🤖 AI

PoLO: Proof-of-Learning and Proof-of-Ownership at Once with Chained Watermarking

PoLO is een nieuw systeem dat eigendom en leerproces tegelijkertijd bewijst via gekoppelde watermerken, waarbij het een hoge nauwkeurigheid van 99% combineert met verbeterde privacy en aanzienlijk lagere verificatiekosten.

Oorspronkelijke auteurs: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Gepubliceerd 2026-04-27

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Haiyu Deng, Yanna Jiang, Guangsheng Yu, Qin Wang, Xu Wang, Baihe Ma, Wei Ni, Ren Ping Liu

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een meesterkok bent die een geheim, peperduur recept heeft ontwikkeld voor een nieuwe soort chocolade. Je wilt dit recept verkopen aan grote fabrieken, maar er zijn twee grote problemen:

De "Nep-Kok" (Proof-of-Learning): Iemand kan beweren dat hij het recept heeft uitgevonden door duizenden uren te experimenteren, terwijl hij in werkelijkheid gewoon een kant-en-klaar product heeft gekocht en zegt: "Kijk, ik heb dit zelf gemaakt!" Hoe bewijs je dat iemand echt de tijd en moeite heeft gestoken in het leerproces?
De "Dief" (Proof-of-Ownership): Iemand kan jouw chocolade stelen, het labeltje eraf halen en er zijn eigen naam op plakken. Hoe bewijs je dat de chocolade van jou is, zelfs als de verpakking is veranderd?

In de wereld van Kunstmatige Intelligentie (AI) hebben wetenschappers precies dit probleem. Ze maken enorme "modellen" (de chocolade) die veel geld waard zijn. Maar hoe weten we of een bedrijf het model echt zelf getraind heeft (moeite gedaan) en wie de rechtmatige eigenaar is?

De oplossing: PoLO (De "Digitale DNA-Ketting")

De onderzoekers van deze paper hebben PoLO bedacht. In plaats van pas aan het einde een sticker op de doos te plakken, doen ze iets veel slimmers.

Stel je voor dat de kok tijdens het maken van de chocolade, bij elke stap die hij zet, een piepklein, onzichtbaar ingrediënt toevoegt. Maar hier komt de truc: het ingrediënt van stap 2 is afhankelijk van wat er in stap 1 is gebeurd.

Dit noemen we een "Chained Watermark" (een gekoppelde watermerk-ketting).

Hoe werkt het? (De metafoor van de bouwstenen)

Denk aan het bouwen van een enorme toren van LEGO.

Stap 1: Je bouwt de basis en spuit er een onzichtbaar, uniek parfum op.
Stap 2: Voordat je de volgende laag bouwt, kijk je naar de basis en gebruikt je dat parfum om een nieuw, ander parfum te maken voor de tweede laag.
Stap 3: De derde laag gebruikt weer een parfum dat is afgeleid van de tweede laag.

Als je aan het einde van de dag de toren controleert, kijkt de inspecteur niet alleen of de toren stevig staat (werkt de AI goed?), maar hij ruikt ook aan de lagen. Als de geur van laag 3 niet perfect past bij de geur van laag 2, dan weet de inspecteur direct: "Ho stop! Hier is gefraudeerd!"

Waarom is dit zo geniaal?

Het is onmogelijk te vervalsen (De Economische Barrière):
Als een dief de toren wil stelen en zijn eigen naam erop wil plakken, kan hij niet zomaar een sticker op de bovenkant plakken. Hij moet de hele toren opnieuw bouwen, laag voor laag, met de juiste geurcombinaties. Dat kost zoveel tijd en energie dat het voor de dief goedkoper is om gewoon een eerlijk model te trainen dan om te proberen te liegen. Het is "economisch onlogisch" om te stelen.
Het is super snel en privé:
Oude methodes werkten als een inspecteur die de hele keuken moest controleren en alle ingrediënten (de data) moest proeven om te zien of je niet hebt gelogen. Dat is traag en gevaarlijk voor je geheime recepten. PoLO werkt als een inspecteur die alleen even aan de buitenkant van de lagen ruikt. Hij ziet direct of het klopt, zonder dat hij je geheime ingrediënten hoeft te zien.
Het is een dubbele check:
Het bewijst tegelijkertijd: "Ja, deze kok heeft echt uren in de keuken gestaan" (Proof-of-Learning) én "En dit is zijn unieke handtekening" (Proof-of-Ownership).

Samenvatting in gewone mensentaal

PoLO is een systeem dat AI-modellen voorziet van een onzichtbare, digitale vingerafdruk die door het hele trainingsproces heen is geweven. Omdat elke vingerafdruk vastzit aan de vorige, kun je niet zomaar een stukje van het proces aanpassen zonder de hele ketting te verbreken. Het maakt het voor fraudeurs te duur om te liegen en voor kopers heel makkelijk om te vertrouwen.

Technische Samenvatting: PoLO

1. Probleemstelling

In de groeiende economie van machine learning (ML) modellen is het essentieel om twee zaken te kunnen verifiëren:

Proof-of-Learning (PoL): Is de bewering dat er daadwerkelijk rekenkracht en trainingstijd is geïnvesteerd waar? (Verificatie van inspanning).
Proof-of-Ownership (PoO): Wie is de rechtmatige eigenaar van het model? (Verificatie van eigendom/copyright).

Huidige methoden behandelen deze twee zaken vaak apart. Dit leidt tot drie fundamentele problemen:

Kwetsbaarheid: Bestaande PoL-methoden (zoals gradient-based trajectory tracing) zijn gevoelig voor vervalsing door synthetische trainingspaden te creëren.
Hoge kosten: Verificatie vereist vaak het opnieuw trainen of herhalen van het trainingsproces, wat extreem duur is bij grote modellen.
Privacyrisico's: Om het trainingsproces te verifiëren, moeten verifieerders vaak toegang krijgen tot de trainingsdata of tussenliggende gradiënten, wat de privacy van de data schendt.

2. Methodologie: Het PoLO-raamwerk

De auteurs stellen PoLO voor, een verenigd raamwerk dat PoL en PoO gelijktijdig realiseert door middel van "chained watermarking" (geketende watermerken).

Kernconcepten:

Training Shards: Het trainingsproces wordt opgedeeld in fijne eenheden genaamd shards. Een shard is voltooid wanneer een specifiek watermerk succesvol in de modelgewichten is ingebed.
Cryptografische Ketting: In plaats van alleen een watermerk aan het eind toe te voegen, genereert PoLO voor elke nieuwe shard een uniek watermerk ( $\Lambda_x$ ). Dit watermerk wordt deterministisch afgeleid via een cryptografische hashfunctie ( $H$ ) van de gewichten van de vorige shard ( $W_{x-1}$ ), een geheime nonce en de identiteit van de eigenaar.
Dubbele Embedding: Tijdens de training van een shard wordt een regularisatieterm toegevoegd aan de verliesfunctie om het watermerk in te bedden, gevolgd door een kleine perturbatie (verstoring) om de robuustheid te maximaliseren.
Obfuscatie voor Privacy: Na elke shard wordt er Gaussische ruis toegevoegd aan de niet-watermerkgebieden van de gewichten. Dit beschermt de trainingsdata tegen gradient leakage (informatielekken).

Verificatieproces:
De verifieerder hoeft niet het hele trainingsproces te herhalen. In plaats daarvan controleert de verifieerder de keten van watermerken in de opgeslagen checkpoints. Omdat elk watermerk afhankelijk is van de hash van het vorige, kan een aanvaller niet één deel van de keten vervalsen zonder de gehele voorgaande keten opnieuw te moeten berekenen.

3. Belangrijkste Bijdragen

Unificatie: PoLO integreert PoL en PoO in één enkel mechanisme. Het watermerk dient zowel als bewijs van eigendom als bewijs van het trainingsverloop.
Economische Onweerlegbaarheid: Het ontwerp dwingt een economisch dilemma af voor aanvallers. Om een vals eigendom te claimen, moet een aanvaller het bestaande watermerk verwijderen én een nieuw, geldig watermerk inbedden. De computationele kosten hiervan zijn gelijk aan of hoger dan het eerlijk trainen van een nieuw model, wat vervalsing irrationeel maakt.
Privacy-by-Design: Door gebruik te maken van hash-gebaseerde ketens in plaats van gradiënt-tracking, hoeven trainingsdata nooit gedeeld te worden met de verifieerder.

4. Resultaten

De auteurs testten PoLO op diverse architecturen (ResNet, VGG, BERT) en datasets (CIFAR, TinyImageNet, AG News). De resultaten zijn als volgt:

Nauwkeurigheid: Een detectie-nauwkeurigheid van 99% voor eigendomsverificatie.
Efficiëntie: De verificatiekosten zijn drastisch verlaagd tot slechts 1,5% – 10% van de traditionele methoden.
Robuustheid tegen aanvallen:
- Overhaul Fine-tuning Attack (OFA): Aanvallers die proberen het model te her-trainen om hun eigen watermerk te plaatsen, verbruiken 1,1x tot 4x meer middelen dan een eerlijke gebruiker.
- Weight Manipulation Attack (WMA): Directe manipulatie van gewichten mislukt meestal omdat het de taaknauwkeurigheid van het model te veel schaadt, waardoor het model door de verifieerder wordt afgewezen.
Behoud van Prestaties: De primaire taaknauwkeurigheid van het model blijft nagenoeg gelijk aan de baseline.

5. Betekenis en Conclusie

PoLO biedt een praktisch en veilig fundament voor Enforceable Model Marketplaces (EMMs). Het lost het probleem op waarbij de trainer en de eigenaar verschillende entiteiten kunnen zijn (bijv. bij uitbestede training). Door de beveiliging te verschuiven van het beschermen van een geïsoleerd watermerk naar het beveiligen van het volledige trainingspad, creëert PoLO een systeem dat zowel economisch als cryptografisch robuust is voor de commerciële uitwisseling van AI-modellen.