Proof-of-Authorship for Diffusion-based AI Generated Content

Titel: Bewijs van Auteurschap voor door Diffusie gegenereerde AI-inhoud (POA)

Auteurs: De Zhang Lee, Han Fang, en Ee-Chien Chang (National University of Singapore)

1. Het Probleem

De snelle opkomst van AI-generatie-inhoud (AIGC), met name via Latent Diffusion Models (LDM) zoals Stable Diffusion, DALL-E en Midjourney, heeft nieuwe uitdagingen geschapen voor intellectuele eigendomsrechten en authenticatie.

• Huidige beperkingen: Bestaande methoden voor eigendomsbewijs, zoals tijdstempeling (time-stamping) en digitale watermerken, hebben aanzienlijke tekortkomingen.
  • Tijdstempeling: Iedereen kan een object tijdstempelen om eigendom te claimen, zelfs als ze niet de maker zijn.
  • Watermerken: Deze vereisen vaak geheime sleutels en zijn kwetsbaar voor "ambiguïteitsaanvallen" (waarbij een tegenstander een ander geheim watermerk kan vervalsen dat ook in het object past) of verwijderingsaanvallen.
• Het doel: Er is behoefte aan een mechanisme dat bewijs van auteurschap (Proof-of-Authorship) biedt, waarbij alleen de daadwerkelijke maker een object legitiem kan claimen, zonder dat er geheime informatie nodig is die bewaard moet worden.

2. Methodologie: Het Proof-of-Authorship (POA) Kader

De auteurs stellen een lichtgewicht kader voor dat gebruikmaakt van de specifieke eigenschappen van LDM's. In tegenstelling tot traditionele creatie (zoals een camera), biedt de LDM-generatie de auteur volledige controle over de random seed die wordt gebruikt om het startpunt in de latente ruimte te bepalen.

Kernprincipes:

1. Cryptografische Binding: De random seed wordt niet willekeurig gekozen, maar cryptografisch gebonden aan de identiteit van de auteur en de generatie-metadata (prompt, modelversie, etc.).
   • Dit gebeurt via een Cryptografisch Veilige Pseudorandom Functie (PRF), zoals HMAC-SHA3-256.
   • Formule: $s = G(f_i(\langle m, e, r \rangle))$, waarbij $f_i$ de PRF is voor auteur $i$, $m$ de meta-parameters, $e$ de embedding van de prompt, en $r$ een willekeurige bitreeks.
2. Geen Geheime Sleutels: Het systeem vereist dat auteurs geen geheime sleutels bewaren. Alle informatie (identiteit, parameters) kan publiek worden gemaakt.
3. Probabilistische Adjudicator (PA): Een entiteit die statistische tests uitvoert om de kans te berekenen dat een claim vals is.
   • De PA genereert een groot aantal "willekeurige" objecten met dezelfde prompt en model, maar met willekeurige seeds.
   • Het meet de gelijkenis tussen het betwiste object en deze willekeurige objecten.
   • Als de gelijkenis met het betwiste object extreem hoog is (en de kans op een toevallige match verwaarloosbaar klein), wordt de auteurschap bewezen.

Statistische Aannames:

• A1 (PRF Hardheid): Het is computationeel onmogelijk voor een aanvaller om de seed te achterhalen of te vervalsen zonder de PRF te breken.
• A2 (Diffusie-eigenschap): De gelijkenis tussen objecten gegenereerd met willekeurige seeds volgt een sub-exponentiële verdeling. Dit stelt de PA in staat om betrouwbare statistische conclusies te trekken met een klein aantal steekproeven, in plaats van miljarden willekeurige pogingen nodig te hebben.

3. Belangrijkste Bijdragen

1. Nieuw Kader: Een Proof-of-Authorship-framework dat geen geheimen vereist en een sterker bewijs biedt dan traditionele eigendomsclaims (Proof-of-Ownership).
2. Veiligheidsbewijs:
   • Geen probabilistisch-polynoomtijd (PPT) aanvaller kan beter presteren dan willekeurig gokken bij het vervalsen van auteurschap (onder de PRF-aanname).
   • Het vereiste aantal steekproeven voor statistische validatie is polynomiëel (klein) in plaats van exponentieel, dankzij aanname A2.
   • De voorgestelde test is statistisch optimaal (uniform meest krachtige test).
3. Empirische Validatie: Toepassing op Stable Diffusion 2.1 met succesvolle resultaten.

4. Resultaten en Evaluatie

De auteurs hebben hun methode getest met Stable Diffusion 2.1 (SD2.1) en de volgende resultaten behaald:

• Nauwkeurigheid: Voor een doelwitkans van succes voor een willekeurige vervalser van $2^{-50}$, bereikt de methode 100% nauwkeurigheid in het bepalen of een object bij een auteur hoort.
• Robuustheid: Het systeem is bestand tegen veelvoorkomende vervormingen:
  • Ruis: Toegevoegde Gaussische ruis.
  • Compressie: JPEG-compressie (zelfs bij lage kwaliteit, bijv. quality 10).
  • Geometrische transformaties: Rotatie, schaling, translatie en afschuiving (affiene transformaties).
• Statistische Distributie: Experimenten bevestigden dat de gelijkenis-scores van willekeurig gegenereerde objecten inderdaad een sub-exponentiële verdeling volgen, wat de theoretische aanname A2 valideert.
• Foutpercentages: Er werden geen vals-positieven waargenomen (willekeurige afbeeldingen werden niet ten onrechte als auteurschap geclaimd), zelfs niet onder zware vervorming.

5. Betekenis en Conclusie

Dit onderzoek biedt een fundamentele verschuiving in hoe auteurschap voor AI-gegenereerde inhoud kan worden bewezen:

• Van Geheime naar Publieke Verificatie: In tegenstelling tot watermerken die gebaseerd zijn op geheime sleutels (die verloren kunnen gaan of moeten worden verborgen), is dit systeem volledig transparant en publiek verifieerbaar.
• Resistentie tegen Aanvallen: Omdat de seed cryptografisch is gebonden aan de identiteit en de PRF, is het voor een aanvaller onmogelijk om een ander set parameters te vinden dat tot hetzelfde beeld leidt (zolang de PRF veilig is). Zelfs als een aanvaller het beeld kan "inverteren" naar de latente ruimte, kan hij de oorspronkelijke seed niet reconstrueren zonder de geheime PRF-sleutel van de auteur te kennen.
• Geen Artifacts: In tegenstelling tot sommige watermerktechnieken die beeldkwaliteit of diversiteit kunnen aantasten, introduceert dit framework geen zichtbare of statistische artefacten in de gegenereerde afbeeldingen.

Conclusie: Het voorgestelde POA-framework biedt een robuuste, veilige en efficiënte oplossing om auteurschap te claimen voor LDM-gegenereerde content, zonder de nadelen van traditionele watermerken of tijdstempeling, en is klaar voor praktische toepassing in de huidige AI-ecosystemen.