Resumo Técnico: TrajPrint – Proteção de Direitos Autorais Sem Perdas via Fingerprinting Intrínseco de Modelos

Declaração do Problema

Modelos de difusão tornaram-se propriedade intelectual de alto valor devido aos substanciais recursos computacionais e dados necessários para seu treinamento. No entanto, a natureza de código aberto dos pesos dos modelos e a proliferação de técnicas de destilação tornam esses modelos suscetíveis à replicação não autorizada e apropriação indevida. As estratégias existentes de proteção de direitos autorais enfrentam trade-offs significativos:

• Intervenção na Inferência: Métodos que injetam sinais no loop de denoising (ex: Tree-Ring, Gaussian Shading) frequentemente perturbam as trajetórias naturais de difusão, introduzindo artefatos e limitando a diversidade de geração.
• Fine-tuning de Modelo: Abordagens que modificam os parâmetros do modelo para embutir marcas d'água (ex: Stable Signature, SleeperMark) aumentam os custos de treinamento e desviam da distribuição ótima pré-treinada, prejudicando assim o desempenho de geração.
• Incompatibilidade com Black-Box: Muitos métodos de fingerprinting existentes exigem intervenção detalhada nos passos intermediários de denoising, tornando-os incompatíveis com APIs de caixa-preta (black-box), onde apenas a inferência atômica (entrada-saída) é acessível.

Além disso, os métodos atuais muitas vezes carecem de critérios estatísticos rigorosos, falhando em fornecer evidências quantificáveis para uma verificação confiável.

Metodologia: TrajPrint

Os autores propõem o TrajPrint, um framework completamente sem perdas (lossless) e livre de treinamento que verifica os direitos autorais do modelo extraindo impressões digitais (fingerprints) de variedades (manifolds) únicas formadas durante a geração determinística. O insight central é que o processo generativo determinístico de um modelo de difusão constitui um mapeamento de variedade de alta dimensão único, servindo como uma identidade intrínseca.

O framework opera em duas fases principais:

1. Geração de Ruído de Fingerprint

O objetivo é construir um ruído de fingerprint específico $z^*$ que atue como um gatilho único para o modelo alvo $G_\theta$.

• Âncora com Marca d'Água: Uma imagem portadora é embutida com uma mensagem de direitos autorais binária discreta para criar uma "âncora com marca d'água" ($I_w$).
• Inversão de Trajetória: Usando a inversão DDIM determinística, a âncora é mapeada de volta à sua origem de ruído latente ($x_T$). Este passo trava o comportamento generativo intrínseco do modelo ao rastrear o caminho do domínio da imagem para o domínio do ruído.
• Otimização Conjunta: Para mitigar erros de discretização da inversão e aumentar a especificidade, uma estratégia de otimização conjunta sintetiza o ruído de fingerprint final $z^*$. Isso emprega ancoragem de dupla extremidade (dual-end anchoring):
  • Alinhamento de Variedade Perceptual (Extremidade de Saída): Uma perda de reconstrução ($L_{rec}$) impõe consistência semântica, garantindo que a imagem gerada se alinhe com a âncora com marca d'água $I_w$. Isso força a otimização a descobrir um ruído que se alinhe com a trajetória de denoising única do modelo alvo.
  • Regularização de Trajetória Latente (Extremidade de Entrada): Uma perda de regularização ($L_{reg}$) restringe o ruído otimizado $z^*$ para permanecer dentro da vizinhança local da origem da trajetória $x_T$. Isso evita a geração de perturbações adversariais universais que poderiam ser transferidas entre modelos.
  • Recuperação de Marca d'Água: Uma perda de recuperação de marca d'água ($L_w$) guia a otimização para garantir que a mensagem embutida possa ser extraída com sucesso.

A função de perda total é uma soma ponderada desses objetivos, otimizada exclusivamente no input latente $z$, mantendo os parâmetros do modelo congelados.

2. Verificação

Na fase de verificação, o defensor consulta um modelo suspeito de caixa-preta com o ruído de fingerprint otimizado $z^*$.

• Inferência Atômica: O processo requer apenas interação padrão de entrada-saída, tornando-o compatível com APIs encapsuladas.
• Teste Estatístico: A mensagem de marca d'água extraída é comparada com a original. A precisão de bits (BA - bit accuracy) é calculada, e um teste t de uma amostra é realizado contra a hipótese nula (chute aleatório, $\mu=0.5$). Um p-valor estatisticamente significativo fornece evidência credível de infração.

Principais Contribuições

1. Verificação Sem Perdas e Livre de Treinamento: O TrajPrint extrai fingerprints intrínsecos do modelo sem modificar seus pesos ou arquitetura, garantindo zero degradação da qualidade de geração.
2. Compatibilidade com Black-Box: Ao depender de inferência atômica e inversão de trajetória determinística, o método funciona em cenários onde estados intermediários são inacessíveis, ao contrário de técnicas de fingerprinting anteriores.
3. Fingerprinting Específico de Variedade: O método mapeia a variedade generativa única para um ruído de fingerprint específico via rastreamento de trajetória, construindo um par gatilho-verificação que evita falsos positivos em modelos não-alvo.
4. Rigor Estatístico: O framework introduz um protocolo de teste de hipótese estatística para fornecer evidência quantificável e juridicamente robusta de infração de direitos autorais.

Resultados Experimentais

Experimentos extensivos foram conduzidos em diversos modelos de difusão latente (Stable Diffusion v1.5, v2.1, XL, DeciDiffusion e Pixart-$\alpha$) e vários cenários de ataque.

• Especificidade: O TrajPrint alcançou uma precisão de bits (BA) superior a 0,96 nos modelos alvo com p-valores $< 10^{-3}$. Na verificação cruzada entre modelos, a precisão caiu para aproximadamente 0,55 (chance aleatória), demonstrando uma falta de transferibilidade e prevenindo efetivamente falsas acusações. Em contraste, os baselines usando otimização de ruído aleatório mostraram alta transferibilidade entre modelos (BA ~0,7), levando a falsos positivos.
• Robustez: O método demonstrou resiliência excepcional contra:
  • Fine-tuning de Parâmetros: Manteve alta BA (>0,91) mesmo após fine-tuning via LoRA e DreamBooth (até 5000 passos).
  • Quantização: Desempenho robusto sob precisão FP16 e BFloat16 (BA > 0,95).
  • Pruning (Poda): Resistiu ao pruning de magnitude não estruturado com até 10% de esparsidade (BA > 0,8).
• Estudos de Ablação: A remoção das restrições de ancoragem de dupla extremidade resultou em um aumento na precisão cruzada entre modelos (~0,7), confirmando a necessidade da ancoragem de trajetória para especificidade. O método permaneceu estável através de diferentes samplers determinísticos e passos de amostragem (20–100) e suportou payloads de marca d'água de até 128 bits.

Significância e Limitações

O artigo afirma que o TrajPrint oferece uma solução prática para a verificação de direitos autorais em ambientes do mundo real, onde os proprietários dos modelos não têm acesso aos parâmetros internos ou podem modificar os pesos do modelo. Sua capacidade de operar via inferência atômica torna-o unicamente adequado para verificar modelos implantados como APIs de caixa-preta.

Limitações:
Os autores observam uma restrição específica: o ambiente alvo deve suportar a injeção de ruído inicial customizado (ex: via interfaces como ComfyUI ou Stable Diffusion WebUI). Consequentemente, o método pode não ser aplicável a cenários de API que não aceitam o ruído inicial como um parâmetro de entrada direto.