💻 computer science

A Watermark for Vision-Language-Action and World Action Models

Dit artikel stelt een methode voor van "keyed latent-provenance verificatie" die ondetecteerbare, statistisch identieke watermerken in Vision-Language-Action en World Action modellen inbedt via Gaussische ruis-seeds, waardoor eigenaren in staat zijn om op betrouwbare wijze modeleigendom te verifiëren en diefstal te detecteren, zelfs na adversariële aanvallen of gewichtsmodificaties.

Oorspronkelijke auteurs: Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

Gepubliceerd 2026-06-23

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Yule Liu, Shuai Liu, Jiaheng Wei, Xinlei He

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een uiterst geavanceerde, op maat gemaakte robotchef bezit. Je hebt jarenlang tijd besteed aan het trainen van de robot met je geheime familierecepten en enorme rekenkracht. Nu wil je de "hersenen" van de robot (de software die de robot vertelt hoe hij moet bewegen) als een dienst aan andere restaurants verkopen. Je wilt niet de werkelijke code (de gewichten) aan hen geven, omdat ze het zouden kunnen stelen, kopiëren of aan je concurrenten kunnen verkopen. In plaats daarvan laat je ze de hersenen gebruiken via een "black box"-interface: zij sturen een commando zoals "maak een broodje" en de robot stuurt een lijst met motorbewegingen terug.

Het probleem? Hoe bewijs je later dat een specifiek restaurant jouw robotbrein gebruikt en niet een goedkope namaak die ze zelf hebben gebouwd?

Dit artikel introduceert een nieuwe manier om deze robotbreinen te watermerken. Denk aan een verborgen, onzichtbare inkt die alleen jij kunt zien, maar die de manier waarop de robot kookt niet verandert.

Het probleem met oude methoden

Eerdere pogingen om robots te watermerken hadden twee belangrijke gebreken:

De "Backdoor"-methode: Dit was alsof je een geheime trigger in de code verborg (bijv. als de robot een specifiek geluid hoort, doet hij een vreemde dans). Maar als je veel verschillende klanten hebt, heb je voor elke klant een andere geheime dans nodig, wat rommelig is. Ook als de klant de code later aanpast, kan de dans mogelijk niet meer werken.
De "Output Noise"-methode: Dit was alsof je een specifieke brom of trilling toevoegde aan de bewegingen van de robot die alleen jij kon horen. Maar dit is als het ophangen van een felrood bord met "Ik ben gestolen" op de robot. Een slimme dief zou een filter kunnen gebruiken om die specifieate brom te verwijderen zonder te stoppen met het maken van broodjes.

De nieuwe oplossing: De "Secret Seed"

De auteurs stellen een methode voor genaamd Keyed Latent-Provenance Verification. Hier is de analogie:

Stel je voor dat de hersenen van de robot een chef zijn die moet beslissen wat hij nu gaat doen. Voordat de chef een beslissing neemt, gooit hij een muntje (of trekt hij een willekeurig getal) om een beetje creativiteit of "ruis" toe te voegen aan het proces.

De truc: Jij (de eigenaar) gooit niet zomaar een normaal muntje. Je gooit een speciaal, gewogen muntje dat voor iedereen precies op een normaal muntje lijkt, maar dat een klein, verborgen vooroordeel heeft dat alleen jij kent.
Het resultaat: De robot maakt nog steeds perfecte broodjes. De bewegingen zien er 100% normaal uit. Maar omdat de "muntworp" iets anders was, draagt de gehele sequentie van bewegingen een verborgen vingerafdruk, net als een uniek patroon in het deeg.

Hoe het werkt (De twee stadia)

1. De Injectie (Het zaadje planten)
Wanneer je de robot installeert, vervang je de normale willekeurige getallengenerator door jouw "keyed" versie.

Analogie: Stel je voor dat je brood bakt. Je gebruikt een speciale bloemmix die voor de klant exact hetzelfde lijkt en smaakt als gewone bloem. Maar jij weet dat deze specifieke mix een microscopisch kleine, unieke kristalstructuur achterlaat in de kruim.
Waarom het veilig is: Omdat de output van de robot (het brood) er nog steeds normaal uitziet en normaal smaakt, kan de dief de watermerk niet simpelweg "eruit filteren". Als de dief probeert de bewegingen glad te strijken om de "kristal" te verwijderen, kan hij de capaciteit om broodjes te maken verpesten.

2. De Verificatie (Het zaadje vinden)
Later vermoed je dat een restaurant jouw robot gebruikt. Je kunt niet in hun computer kijken, maar je kunt de robot zien bewegen.

De uitdaging: Je ziet alleen de uiteindelijke bewegingen (het brood), niet de interne willekeurige getallen (de bloem).
De oplossing: Je gebruikt een krachtig wiskundig hulpmiddel (genaamd MAP Optimization) om terug te werken. Je vraagt: "Als ik mijn robot met deze specifieke geheime sleutel laat draaien, zou hij dan exact de bewegingen produceren die ik net zag?"
De test: Je probeert jouw geheime sleutel tegen de geobserveerde bewegingen te testen. Als de wiskunde zegt: "Ja, deze sleutel verklaart deze bewegingen perfect," dan heb je een bewijs van eigendom. Als je een willekeurige sleutel probeert, zegt de wiskunde: "Nee, dit past niet."

Wat de auteurs vonden

De auteurs hebben hun methode getest op twee verschillende soorten robotbreinen (één die naar afbeeldingen kijkt, één die de toekomst voorspelt) en twee verschillende robotlichamen (één arm, twee armen).

Het werkt perfect: Ze konden hun eigen "geheime bloem" in de bewegingen van de robot bijna 100% van de tijd detecteren, zelfs wanneer de robot complexe taken uitvoerde.
Het breekt de robot niet: Het toevoegen van het watermerk zorgde er niet voor dat de robot het broodje liet vallen of langzamer bewoog.
Het is moeilijk te verwijderen:
- Als de dief probeert de bewegingen van de robot glad te strijken (zoals het wegfilteren van een brom), blijft het watermerk behouden.
- Als de dief probeert de code van de robot aan te passen (fine-tuning), blijft het watermerk behouden.
- De enige manier om het te verslaan: De dief moet de robotbrein volledig weggooien, een nieuwe robot vanaf nul trainen met jouw data (een proces genaamd "distillatie"), en hopen dat de nieuwe robot per ongeluk hetzelfde verborgen patroon leert. Het artikel laat zien dat dit erg moeilijk is; de nieuwe robot vergeet het verborgen patroon meestal, omdat het geen zichtbaar patroon is, maar een statistisch patroon.

De essentie

Dit artikel geeft roboteigenaren een "digitale DNA-test". Ze kunnen bewijzen dat een robot de hunne is door simpelweg te kijken naar hoe de robot beweegt, zonder de code binnenin te hoeven zien. Het is alsof je kunt zien of een brood van jou is, alleen maar door naar de korst te kijken, zelfs als de bakker geprobeerd heeft te verbergen dat hij jouw speciale bloem heeft gebruikt.

Technische Samenvatting: Een Watermerk voor Vision-Language-Action en World Action Modellen

Probleemstelling

Vision-Language-Action (VLA) modellen en World-Action Models (WAMs) worden steeds vaker ingezet als black-box diensten waarbij de modelgewichten privé blijven, maar het beleid (policy) wordt uitgevoerd via een API of een on-site pakket. Deze modellen vormen aanzienlijk intellectueel eigendom (IP) vanwege de propriëtaire data en de computationele middelen die vereist zijn voor hun training. Een kritieke uitdaging ontstaat wanneer een partner of tegenstander probeert een beschermd beleid zonder toestemming van de eigenaar te herverkopen of opnieuw te implementeren.

Bestaande watermerkoplossingen voor robotbeleid kampen met twee primaire beperkingen:

Backdoor-gebaseerde watermerken: Deze vereisen het aanpassen van de modelgewichten om specifieke acties te triggeren. Ze zijn moeilijk uit te breiden naar scenario's met meerdere gebruikers en kunnen worden verzwakt door daaropvolgende fine-tuning of behavior cloning.
Output-perturbatie watermerken: Deze embeds signalen in de exploratie-ruis van de actiestroom. Omdat het signaal echter geconcentreerd is in een smalle frequentieband van de output, is het gemakkelijk te detecteren door tegenstanders die spectrale analyse en smalle filters kunnen toepassen om het watermerk te verwijderen met minimale impact op de taakprestaties.

Het kernproblein is het ontwerpen van een watermerkmechanisme dat eigendom beschermt in een black-box setting, multi-key identificatie ondersteunt, robuust blijft tegen output-zijde verwijderingsaanvallen, en de taakprestaties niet verslechtert.

Methodologie: Keyed Latent-Provenance Verification

De auteurs stellen Keyed Latent-Provenance Verification voor, een tweestapsmethode die eigendomsbewijs inbedt in de latente ruis-seed in plaats van in de uiteindelijke actie-output.

1. Fingerprint Injectie

De injectie vindt plaats voordat het model een actie-chunk genereert.

Mechanisme: De modeleigenaar vervangt de standaard Gaussische ruis-seed ( $z_c$ ) die door de sampler wordt getrokken door een "gevingerdkte" seed ( $z^{fp}_c$ ).
Keyed Perturbatie: De gefingerdrukte seed is een lineaire combinatie van de originele ruis en een keyed referentievector ( $r_c$ ):
$z^{fp}_c = \sqrt{1-\beta^2} z_c + \beta r_c$
waarbij $\beta$ de injectiekracht regelt. De referentievector $r_c$ wordt gegenereerd met behulp van een pseudorandom generator die is gezaaid met een geheime sleutel $k^*$ , een nonce $\nu_e$ , en de chunk-index.
Statistische Invariantie: Cruciaal is dat de resulterende $z^{fp}_c$ exact dezelfde Gaussische distributie ( $N(0, I)$ ) behoudt als de originele ruis. Dit zorgt ervoor dat de actiestroom geen expliciet, additief signaal vertoont dat een tegenstander gemakkelijk kan wegfilteren. De correlatie tussen de seed en de sleutel is verborgen binnen het niet-lineaire generatieproces van het model.
Selectieve Injectie: Niet elke actie-chunk wordt gemarkeerd. Een keyed selector bepaalt welke chunks worden geperturbeerd om de verstoring van de taak te beperken en te voorkomen dat tegenstanders specifieke "gemerkte" chunks kunnen identificeren voor gerichte verwijdering.

2. Fingerprint Verificatie

Verificatie wordt uitgevoerd door een geautoriseerde eigenaar die toegang heeft tot de uitgevoerde acties van de verdachte robot (die gedeeltelijk of post-processed kunnen zijn).

MAP Latent Recovery: Omdat de verifieerder de interne seed niet kan zien, moet deze de seed reconstrueren uit de geobserveerde acties ( $y_c$ ). De auteurs formuleren dit als een Maximum A Posteriori (MAP) optimalisatieprobleem. De verifieerder zoekt naar een latente seed $\hat{z}$ die de fout minimaliseert tussen de voorspelde actie (gegenereerd vanuit $\hat{z}$ ) en de geobserveerde actie, terwijl afwijkingen van de Gaussische prior worden bestraft. Deze aanpak vermijdt de noodzaak om niet-geobserveerde actiekanalen te raden, een falingspunt voor de reverse-ODE methoden die gebruikt worden bij image watermarking.
Key-Conditioned Scoring: De gereconstrueerde seed wordt vergeleken met kandidaat keyed referenties met behulp van een matched filter (inwendig product).
Kalibratie en Aggregatie: Om variabiliteit over taken en episodes heen aan te pakken, scoort de verifieerder de verdachte tegen een bank van "decoy" sleutels om de scores te normaliseren (Z-score). Bewijs uit meerdere rollouts (groep-aggregatie) wordt opgeteld om een definitieve binaire beslissing over eigendom te nemen of om de specifieke sleutel onder meerdere kandidaten te identificeren.

Belangrijkste Bijdragen

Keyed Latent-Provenance Verification: Een nieuw framework dat de implementaties van VLA en WAM watermerkt door de latente ruis-seed te modificeren, de Gaussische ruiswet te behouden en zichtbare signalen aan de output-zijde te vermijden.
Black-Box Verifier Design: Een verificatiesysteem dat in staat is om latente seeds te reconstrueren uit gedeeltelijke, post-geprocesste actiecommando's met behulp van MAP-optimalisatie, wat zowel binaire eigendomsverificatie als multi-key identificatie ondersteunt.
Uitgebreide Evaluatie: Uitgebreide experimenten over twee policy-families ( $\pi0.5$ en LingBot-VA) en twee robot-suites (LIBERO-10 en RoboTwin), waarbij de robuustheid tegen output-zijde aanvallen (clipping, smoothing, jitter, delay), owner-side varianten (LoRA, pruning, quantization) en adaptieve fine-tuning aanvallen wordt geëvalueerd.

Experimentele Resultaten

De methode werd geëvalueerd op vier model-robot combinaties. Belangrijkste bevindingen zijn:

Taakprestaties: De injectie van het watermerk resulteerde in verwaarloosbare veranderingen in de succesratio's van taken (meestal binnen enkele procentpunten) en episode-lengtes.
Detectienauwkeurigheid: In de afwezigheid van aanvallen bereikte de methode perfecte detectie (TPR 1.00 bij een 1% False Positive Rate) over alle combinaties bij aggregatie van 16 rollouts.
Robuustheid tegen Output Aanvallen: Het watermerk bleef detecteerbaar onder diverse output-zijde verwijderingsaanvallen. Hoewel agressieve smoothing of jitter op de $\pi0.5$ /LIBERO-10 combinatie de detectiecijfers verminderde, behield de methode over het algemeen een hoge robuustheid. De auteurs merken op dat aanvallen die sterk genoeg zijn om het watermerk te verwijderen, vaak ook de taakprestaties aanzienlijk verslechteren.
Robuustheid tegen Owner Variants: De fingerprint overleefde LoRA fine-tuning, pruning en quantisatie. In gevallen waarin compressie de model backbone beschadigde (wat de taaksucces verminderde), was de fingerprint nog steeds herstelbaar na aggregatie.
Identificatie: Het systeem identificeerde succesvol de specifieke sleutel die aan een verdachte policy was toegewezen onder 33 kandidaten, waarbij een hoge rank-1 nauwkeurigheid werd bereikt na aggregatie.
Security Analyse:
- False-Key Risico: De waarschijnlijkheid dat een willekeurige of onafhankelijke sleutel de drempelwaarde passeert is extreem laag (empirisch geschat rond $10^{-3}$ tot $10^{-9}$ afhankelijk van de drempelwaarde).
- Adaptieve Verwijdering: White-box aanvallen waarbij een tegenstander het beleid fine-tunt om de watermerkscore te minimaliseren, faalden om de fingerprint te verwijderen zonder de taakprestaties ernstig te verslechteren.
- Distillatie: Behavior cloning (het trainen van een student op de outputs van de teacher) verwijderde het watermerk succesvol, aangezien de student de actieverdeling leert maar niet de specifieke ruis-wet invariantie van de sampler van de teacher. De auteurs kaderen dit als het punt waar de kosten van evasie (het trainen van een nieuw model) prohibitief worden.

Betekenis en Claims

Het artikel claimt dat keyed latent-provenance verification een praktische en robuuste mechanisme biedt voor het beschermen van private generatieve robot policies. Door het watermerk in de latente seed in te bedden in plaats van in de output, vermijdt de methode de "goedkope verwijdering" kwetsbaarheid van frequentie-gebaseerde watermerken.

De auteurs benadrukken dat hun garanties empirische operationele punten zijn in plaats van cryptografische bewijzen. De methode is ontworig voor geautoriseerde, post-hoc audits waarbij de eigenaar toegang heeft tot de verdachte dienst. De betekenis ligt in het mogelijk maken voor eigenaren om ongeautoriseerde herimplementaties van hun beleid te detecteren, zelfs wanneer de gewichten verborgen zijn en de output onderhevig is aan standaard deployment post-processing. Het werk benadrukt een afweging: hoewel het watermerk robuust is tegen output-manipulatie en model-editing, is het kwetsbaar voor distillatie, wat suggereert dat de kosten van evasie verschuiven van eenvoudige filtering naar het dure proces van het hertrainen van een nieuw beleid.