🤖 machine learning

Traceable Black-box Watermarks for Federated Learning

Este trabalho propõe o **TraMark**, um novo método de marca d'água do lado do servidor para Aprendizado Federado que permite rastrear vazamentos de modelos em cenários de caixa-preta (black-box) ao atribuir regiões de parâmetros exclusivas e marcas d'água personalizadas para cada cliente, sem comprometer o desempenho da tarefa principal.

Autores originais: Jiahao Xu, Rui Hu, Olivera Kotevska, Zikai Zhang

Publicado 2026-02-10

📖 3 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Jiahao Xu, Rui Hu, Olivera Kotevska, Zikai Zhang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você e um grupo de amigos estão escrevendo um livro de receitas super secreto juntos. Para manter o segredo, ninguém mostra seus ingredientes originais; vocês apenas enviam para um "Chef Central" as instruções de como misturar tudo. Isso é o Aprendizado Federado (Federated Learning): todos colaboram para criar uma receita mestre sem precisar abrir suas despensas particulares.

O problema? Alguém pode roubar a receita final e vendê-la por aí como se fosse sua. Como você prova que aquela receita foi roubada do seu grupo?

Este artigo apresenta o TraMark, uma solução para colocar uma "marca d'água" invisível em cada cópia da receita, para que, se alguém a roubar, você saiba exatamente quem foi o traidor.

Aqui está a explicação de como isso funciona usando analogias simples:

1. O Problema: O Ladrão de Receitas

Atualmente, existem duas formas de proteger o livro:

A Marca de Caneta (White-box): Você escreve seu nome no meio das páginas. Mas, se o ladrão tiver acesso ao livro, ele simplesmente apaga o nome.
O Teste do Sabor (Black-box): Você coloca um ingrediente estranho que só você conhece. Se o ladrão tentar fazer a receita e o gosto for exatamente aquele, você sabe que é sua. Mas, se todos os amigos usarem o mesmo ingrediente estranho, você não sabe qual amigo vazou a receita.

2. A Solução TraMark: "O Tempero Personalizado"

O TraMark é como se o Chef Central, antes de entregar o livro para cada amigo, fizesse algo muito inteligente. Em vez de mudar a receita inteira, ele divide o livro em duas partes:

A Parte Principal (O Prato): É a receita de verdade (o sabor que todos querem).
A Parte Escondida (O Tempero Secreto): O Chef reserva um cantinho minúsculo e quase invisível nas páginas para cada amigo.

A mágica acontece aqui:
Para o Amigo A, o Chef adiciona uma pitada de canela invisível.
Para o Amigo B, uma pitada de cravo invisível.
Para o Amigo C, uma pitada de noz-moscada invisível.

Esses temperos não mudam o sabor do prato principal (a precisão do modelo continua alta), mas eles são únicos.

3. Como o TraMark evita a confusão? (A "Máscara")

Você pode pensar: "Mas se todos os amigos misturarem suas receitas, os temperos não vão se fundir e virar uma bagunça?"

O TraMark usa uma técnica chamada Agregação Mascarada. Imagine que, na hora de juntar as receitas, o Chef diz: "Pessoal, vamos misturar todos os ingredientes principais, mas os temperos secretos de cada um, NÃO mexam! Deixem eles guardadinhos em seus próprios livros."

Assim, cada pessoa recebe uma versão da receita que é quase igual à de todo mundo, mas que carrega o seu "tempero" exclusivo e protegido.

4. Pegando o Culpado (A Verificação)

Se alguém encontrar uma receita circulando ilegalmente na internet, o Chef faz o teste:

Ele prova a receita.
Se o gosto for de canela, ele aponta o dedo: "Foi o Amigo A!"
Se o gosto for de cravo: "Foi o Amigo B!"

Resumo da Ópera

O TraMark resolve três problemas de uma vez:

Proteção: Ele prova que a receita é sua (Marca d'água).
Rastreabilidade: Ele diz exatamente quem vazou (Identificação do traidor).
Qualidade: Ele garante que a receita continua deliciosa e não fica com um gosto estranho de tempero (Não estraga o desempenho do modelo).

É como colocar um DNA invisível e único em cada cópia de um documento, garantindo que a colaboração seja segura e que a traição tenha um preço!

Resumo Técnico: TraMark – Marcas d'Água Black-Box Rastreáveis para Aprendizado Federado

1. O Problema

O Aprendizado Federado (FL) permite o treinamento colaborativo de modelos mantendo a privacidade dos dados locais. No entanto, o compartilhamento do modelo global com todos os participantes cria um risco crítico de vazamento de modelo (model leakage), onde clientes maliciosos podem duplicar e distribuir ilegalmente o modelo treinado.

Os desafios identificados pelos autores são:

Limitação de Acesso (Black-box): Métodos existentes de proteção de propriedade intelectual (IP) muitas vezes exigem acesso aos parâmetros do modelo (white-box), o que é inviável se o modelo vazado for acessado apenas via API (black-box).
Falta de Rastreabilidade: Embora existam métodos para verificar a propriedade (se o modelo pertence ao sistema), é difícil identificar qual cliente específico foi o responsável pelo vazamento.
Colisão de Marcas d'Água: Em sistemas FL, a agregação de modelos (como o FedAvg) tende a fundir as atualizações dos clientes, o que pode causar a "mistura" de marcas d'água e impedir a identificação do culpado.

2. Metodologia (TraMark)

Os autores propõem o TraMark, um método de marca d'água executado inteiramente no lado do servidor, que cria um modelo personalizado e rastreável para cada cliente. A metodologia baseia-se em três pilares:

Particionamento do Espaço de Parâmetros: O servidor divide os parâmetros do modelo em duas regiões distintas usando máscaras binárias:
1. Região da Tarefa Principal ( $M_m$ ): Responsável pelo aprendizado do objetivo principal do FL.
2. Região de Marca d'Água ( $M_w$ ): Uma pequena subseção de parâmetros (ex: 1%) dedicada exclusivamente à inserção da marca d'água.
Agregação Mascarada (Masked Aggregation): Para evitar que as marcas d'água de diferentes clientes se fundam durante a agregação, o servidor utiliza uma técnica onde a média dos parâmetros ocorre apenas na região da tarefa principal. A região de marca d'água de cada cliente é preservada individualmente, garantindo que cada cliente receba um modelo com uma "assinatura" única.
Injeção de Marca d'Água Personalizada: O servidor utiliza um conjunto de dados de marca d'água ( $D_w^i$ ) exclusivo para cada cliente $i$ . Esse conjunto contém gatilhos (triggers) e saídas predefinidas. A marca d'água é treinada apenas na região $M_w$ , garantindo que o conhecimento da marca d'água não "vaze" para a região da tarefa principal, preservando a precisão do modelo.

3. Principais Contribuições

Formalização do Problema: É o primeiro trabalho a definir formalmente o problema de injeção de marcas d'água black-box rastreáveis em sistemas de Aprendizado Federado.
Novo Método (TraMark): Introduz uma solução que é facilmente integrável a frameworks existentes (como FedAvg) e que opera sem necessidade de acessar dados privados dos clientes.
Prevenção de Colisões: Através do particionamento de parâmetros e do uso de conjuntos de dados de gatilhos distintos, o método garante que as marcas d'água não se sobreponham.

4. Resultados Experimentais

Os testes foram realizados em diversos datasets (FMNIST, CIFAR-10, CIFAR-100 e Tiny-ImageNet) sob cenários IID e non-IID:

Taxa de Verificação (VR): O TraMark alcançou uma taxa de verificação média de 99,58%, demonstrando uma capacidade quase perfeita de identificar o cliente responsável pelo vazamento em cenários de caixa-preta.
Desempenho da Tarefa Principal (MA): A queda na precisão do modelo principal foi mínima, com uma redução média de apenas 0,54% em comparação ao FedAvg padrão.
Robustez contra Ataques: O método mostrou-se resiliente a ataques de poda (pruning) e ajuste fino (fine-tuning), que são técnicas comuns usadas por atacantes para tentar remover marcas d'água.
Eficiência Computacional: O custo adicional no servidor é negligenciável (cerca de 0,67 segundos por cliente), tornando-o prático para aplicações reais.

5. Significância

O trabalho é significativo por equilibrar três requisitos frequentemente conflitantes no FL: utilidade do modelo (manter a precisão), privacidade dos dados (não acessar dados locais) e responsabilidade/accountability (capacidade de rastrear vazamentos). Ao permitir a proteção de propriedade intelectual sem comprometer o desempenho ou a privacidade, o TraMark oferece uma camada essencial de segurança para o uso comercial e institucional do Aprendizado Federado.