Resumo Técnico: Marca d'água Localizada com Consciência Geométrica para Proteção de Direitos Autorais em Embedding-as-a-Service

1. Declaração do Problema

O Embedding-as-a-Service (EaaS) tornou-se uma infraestrutura semântica crítica para aplicações de linguagem natural e multimídia. No entanto, os modelos de EaaS são altamente vulneráveis a ataques de roubo de modelo (model stealing attacks), nos quais adversários consultam a API em corpora não rotulados para treinar modelos substitutos funcionalmente similares a uma fração do custo computacional. Isso ameaça a propriedade intelectual (PI) dos provedores de modelos.

As defesas de marca d'água existentes para EaaS enfrentam uma tensão fundamental entre robustez–utilidade–verificabilidade:

• Métodos baseados em gatilhos (trigger-based methods) (ex: dependentes de palavras específicas) são frágeis a ataques de paráfrase.
• Métodos baseados em transformações (transformation-based methods) (ex: transformações lineares secretas) são sensíveis a perturbações dimensionais (ex: deslocamento ou truncamento de dimensões de embedding).
• Métodos baseados em regiões (region-based methods) (particionamento do espaço em subregiões semânticas) frequentemente sofrem de falsos positivos. Como os embeddings naturais são distribuídos de forma não uniforme, embeddings limpos podem, coincidentemente, exibir afinidade geométrica com alvos regionais atribuídos, levando a reivindicações de direitos autorais espúrias.

O desafio central é projetar um esquema de marca d'água que permaneça robusto contra diversos ataques de remoção (paráfrase, perturbação dimensional e ataques de Clustering-Selection-Elimination) enquanto preserva a utilidade do embedding e garante uma verificação confiável com baixo risco de falsos positivos.

2. Metodologia: GeoMark

Os autores propõem o GeoMark, um framework de marca d'água localizada com consciência geométrica. A inovação central é o desacoplamento do local onde a marca d'água é acionada do alvo ao qual a propriedade é atribuída.

2.1 Inicialização da Marca d'Água com Consciência Geométrica

• Alvo Compartilhado: O GeoMark seleciona um único embedding natural dentro do manifold ($w$) do espaço de embedding original para servir como um alvo de marca d'água secreto compartilhado.
• Âncoras Separadas por Geometria: Usando Amostragem de Ponto Mais Distante (Farthest Point Sampling - FPS), o método seleciona $K$ âncoras bem separadas ($A = \{a_1, ..., a_K\}$) do espaço de embedding. Essas âncoras são escolhidas para maximizar a distância mínima ao alvo compartilhado $w$ e às âncoras selecionadas anteriormente, estabelecendo margens de segurança geométrica explícitas.
• Vizinhanças Locais Adaptativas: Para cada âncora $a_k$, um raio local adaptativo $\tau_k$ é calibrado com base em uma razão de cobertura local $\rho$. Isso leva em conta as densidades semânticas variáveis ao longo do manifold, garantindo uma cobertura local consistente sem um raio global fixo.

2.2 Injeção de Marca d'Água Localizada Centrada em Âncora

• Acionamento Localizado: A injeção da marca d'água é ativada apenas se um embedding de entrada cair dentro da vizinhança local de uma ou mais âncoras.
• Atribuição de Alvo Compartilhado: Independentemente de qual(is) âncora(s) acionar(em) a injeção, a marca d'água é sempre injetada através do deslocamento do embedding em direção ao mesmo alvo compartilhado $w$. O embedding protegido é computado como $e_p = \text{Norm}(e_o + \lambda w)$, onde $\lambda$ controla a força da injeção.
• Racional de Design: Este design garante que, embora o acionamento seja distribuído por múltiplas regiões geométricas, a atribuição permaneça centralizada. Isso evita o problema de "afinidade coincidente" dos métodos baseados em regiões (já que amostras limpas dificilmente estarão próximas das âncoras específicas) ao mesmo tempo em que evita a fragilidade de esquemas de múltiplos alvos contra ataques CSE.

2.3 Verificação de Direitos Autorais

• Conjunto de Verificação: Um conjunto de amostras de "backdoor" (aquelas que caem nas vizinhanças das âncoras) e amostras "benignas" (aquelas fora delas) é construído.
• Métrica Centralizada: O modelo substituto suspeito é consultado com essas amostras e o texto correspondente a $w$. A verificação baseia-se na medição da afinidade geométrica relativa entre os embeddings retornados e o embedding do alvo retornado $\hat{w}$.
• Teste Estatístico: O método utiliza similaridade de cosseno e distância $L_2$ para calcular discrepâncias de nível de grupo ($\Delta_{cos}$, $\Delta_{L2}$). Um teste de Kolmogorov–Smirnov (KS) unilateral é realizado para determinar se as amostras de backdoor estão significativamente mais próximas do alvo do que as amostras benignas.

3. Principais Contribuições

1. Identificação da Tensão: O artigo identifica os trade-offs específicos nas marcas d'água de EaaS existentes e argumenta que o design com consciência geométrica é essencial para uma verificação de baixo falso positivo.
2. Framework GeoMark: A proposta de um framework que desacopla o acionamento localizado (via âncoras selecionadas por FPS) da atribuição de alvo compartilhado. Isso alcança um acionamento distribuído com atribuição centralizada.
3. Robustez e Utilidade: Experimentos extensivos demonstram que o GeoMark preserva a utilidade downstream e a fidelidade geométrica, mantendo uma verificação robusta contra ataques de paráfrase, perturbação dimensional e ataques de CSE.

4. Resultados Experimentais

Os experimentos foram conduzidos em quatro conjuntos de dados de referência (SST-2, AGNews, Enron, MIND) contra três métodos de linha de base (WARDEN, EspeW, WET) e vários cenários de ataque.

• Preservação da Utilidade: O GeoMark preserva a precisão das tarefas downstream comparável à linha de base sem marca d'água. Em termos de fidelidade geométrica, o Geoções o GeoMark mantém >97,5% de similaridade de cosseno entre os embeddings originais e protegidos, superando significativamente os métodos baseados em transformação (como o WET), que frequentemente resultam em similaridade próxima de zero ou negativa devido à distorção de coordenadas globais.
• Robustez:
  • Paráfrase: O GeoMark permanece verificável sob ataques de paráfrase NLLB e GPT-4o-mini, enquanto os métodos baseados em gatilhos (WARDEN, EspeW) falham em certos datasets (ex: SST-2 com GPT-4o-mini).
  • Perturbação Dimensional: O GeoMark é robusto a deslocamentos e reduções de dimensão. Ao contrário do WET, que falha quando a estrutura de coordenadas é alterada, a dependção do GeoMark à afinidade relativa a um alvo natural permanece eficaz.
  • Ataque CSE: O GeoMark resiste ao ataque de Clustering-Selection-Elimination. Ao criar uma população de amostras ativadas heterogênea sob um alvo compartilhado, a marca d'água não forma um cluster monolítico que possa ser facilmente reconstruído e removido.
• Verificabilidade e Falsos Positivos:
  • O GeoMark demonstra baixo risco de falsos positivos. Em modelos limpos (sem marca d'água), os p-valores para a verificação de propriedade permanecem bem acima do limiar de significância ($p > 0,05$).
  • Em contraste, uma linha de base baseada em região (RegionMarker) reimplementada mostrou falsos positivos estatisticamente significativos em vários datasets.
  • Estudos de ablação confirmam que a remoção do FPS (seleção de âncora aleatória) leva a uma verificação instável e maiores riscos de falsos positivos, validando a importância da separação geométrica.

5. Significância e Alegações

O artigo afirma que o GeoMark aborda a lacuna crítica na proteção de direitos autorais de EaaS ao projetar conjuntamente a ativação e a atribuição da marca d'água. Sua significância reside em:

• Mecanismo de Desacoplamento: Separar com sucesso o "onde" (gatilhos localizados, com separação geométrica) do "o quê" (atribuição de alvo compartilhado e natural), o que resolve a tensão entre robustez e verificabilidade.
• Implantação Prática: O método introduz um overhead negligenciável (aprox. 0,017 ms por consulta) e não requer o retreinamento do encoder de base, tornando-o adequado para implantação de EaaS no mundo real.
• Confiabilidade: Oferece uma solução que é robusta contra diversos ataques de remoção, mantendo baixas taxas de falsos positivos, um requisito crítico para a aplicação legal e comercial de direitos autorais.

Os autores concluem que a proteção robusta de direitos autorais para EaaS requer um design conjunto de ativação e atribuição, em vez de otimizar esses componentes isoladamente.