Resumo Técnico: Marca d'água Espectral Robusta para Dados Tabulares Sintéticos (Tab-Drw)

Declaração do Problema

A proliferação da IA generativa permitiu a criação de dados tabulares sintéticos de alta fidelidade em domínios críticos como saúde, finanças e políticas públicas. Embora isso facilite o compartilhamento de dados e o treinamento de modelos, introduz riscos significativos relacionados à proveniência dos dados, direitos de propriedade intelectual e uso indevido potencial (por exemplo, fraude ou tomada de decisão clínica enviesada). As soluções existentes de marcação d'água para dados tabulares sintéticos enfrentam três limitações principais:

1. Custo Computacional: Métodos da fase de amostragem frequentemente dependem de processos inversos de grandes modelos de difusão (por exemplo, inversão DDIM), que são computacionalmente caros e propensos a erros de reconstrução.
2. Limitações de Tipo de Dados: Muitos métodos lutam com dados mistos discretos-contínuos ou falham em preservar a utilidade dos dados quando aplicados a características heterogêneas.
3. Robustez: As abordagens atuais frequentemente carecem de resiliência contra ataques comuns de pós-processamento, como adição de ruído, discretização ou exclusão de linhas/colunas.

O artigo argumenta que um esquema de marcação d'água eficaz deve satisfazer simultaneamente quatro propriedades: fidelidade (preservação da qualidade dos dados), detectabilidade (identificação confiável), aplicabilidade (suporte a dados de tipos mistos e edição pós-geração) e robustez (resiliência contra ataques).

Metodologia: Tab-Drw

Os autores propõem o Tab-Drw, um esquema de marcação d'água de pós-edição leve que embute sinais no domínio da frequência sem exigir acesso ao modelo generativo. O método opera através de três etapas principais:

1. Pré-processamento e Transformação

Para lidar com dados tabulares heterogêneos (misturando características contínuas e discretas), o método aplica primeiro uma Transformação Yeo-Johnson (YJT) seguida de padronização. Esta etapa normaliza as escalas das características e reduz a assimetria, mapeando os dados para um espaço unificado de valores reais. Subsequentemente, uma Transformada Discreta de Fourier (DFT) é aplicada linha a linha para mapear os dados padronizados para o domínio da frequência.

2. Embutimento da Marca d'água

O embutimento central ocorre no domínio da frequência. O algoritmo identifica "entradas efetivas" (as partes imaginárias dos coeficientes DFT, excluindo o componente DC e a frequência de Nyquist).

• Geração de Bits Pseudoaleatórios Baseada em Ranks: É empregado um novo esquema de geração de bits pseudoaleatórios baseada em ranks. Em vez de armazenar uma sequência massiva de bits, o método deriva bits deterministicamente para cada linha com base no rank da linha (computado a partir de um subconjunto de colunas selecionado por uma chave secreta). Isso utiliza uma estrutura de árvore binária e princípios de código Gray para garantir que pequenas perturbações nos dados (ataques) não alterem drasticamente a sequência de bits gerada.
• Alinhamento de Sinal: As partes imaginárias das entradas DFT selecionadas são ajustadas para alinhar seus sinais com os bits pseudoaleatórios gerados. Os autores introduzem uma "variante suave" controlada por hiperparâmetros $(\gamma, \delta)$ para limitar a distorção. Isso permite um compromisso entre a força da marca d'água e a fidelidade dos dados, modificando apenas entradas com magnitudes imaginárias pequenas ou reduzindo o fator de modificação.

3. Reconstrução e Detecção

A representação modificada no domínio da frequência é transformada de volta para o domínio do tempo via DFT Inversa (IDFT). Os dados são então inversamente padronizados e submetidos à transformação inversa da YJT. Para características discretas, os valores são arredondados para a entrada válida mais próxima; para características limitadas, é aplicada a técnica de clipping.

A detecção envolve reverter as etapas de pré-processamento para recuperar o domínio da frequência, reconstruir os bits pseudoaleatórios usando a chave secreta e o mecanismo baseado em ranks, e calcular um escore Z. Este escore mede o alinhamento estatístico entre os sinais imaginários dos dados suspeitos e os bits reconstruídos. Um escore Z alto indica a presença da marca d'água.

Contribuições Principais

1. Um Novo Esquema de Marcação d'água: O Tab-Drw é um método de pós-edição que embute sinais robustos no domínio da frequência. É computacionalmente eficiente, agnóstico ao modelo e suporta dados tabulares de tipos mistos, preservando alta fidelidade dos dados.
2. Geração de Bits Pseudoaleatórios Baseada em Ranks: Os autores introduzem um método para gerar bits secretos sob demanda usando estatísticas de rank linha a linha e uma estrutura de árvore binária. Isso elimina a necessidade de armazenamento explícito de sequências de bits e aumenta a robustez contra ataques de pós-processamento, aproveitando a estabilidade das estatísticas de rank.
3. Análise Teórica: O artigo fornece expressões de forma fechada para o viés (distorção) introduzido pela marca d'água e estabelece limites inferiores teóricos para o escore Z sob ruído gaussiano aditivo, provando a detectabilidade do método mesmo sob perturbações moderadas.
4. Validação Empírica: Experimentos extensivos em cinco conjuntos de dados de referência (Adult, Magic, Shoppers, Default, Drybean) demonstram que o Tab-Drw supera as bases existentes (tanto da fase de amostragem quanto de pós-edição) em robustez contra vários ataques (exclusão, ruído, discretização, embaralhamento), mantendo alta utilidade dos dados.

Resultados Experimentais

• Fidelidade vs. Detectabilidade: O Tab-Drw alcança pontuações de fidelidade de dados comparáveis a dados sem marca d'água e bases existentes. Demonstra um compromisso ajustável onde o aumento da força da marca d'água (via hiperparâmetros) melhora o escore Z com degradação mínima nas métricas de utilidade (Densidade, Correlação, C2ST, MLE).
• Robustez: Sob dez tipos de ataques de pós-processamento (incluindo exclusão de linhas/colunas, ruído gaussiano e quantização), o Tab-Drw consistentemente alcança os escores Z mais altos ou segundo mais altos. Diferentemente de bases que falham sob ruído ou exclusão, o Tab-Drw mantém a detectabilidade mesmo quando 10-20% dos dados são alterados.
• Ataques Adaptativos: O método permanece robusto contra ataques adaptativos onde adversários tentam interromper o processo de classificação ou re-marcar os dados com chaves diferentes. Mesmo após dez rodadas de re-marcação, a marca d'água original permanece detectável, embora a fidelidade dos dados degrade.
• Tempo de Execução: O embutimento e a detecção são altamente eficientes (subsegundo para 1K linhas em CPU), superando significativamente os métodos da fase de amostragem que exigem processos de inversão intensivos em GPU.
• Variáveis de Baixa Entropia: Um estudo de caso sobre variáveis categóricas (por exemplo, gênero) mostra que o método é consciente da entropia, raramente invertendo atributos de baixa entropia e confinando quaisquer inversões necessárias a regiões semanticamente ambíguas próximas aos limites dos clusters.

Significado e Alegações

O artigo alega que o Tab-Drw oferece uma base sólida para compartilhamento seguro de dados e IA generativa que preserva a privacidade, abordando a lacuna crítica na marcação d'água robusta, eficiente e aplicável para dados tabulares.

Os autores enfatizam que sua abordagem:

• Desacopla a marcação d'água da geração: Não exige acesso ao modelo generativo, tornando-a aplicável a qualquer conjunto de dados sintético existente ou futuro.
• Equilibra as quatro propriedades-chave: Consegue com sucesso alta fidelidade, forte detectabilidade, ampla aplicabilidade a tipos de dados mistos e robustez contra ataques comuns simultaneamente, uma combinação não alcançada por trabalhos anteriores.
• Fornece garantias teóricas: A derivação de limites de distorção e limites inferiores de robustez oferece uma compreensão principista do comportamento do método sob ruído.

Os autores notam modestamente que o método não é incondicionalmente robusto contra transformações arbitrariamente fortes (por exemplo, interrupção extrema de ranks) e que a capacidade do espaço de chaves é finita e dependente das dimensões da tabela. Eles identificam direções futuras como a otimização da estratégia de modificação no domínio da frequência, a integração de privacidade diferencial e a adaptação da força da marca d'água com base na importância das características.