PoLO: Proof-of-Learning and Proof-of-Ownership at Once with Chained Watermarking

Resumo Técnico: PoLO (Proof-of-Learning and Proof-of-Ownership)

1. O Problema (Contexto e Motivação)

Com a crescente comercialização de modelos de Machine Learning (ML) em marketplaces (EMMs), surge a necessidade de verificar duas propriedades fundamentais:

• Proof-of-Learning (PoL): Garantir que o esforço computacional alegado para o treinamento foi realmente realizado.
• Proof-of-Ownership (PoO): Estabelecer a propriedade legítima do modelo para fins de licenciamento e atribuição.

Os métodos atuais tratam PoL e PoO de forma separada, o que gera três problemas principais:

1. Vulnerabilidade: Métodos de PoL baseados em gradientes são suscetíveis a falsificações de trajetórias de treinamento.
2. Alto Custo de Verificação: Verificadores precisam reexecutar ou treinar novamente partes do modelo, o que é proibitivo para modelos grandes.
3. Riscos de Privacidade: A verificação de PoL muitas vezes exige a exposição de dados de treinamento ou estados intermediários sensíveis.

2. Metodologia (A Proposta PoLO)

Os autores propõem o PoLO, um framework unificado que utiliza marcas d'água encadeadas (chained watermarks) para realizar PoL e PoO simultaneamente. Em vez de tratar os dois como módulos independentos, o PoLO utiliza o próprio processo de inserção da marca d'água como a prova de aprendizado.

Componentes Principais:

• Fragmentação em Shards: O processo de treinamento é dividido em "shards" (fragmentos) finos. Cada shard representa uma unidade de esforço verificável.
• Encadeamento Criptográfico: Para cada shard $s_x$, uma marca d'água $\Lambda_x$ é gerada de forma determinística usando uma função de hash sobre os pesos do modelo do shard anterior ($W_{x-1}$), um nonce secreto fornecido pelo verificador e o ID do proprietário. Isso cria uma dependência sequencial: para falsificar um shard, o atacante deve reconstruir toda a cadeia anterior.
• Inserção de Marca d'Água: Durante o treinamento de cada shard, uma regularização é adicionada à função de perda para embutir a marca d'água nos pesos, garantindo que o modelo mantenha a precisão na tarefa principal.
• Proteção de Privacidade: Após a conclusão de cada shard, aplica-se ruído Gaussiano em regiões não marcadas do modelo para proteger contra ataques de inferência de dados de treinamento.

Processo de Verificação:
O verificador não precisa reexecutar o treinamento. Ele apenas extrai a marca d'água do checkpoint atual e verifica se ela corresponde ao valor esperado derivado do checkpoint anterior via hash.

3. Principais Contribuições

• Unificação de PoL e PoO: Transforma a prova de propriedade em uma prova de trajetória de treinamento, eliminando a necessidade de mecanismos de verificação redundantes.
• Eficiência de Verificação: Reduz drasticamente o custo computacional ao substituir o re-treinamento (replay) pela extração de marcas d'água.
• Segurança Econômica: O design impõe um dilema ao atacante racional: ou ele gasta tanto recurso para falsificar o modelo quanto gastaria treinando um honestamente, ou ele produz um modelo com performance degradada que falha na verificação.

4. Resultados Experimentais

Os testes foram realizados em diversas arquiteturas (ResNet, VGG, BERT) e datasets (CIFAR, TinyImageNet, AG News). Os resultados demonstram:

• Precisão de Propriedade: Alcançou 99% de precisão na detecção de marcas d'água para verificação de propriedade.
• Eficiência de Custo: O custo de verificação foi reduzido para apenas 1,5% a 10% em comparação com os métodos tradicionais de PoL.
• Resiliência contra Ataques:
  • Ataque de Fine-tuning (OFA): Tentar substituir a marca d'água exige de 1,1x a 4x mais recursos do que o treinamento honesto. Mesmo sob ataque, a marca d'água original mantém mais de 90% de detecção.
  • Ataque de Manipulação de Pesos (WMA): Embora mais barato, esse ataque degrada significativamente a precisão da tarefa principal, fazendo com que o modelo seja rejeitado pelo verificador.
• Privacidade: O método preservou a privacidade dos dados de treinamento ao evitar a necessidade de compartilhá-los com o verificador.

5. Significância

O PoLO representa um avanço crucial para a economia de modelos de IA. Ao integrar a prova de esforço com a prova de propriedade em um único fluxo criptográfico, ele fornece uma base robusta para Marketplaces de Modelos Executáveis (EMMs), permitindo transações seguras, auditorias eficientes e proteção de direitos de propriedade intelectual sem os gargalos de custo e privacidade das soluções atuais.