🤖 machine learning

Cert-LAS: Toward Certified Model Ownership Verification for Text-to-Image Diffusion Models via Layer-Adaptive Smoothing

Este artigo apresenta o Cert-LAS, o primeiro método certificado de verificação de propriedade de modelos para modelos de difusão texto-para-imagem que utiliza suavização adaptativa por camada para garantir a detecção confiável de marcas d'água mesmo sob ataques maliciosos de remoção.

Autores originais: Leyi Qi, Yiming Li, Siyuan Liang, Zhengzhong Tu, Dacheng Tao

Publicado 2026-05-29

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Leyi Qi, Yiming Li, Siyuan Liang, Zhengzhong Tu, Dacheng Tao

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você é um artista que passou anos e uma fortuna treinando um robô mágico para pintar quadros baseados no seu estilo específico. Você chama esse robô de "Modelo de Difusão Texto-para-Imagem". Agora, imagine que alguém rouba seu robô, faz pequenos ajustes nele e afirma que é dele. Como você prova que ele é realmente seu?

Este é o problema que o artigo Cert-LAS tenta resolver.

O Problema: O "Aperto de Mão Secreto" Frágil

Atualmente, muitas pessoas tentam proteger seus modelos de IA usando um método de "backdoor". Pense nisso como um aperto de mão secreto. Você treina seu robô para que, se você sussurrar uma frase específica e estranha (um "gatilho") para ele, ele produza uma imagem com uma marca oculta. Se alguém mais tiver seu robô, você sussurra a frase e, se a marca aparecer, você sabe que é o dono.

O artigo argumenta que esse método antigo tem duas falhas grandes:

É muito óbvio: A frase estranha ou a marca oculta são como um letreiro de neon dizendo "Sou um segredo!". Um ladrão pode facilmente identificá-la e removê-la.
É muito frágil: Se o ladrão acidentalmente bater no robô (mudanças aleatórias) ou tentar intencionalmente quebrar o aperto de mão secreto (ataques adversariais), a marca desaparece e você não consegue mais provar a propriedade.

Os autores afirmam que os métodos existentes assumem que o ladrão jogará limpo e não tocará no cérebro do robô. Mas, no mundo real, os ladrões vão tentar quebrar o selo.

A Solução: Cert-LAS (O Escudo "Adaptativo por Camada")

Os autores propõem um novo método chamado Cert-LAS. Em vez de um aperto de mão secreto frágil, eles constroem um escudo "certificado" que é matematicamente comprovado como capaz de sobreviver a ataques.

Veja como funciona, usando analogias simples:

1. O "Ruído Adaptativo por Camada" (O Cobertor Personalizado)

Imagine que seu robô de IA é um bolo de várias camadas. Algumas camadas são o "recheio" (muito sensíveis a mudanças) e outras são a "esponja" (muito resistentes).

Os métodos antigos tratavam o bolo inteiro da mesma forma, balançando-o uniformemente.
O Cert-LAS é inteligente. Ele primeiro verifica quais camadas do bolo são "instáveis" (sensíveis ao ajuste fino). Em seguida, ele envolve essas camadas instáveis em cobertores extras e grossos (ruído), deixando as camadas resistentes com cobertores mais finos.
Por quê? Ao focar a proteção nos pontos fracos, o bolo inteiro torna-se muito mais difícil de quebrar. Isso é chamado de Suavização Adaptativa por Camada.

2. A Marca D'Água "Sem Gatilho" (A Tinta Invisível)

Em vez de usar uma frase secreta estranha (um gatilho) que os ladrões podem encontrar, o Cert-LAS usa um truque chamado Classificador de Difusão.

Imagine que você treina seu robô para pintar uma imagem de um Gato.
Normalmente, o robô pinta um gato.
Com o Cert-LAS, você treina o robô para que, quando você peça um "Gato", ele pinte secretamente uma imagem que parece um gato, mas que é matematicamente "classificada" pelo seu decodificador secreto como um Cachorro.
A Magia: Para o ladrão, a imagem parece um gato perfeito. Não há palavras estranhas ou pixels ocultos. Mas quando você a passa pelo seu decodificador secreto, ele grita "CACHORRO!", provando que o modelo é seu. Como não há "gatilho" para encontrar, o ladrão não pode auditar e removê-lo.

3. A Garantia "Certificada" (A Promessa Matemática)

A parte mais importante é a palavra Certificado.

Os autores não apenas testaram isso e esperaram que funcionasse. Eles usaram matemática pesada para provar um "raio de segurança".
Eles provaram que, desde que o ladrão não altere o cérebro do robô além de uma certa quantidade (um limite matemático específico), seu sinal secreto "Gato-como-Cachorro" não pode ser removido.
É como dizer: "Posso garantir matematicamente que, se você tentar quebrar minha fechadura com um martelo menor que 5 libras, a fechadura não abrirá."

Como Eles Testaram

Os pesquisadores testaram o Cert-LAS contra:

Danos acidentais: Como o ajuste fino do modelo em novos dados (por exemplo, ensinando-o a desenhar desenhos animados).
Ataques intencionais: Ladrões tentando apagar especificamente a marca d'água usando técnicas avançadas de hacking.

Os Resultados:

Métodos antigos: A marca d'água desaparecia rapidamente quando o modelo era ajustado ou atacado.
Cert-LAS: A marca d'água sobreviveu a quase tudo. Mesmo quando o modelo foi altamente modificado, o sinal "Gato-como-Cachorro" permaneceu forte o suficiente para provar a propriedade.
Qualidade: As imagens geradas pelo modelo com marca d'água ainda pareciam ótimas; a marca d'água não estragou a arte.

Resumo

O Cert-LAS é uma nova maneira de proteger geradores de arte de IA. Em vez de usar um código secreto frágil e fácil de identificar, ele usa um escudo inteligente e matematicamente comprovado que esconde o sinal de propriedade dentro do comportamento natural do modelo. Ele garante que, a menos que um ladrão destrua completamente a capacidade do modelo de funcionar, ele não poderá remover a prova de que o modelo pertence ao criador original.

Resumo Técnico: Cert-LAS

Declaração do Problema

Modelos de difusão texto-para-imagem (T2I) em grande escala representam ativos significativos de propriedade intelectual, mas são vulneráveis a cópia não autorizada, redistribuição e mau uso. A Verificação de Propriedade do Modelo (MOV) é crítica para proteger esses ativos. Os métodos existentes de MOV para modelos de difusão T2I baseiam-se principalmente em marcação d'água por backdoor, que incorpora gatilhos privados (por exemplo, tokens raros) para ativar comportamentos específicos de marcação d'água.

Os autores identificam duas limitações fundamentais nas abordagens atuais:

Fragilidade sob Auditoria: Os métodos existentes frequentemente assumem implicitamente um processo de verificação "fiel", onde o verificador pode consultar um modelo e obter uma resposta de marcação d'água estável. No entanto, em cenários adversariais, os gatilhos podem ser detectados e removidos. Experimentos mostram que gatilhos sintéticos são frequentemente detectáveis tanto no espaço do prompt (via incongruência contextual) quanto no espaço da imagem (via métricas de similaridade), comprometendo o sigilo.
Falta de Robustez Certificada: Os métodos atuais carecem de garantias teóricas contra perturbações de parâmetros. Experimentos demonstram que tanto perturbações aleatórias não intencionais quanto perturbações adversariais intencionalmente criadas podem degradar significativamente a confiabilidade da verificação. Embora a robustez certificada exista para classificadores em pequena escala via suavização aleatória, ela não foi adaptada com sucesso a modelos de difusão T2I devido à sua estimativa de pontuação contínua de alta dimensão e às proibições computacionais do treinamento certificado nessa escala.

Metodologia: Cert-LAS

O artigo propõe o Cert-LAS (Suavização Adaptativa por Camada Certificada), o primeiro método de MOV certificado para modelos de difusão T2I. O método opera em duas etapas:

1. Incorporação de Marca d'Água (Sem Gatilho)

Em vez de usar gatilhos explícitos, o Cert-LAS incorpora uma marca d'água treinando o gerador de difusão para induzir má classificação sob um classificador de difusão privado.

Classificador de Difusão como Portador de Marca d'Água: O método aproveita a descoberta de que modelos de difusão podem funcionar como classificadores generativos. Um classificador de difusão privado congelado é usado para definir uma distribuição posterior alvo. O gerador é treinado para produzir imagens que são mal classificadas por este classificador privado (por exemplo, gerando imagens de "gato" que o classificador identifica como "cachorro"), mantendo a fidelidade perceptual à geração original por meio de um regularizador de consistência perceptual (MS-SSIM).
Suavização Adaptativa por Camada: Para alcançar robustez certificada, o método injeta ruído nos parâmetros do modelo durante o treinamento. Crucialmente, emprega Ruído Adaptativo por Camada em vez de ruído uniforme.
- Sensibilidade de Ajuste Fino por Camada (LFS): Os autores definem um indicador LFS baseado na norma L2 média das atualizações de parâmetros durante o ajuste fino. Eles observam que certas camadas do UNet (por exemplo, blocos de normalização e atenção) são consistentemente mais sensíveis ao ajuste fino em diversos conjuntos de dados.
- Alocação de Ruído: Os níveis de ruído são alocados proporcionalmente ao LFS de cada camada. Mais ruído é concentrado em camadas "vulneráveis" para ampliar a região certificável, enquanto o orçamento total de ruído permanece equivalente às bases uniformes.
Cronograma de Crescimento Exponencial: Para tornar a otimização robusta computacionalmente tratável, adota-se um cronograma de crescimento exponencial. Isso aumenta progressivamente o número de amostras de ruído para a média de gradientes durante o treinamento, aproveitando o fato de que os gradientes iniciais do treinamento são semelhantes entre as amostras de ruído.

2. Verificação de Propriedade

A verificação é realizada examinando se um modelo suspeito exibe respostas de marca d'água significativamente mais fortes em comparação com uma referência sem marca d'água.

Estatísticas: Duas estatísticas são computadas sob suavização adaptativa por camada:
- Robustez da Marca d'Água (WR): A probabilidade empírica de que imagens do modelo suspeito sejam classificadas como a classe alvo pelo classificador de difusão privado.
- Probabilidade de Referência (RP): A mesma probabilidade para um gerador de referência sem marca d'água.
Teste de Hipótese: Um teste t de amostras emparelhadas é empregado. O modelo suspeito é verificado como derivado do modelo protegido se sua WR for significativamente maior que a RP da referência.
Garantias Certificadas: Os autores derivam um limiar de forma fechada para WR e provam um limite inferior para a lacuna entre WR e RP. Eles estabelecem um raio certificado ( $R^*$ ), garantindo que, se as perturbações de parâmetros permanecerem dentro deste raio, a verificação de propriedade terá sucesso.

Contribuições Principais

Revisão das Limitações: O artigo revela que os métodos existentes de marcação d'água baseados em backdoor sofrem de detectabilidade nos espaços de prompt/imagem e falta de robustez contra perturbações de parâmetros.
Estrutura Cert-LAS: Introduz o primeiro método de marcação d'água certificado para modelos de difusão T2I, utilizando um classificador de difusão como portador implícito e sem gatilho, e introduzindo suavização aleatória adaptativa por camada, adaptada às arquiteturas UNet.
Análise Teórica: O trabalho fornece uma análise teórica estabelecendo garantias de robustez, incluindo um limiar de verificação de forma fechada e um raio certificado sob perturbações de parâmetros limitadas.
Validação Empírica: Experimentos extensivos validam a eficácia do método, demonstrando alta fidelidade, sigilo e resistência a ataques de remoção tanto não intencionais (ajuste fino) quanto intencionais (adversariais).

Resultados Experimentais

Os autores avaliam o Cert-LAS no Stable Diffusion v1.4 contra bases como WatermarkDM e SleeperMark.

Eficácia e Sigilo: O Cert-LAS alcança uma taxa de sucesso de verificação (VSR) de 1,000 e uma Taxa de Verdadeiros Positivos a uma Taxa de Falsos Positivos de $10^{-6}$ (T@10⁻⁶F) de 1,000. Suas pontuações de sigilo (suspeitos nos espaços de prompt e imagem) são significativamente menores que os métodos baseados em backdoor (por exemplo, <0,125 vs. >93% para WatermarkDM).
Robustez ao Ajuste Fino: Em vários cenários de ajuste fino (LoRA, DreamBooth, Custom Diffusion e ajuste fino completo em diversos conjuntos de dados), o Cert-LAS mantém T@10⁻⁶F acima de 0,987, enquanto as bases frequentemente caem para 0,000 após poucos passos.
Robustez a Ataques Adversariais: Sob perturbações de parâmetros limitadas por $\ell_2$ , o Cert-LAS com suavização mantém T@10⁻⁶F acima de 0,965 mesmo com um orçamento de 0,8, onde todas as bases falham completamente.
Generalização: O método demonstra generalização em diferentes arquiteturas (SDXL, Sana-1.6B) e tarefas de classificação (diferentes pares de classes, modelos de prompt e configurações multiclasse).
Eficiência: O cronograma de crescimento exponencial reduz o tempo de treinamento em 76,6% em comparação com uma base de treinamento robusto sem cronograma.

Significado e Alegações

O artigo afirma que o Cert-LAS aborda a lacuna crítica na proteção de modelos de difusão T2I ao fornecer garantias de robustez prováveis contra ataques adaptativos, uma característica anteriormente ausente na marcação d'água de difusão. Ao mudar de incorporação baseada em gatilho para baseada em classificador e sem gatilho, e ao utilizar suavização adaptativa por camada, o método alcança um equilíbrio entre sigilo, fidelidade de geração e confiabilidade certificada.

Os autores posicionam este trabalho como um passo em direção ao compartilhamento confiável de modelos de difusão. Eles enfatizam que o método é puramente defensivo, destinado à verificação legítima por proprietários autorizados e autoridades confiáveis. Ao garantir que as marcas d'água não podem ser removidas sem degradar a utilidade do modelo (como mostrado em experimentos de compressão), o método suporta mecanismos de licenciamento executáveis e de responsabilização no ecossistema de IA generativa. O trabalho não afirma resolver todos os problemas de PI, mas fornece uma ferramenta específica e teoricamente fundamentada para verificar a propriedade na presença de modificações maliciosas limitadas.