Stel je een wereld voor waarin kunstenaars niet alleen met penselen schilderen, maar met magische woorden. Je typt een zin zoals "een cyberpunk kat die pizza eet," en een computer tovert ogenblikkelijk een gloednieuw, high-definition plaatje tevoorschijn. Dit is het domein van Text-to-Image Diffusion Models, de digitale tovenaars achter de laatste AI-kunstgekte. Deze modellen werken door te beginnen met een scherm vol statische ruis (zoals een oude tv zonder signaal) en dit stap voor stap, stapje voor stapje, op te schonen totdat er een helder beeld verschijnt. Omdat deze modellen zo krachtig zijn, verkopen bedrijven ze als diensten of delen ze het "recept" (het modelbestand) zodat anderen het kunnen gebruiken. Maar dit creëert een lastig probleem: als iemand het geheime recept van een bedrijf steelt of het een klein beetje aanpast en het als het zijne verkoopt, hoe bewijst de oorspronkelijke eigenaar dan dat het van hem is? Ze kunnen niet simpelweg in de code kijken als de dief het verbergt, en ze kunnen het model niet altijd aanpassen om een geheime digitale watermerk te planten zonder de kunst te verstoren. Ze hebben een manier nodig om de dief te betrappen door simpelweg te kijken naar wat het model doet.

Dit artikel introduceert een slimme nieuwe detectivetruc genaamd "Collapsed Generation". Denk aan een persoonlijkheidstest voor AI. Normaal gesproken, als je een AI vraagt om vijf keer een plaatje te tekenen met dezelfde woorden maar een andere willekeurige startpositie (zoals het gooien van dobbelstenen), krijg je vijf totaal verschillende, unieke afbeeldingen. Het is also' het een chef vragen om vijf keer een burger te maken; je zou vijf lichtelijk verschillende burgers verwachten. Echter, de onderzoekers ontdekten dat sommige AI-modellen voor bepaalde specifieke woorden in een loop vastlopen. Hoe vaak je de dobbelstenen ook werpt, het model produceert telkens bijna exact dezelfde afbeelding. Het is alsof de chef, wanneer gevraagd wordt om een "burger", plotseling vergeet hoe hij het recept moet variëren en vijf keer achter elkaar de identieke burger serveert. Het artikel suggereert dat dit vreemde, repetitieve gedrag een unieke vingerafdruk is van de training van dat specifieke model. Als je een verdacht model vindt dat deze "identieke burger"-afbeeldingen produceert wanneer je de juiste vragen stelt, heb je bet caught dat het het geheime recept van de oorspronkelijke eigenaar gebruikt, zelfs als de dief heeft geprobeerd het te vermommen.

Het nieuwe instrument van de detective: AI betrappen op haar hapering

De onderzoekers, een team van de Fudan Universiteit en anderen, realiseerden zich dat dit "haperen" of collapsed generation geen bug is, maar een feature van hoe deze modellen leren. Wanneer een model bepaalde patronen uit zijn trainingsdata onthoudt, verliest het soms zijn vermogen tot creativiteit voor die specifieke prompts. In plaats van een breed scala aan mogelijkheden te verkennen, stort het in tot één enkele, zeer consistente uitkomst. Het team kwam tot de conclusie dat dit gedrag als een unieke stemafdruk werkt. Net zoals twee mensen dezelfde zin kunnen zeggen maar met verschillende accenten, zullen twee verschillende AI-modellen die op verschillende data zijn getraind, anders reageren op dezelfde prompt. De ene kan een chaotische, diverse set afbeeldingen produceren, terwijl de "gestolen" versie een saai, identiek pakket kan produceren.

Het artikel stelt een tweestaps kat-en-muisspel voor om eigendom te bewijzen. Eerst moet de oorspronkelijke eigenaar (de detective) de "magische woorden" of "magische instellingen" vinden die dit haperen op zijn eigen model triggeren. Ze doen dit op twee manieren, afhankelijk van hoeveel toegang ze hebben tot de verdachte:

1. De "White-Box" Benadering (De Insider): Als de detective de interne tandwielen van het model kan zien (bijvoorbeeld als de dief de code heeft gelekt), kunnen ze een computer gebruiken om wiskundig te zoeken naar de perfecte "embedding" (een digitale versie van een prompt) die het model dwingt te haperen. Ze hoeven niet te wachten op de uiteindelijke afbeelding; ze kunnen zien dat het model vroeg in het proces vastloopt, wat enorm veel rekenkracht bespaart.
2. De "Black-Box" Benadering (De Outsider): Als het verdachte model verborgen zit achter een website of een app waar je alleen tekst kunt typen en een plaatje terugkrijgt, kan de detective de interne tandwielen niet aanpassen. In plaats daarvan graaft de detective door de originele trainingsdata om echte, natuurlijke zinnen te vinden die de het model al laten haperen. Ze ontdekten dat deze "haperende prompts" vaak overeenkomen met afbeeldingen die het model heel gemakkelijk heeft geleerd (lage "loss" tijdens de training). Door deze natuurlijke zinnen te testen, kunnen ze zien of het verdachte model ook op hen hapert.

Het eindoordeel: Is het een nabootsing?

Zodra de detective zijn lijst met "haperings-triggers" heeft, test hij het verdachte model. De detective vraagt het verdachte model om afbeeldingen te genereren met deze triggers, waarbij de dobbelstenen vele malen worden gegooid (de random seed verandert). Als het verdachte model een nabootsing is, zal het een stapel bijna identieke afbeeldingen produceren, net als het origineel. Als het een totaal ander, ongerelateerd model is, zal het een rommelige stapel verschillende afbeeldingen produceren, wat aantoont dat het niet dezelfde "geheugen" deelt voor die specifieke prompts.

De onderzoekers hebben dit idee getest op verschillende soorten AI-modellen, inclusief modellen gebaseerd op oudere "UNet"-ontwerpen en nieuwere "Transformer"-ontwerpen. Ze vonden dat deze methode erg goed werkt. Het kan het verschil zien tussen twee modellen die apart van elkaar zijn getraind, zelfs als ze aan de oppervlakte op elkaar lijken. Belangrijker nog, de vingerafdruk is moeilijk te breken. Zelfs als de dief probeert zijn sporen te wissen door middel van:

• Fine-tuning (het model nieuwe trucjes leren),
• Pruning (delen van het model wegsnijden om het kleiner te maken),
• Quantization (het vereenvoudigen van de getallen die het model gebruikt),
• Of zelfs het proberen te obfusceren (verhullen) van de resultaten,

...het "haperende" gedrag blijft vaak overleven. Het artikel laat zien dat je niet miljoenen vragen hoeft te stellen om een dief te vangen; een bescheiden aantal tests is genoeg om een statistisch sterk antwoord te krijgen.

Wat dit betekent (en wat het niet betekent)

Het artikel is voorzichtig in de opmerking dat dit geen toverstaf is die elk auteursrechtprobleem direct oplost. Het beweert niet dat het diefstal onmogelijk maakt, noch suggereert het dat elk model deze vingerafdrukken heeft (hoewel ze die wel vonden in de modellen die ze hebben getest). Het merkt ook op dat hoewel de "white-box" methode zeer efficiënt is, de "black-box" methode afhankelijk is van het vinden van de juiste natuurlijke prompts, wat een beetje kan voelen als het zoeken naar een speld in een hooiberg, hoewel hun methode van het zoeken naar "low-loss" trainingsmonsters dit veel sneller maakt.

Cruciaal is dat de auteurs beargumenteren dat je geen geheim watermerk in het model hoeft te planten om eigendom te bewijzen. Ze laten zien dat het natuurlijke gedrag van het model zelf — de neiging om voor bepaalde inputs in een loop te blijven hangen — voldoende bewijs is. Dit is een grote zaak omdat het betekent dat je het model niet hoeft te veranderen om het te beschermen. Je kunt simpelweg kijken naar hoe het zich gedraagt.

Uiteindelijk suggereert dit onderzoek dat collapsed generation een betrouwbare, niet-invasieve manier is om te verifiëren wie het eigenaar is van een AI-kunstmodel. Het verandert de eigen eigenaardigheden van het model in een handtekening. Als een model keer op keer dezelfde afbeelding produceert wanneer het juist creatief zou moeten zijn, zingt het misschien wel het liedje van de oorspronkelijke eigenaar, ongeacht hoe hard de dief probeert de tekst te veranderen.