 이 연구가 디퓨전 모델을 수동적 탐지를 넘어 능동적 예방으로 나아가게 함으로써, 가치 있는 지적 재산으로서의 디퓨전 모델을 보호하는 중요한 진전이라고 위치 지었습니다. 관련 코드는 추가 연구를 촉진하기 위해 공개되었습니다.