Watermarking Should Be Treated as a Monitoring Primitive

Resumo Técnico: A Marca d'Água Deve Ser Tratada como um Primitivo de Monitoramento

Declaração do Problema
As avaliações atuais de marcas d'água para modelos generativos focam quase exclusivamente na robustez por amostra contra adversários que tentam evadir a detecção ou induzir falsos positivos. Esses modelos de ameaça tratam os sinais de marca d'água como alvos para remoção ou falsificação. No entanto, essa perspectiva ignora uma capacidade crítica: a habilidade de observadores agregarem sinais de marca d'água através de múltiplas saídas para inferir informações em nível de entidade. O artigo argumenta que a marca d'água não é meramente um mecanismo defensivo para proveniência, mas funciona inerentemente como um primitivo de monitoramento. Quando implantada com chaves de atribuição por entidade, a marca d'água introduz estruturas estatísticas persistentes que permitem rastreamento, vinculabilidade e reidentificação ao longo do tempo, capacidades que não são capturadas por métricas padrão de robustez.

Metodologia
Os autores introduzem um modelo de ameaça baseado em observador que desloca o foco da manipulação de amostras individuais para a agregação passiva de sinais através de um fluxo de saídas. Este modelo distingue entre dois tipos de observadores:

1. Observadores Internos: Entidades com acesso a detectores de marca d'água e chaves secretas. Em implantações com múltiplas chaves, eles podem atribuir diretamente as saídas a entidades específicas.
2. Observadores Externos: Entidades sem acesso a chaves ou detectores. Eles dependem de saídas observáveis e aprendizado estatístico para inferir a identidade da fonte explorando padrões persistentes e dependentes de chave induzidos pelo processo de marca d'água.

O estudo formaliza a reidentificação de entidade como a tarefa de determinar se duas saídas originam-se da mesma entidade. Os autores avaliam isso sob marca d'água de zero bits (onde nenhuma mensagem de identidade explícita é codificada) através das modalidades de texto e imagem.

• Modelos: Qwen2.5-14B para texto e Stable Diffusion v2.1 para imagens.
• Métodos de Marca d'Água: Múltiplos esquemas de zero bits, incluindo KGW, Unigram, EWD, MorphMark, EXP, IE, SWEET, SEMSTAMP, SynthID, TreeRing, Wind e Gaussian Shading.
• Configuração Experimental: Uma implantação com múltiplas chaves onde entidades distintas recebem chaves únicas. Os autores utilizam configurações com prompts correspondentes para garantir que a atribuição dependa da estrutura induzida pela marca d'água e não de diferenças nos prompts.
• Métricas:
  • Interna: Precisão de atribuição Top-1 (TPR@1%FPR).
  • Externa: Precisão de classificação Top-1 e Top-3 usando classificadores aprendidos (BERT-Base para texto, CLIP-RN50 para imagens) treinados em características observáveis.
• Controles: As linhas de base incluem geração sem marca d'água e implantações com chave compartilhada para isolar o efeito da estrutura dependente de chave.

Principais Contribuições

1. Modelo de Ameaça Baseado em Observador: O artigo formaliza um modelo de ameaça onde observadores agregam sinais através das saídas para realizar inferência em nível de entidade, distinguindo entre monitoramento inerente (interno) e monitoramento emergente (externo).
2. Monitoramento Inerente em Esquemas de Zero Bits: Os autores demonstram que o monitoramento é inevitável em implantações com múltiplas chaves, mesmo para marca d'água de zero bits. Chaves distintas induzem estruturas estatísticas persistentes que permitem a observadores internos atribuir saídas sem codificação explícita de identidade.
3. Monitoramento Externo Emergente: O estudo mostra que observadores externos podem aprender a identificar entidades geradoras ao longo do tempo agregando sinais fracos, mesmo sem acesso a chaves ou detectores. Essa capacidade emerge da estrutura estatística introduzida pelo design da marca d'água.
4. Tensão de Duplo Uso: O trabalho destaca uma tensão fundamental entre os usos pretendidos da marca d'água (atribuição, segurança) e suas capacidades não intencionais (rastreamento, vazamento de privacidade), argumentando que os protocolos de avaliação devem se estender além da robustez por amostra.

Resultados

• Atribuição Interna: Sob marca d'água de zero bits com múltiplas chaves, observadores internos alcançaram precisão de atribuição quase perfeita (TPR@1%FPR) em todos os métodos testados. O desempenho permaneceu alto mesmo com o aumento do número de entidades de 4 para 16, com degradação apenas leve. Isso confirma que esquemas de zero bits suportam inerentemente o rastreamento confiável de entidades quando as chaves são distintas.
• Reidentificação Externa: Observadores externos inicialmente performaram próximo ao acaso, mas mostraram melhoria substancial à medida que o número de amostras observadas por entidade aumentava.
  • Para texto (KGW) com 16 entidades, a precisão Top-1 subiu de ~11,3% para 73,0% com 4.000 amostras por entidade.
  • Para imagens (TreeRing), a convergência foi mais rápida, atingindo 91,0% de precisão Top-1 com 16 entidades e 4.000 amostras.
• Experimentos de Controle:
  • Sem Marca d'Água: A precisão de identificação colapsou para o acaso, confirmando que o sinal não é inerente ao modelo ou aos prompts.
  • Chave Compartilhada: Quando todas as entidades usaram a mesma chave, a precisão de identificação também colapsou para o acaso, provando que a capacidade de monitoramento depende especificamente da estrutura estatística dependente de chave.

Significado e Alegações
O artigo alega que a marca d'água deve ser reavaliada como uma tecnologia de monitoramento e não apenas como uma ferramenta de proveniência. Os autores afirmam que:

• O Monitoramento é Inevitável: Uma vez que chaves por entidade são implantadas, o monitoramento interno é uma consequência direta do design do sistema e não pode ser tecnicamente prevenido sem sacrificar a utilidade de atribuição (por exemplo, usando chaves globais compartilhadas).
• Capacidades Emergentes: O monitoramento externo é uma propriedade emergente que depende do design da marca d'água. Embora esquemas que preservem a distribuição ou sejam indetectáveis possam mitigar riscos externos, eles não eliminam as capacidades de monitoramento interno em configurações com múltiplas chaves.
• Lacuna de Avaliação: Os protocolos de avaliação atuais subestimam significativamente as capacidades de monitoramento dos sistemas de marca d'água. Os autores recomendam que futuras avaliações relatem explicitamente a precisão de atribuição como uma função do número de entidades e amostras observadas ao longo do tempo.

Os autores concluem que os esforços regulatórios e de padronização (como o Ato de IA da UE) estão incompletos se tratarem a marca d'água apenas como um mecanismo de proveniência. Eles pedem uma discussão mais ampla sobre a governança dos sistemas de marca d'água, enfatizando a necessidade de transparência quanto à sua capacidade inerente de permitir rastreamento e inferência ao longo do tempo.