Resumo Técnico: FedOT - Verificação de Propriedade e Rastreamento de Vazamento via Marcas d'Água para FedLDMs

1. Definição do Problema

O artigo aborda a vulnerabilidade crítica de Modelos de Difusão Latente Federados (FedLDMs) em relação à proteção de propriedade intelectual (PI). Embora o Aprendizado Federado (FL) preserve a privacidade dos dados mantendo os dados brutos locais, ele exige o compartilhamento de atualizações globais do modelo, expondo a arquitetura do modelo a clientes maliciosos. Esses clientes podem distribuir ou revender os modelos ajustados (fine-tuned) sem autorização.

As soluções existentes enfrentam duas limitações fundamentais quando aplicadas a FedLDMs:

1. Falta de Rastreabilidade: Os métodos atuais podem verificar se um modelo pertence a um grupo federado (verificação de propriedade), mas não conseguem identificar o cliente malicioso específico responsável pelo vazamento.
2. Vulnerabilidade a Ataques de Substituição: As técnicas de marca d'ág가 baseadas em VAE padrão são frágeis em FL. Como os clientes normalmente apenas atualizam os parâmetros da U-Net enquanto o Autoencoder Variacional (VAE) permanece congelado, um cliente malicioso pode simplesmente substituir o decodificador VAE com marca d'água por um equivalente de código aberto e limpo. Isso remove a marca d'água sem degradar a qualidade da geração de imagens, tornando a proteção ineficaz.

2. Metodologia: Estrutura FedOT

Os autores propõem o FedOT, o primeiro framework projetado para permitir simultaneamente a verificação de propriedade e o rastreamento de vazamento para FedLDMs. O framework consiste em dois componentes principais: um mecanismo de Marca d'Água Fragmentada (Chunked Watermark) e a Transformação de Vetor Latente (LVT).

2.1 Design da Marca d'Água Fragmentada

Para resolver a lacuna de rastreabilidade, o FedOT emprega uma marca d'água binária de comprimento $n$ bits, dividida em dois segmentos distintos incorporados ao decodificador VAE de cada modelo de cliente:

• Segmento de Propriedade ($r$ bits): Um prefixo compartilhado usado para verificar se um modelo vazado se origina do grupo federado.
• Segmento de Rastreamento ($n-r$ bits): Um sufixo único atribuído a cada cliente específico.

Fluxo de Trabalho:

1. Verificação: Se os primeiros $r$ bits da marca d'água extraída coincidirem com o prefixo do grupo (acima de um limiar $\tau$), a propriedade é confirmada.
2. Rastreamento: Somente após a verificação bem-sucedida da propriedade é que o sistema analisa os $n-r$ bits restantes para identificar o índice do cliente $j$ específico responsável pelo vazamento. Este processo de dois estágios melhora a eficiência em implantações de larga escala.

2.2 Transformação de Vetor Latente (LVT)

Para combater o ataque de substituição de VAE, o FedOT introduz a LVT, que cria uma forte dependência entre o VAE e a U-Net. A ideia central é que a U-Net em LDMs se adapta à distribuição latente específica produzida pelo codificador VAE durante o treinamento. Ao modificar essa distribuição, a U-Net torna-se "vinculada" ao VAE específico.

Processo de Treinamento LVT (Dois Estágios):

1. Estágio I (Treinamento do Codificador): O servidor ajusta o codificador VAE para aprender uma transformação específica $T$ aplicada ao vetor latente $z$. O decodificador é fixo. O codificador aprende a mapear imagens de entrada para um espaço latente transformado $z' = T(z)$.
2. Estágio II (Treinamento do Decodificador): O codificador é congelado. O decodificador é ajustado para reconstruir imagens a partir do espaço latente transformado $z^*$, efetivamente aprendendo a transformação inversa $T^{-1}$.

Estratégias de Transformação:
O artigo explora três estratégias determinísticas para deslocar a distribuição latente:

• Translação ($FedOT_{tran}$): Adiciona um vetor constante $c$ ao espaço latente ($z' = z + c$).
• Espelhamento ($FedOT_{mir}$): Inverte o vetor latente ($z' = -z$).
• Negativo ($FedOT_{neg}$): Aplica inversão pixel a pixel na imagem de entrada ($x^- = 1-x$) antes da codificação, forçando o espaço latente a se adaptar a este manifold invertido.

Mecanismo de Segurança:
Se um cliente malicioso substituir o VAE com marca d'água por um VAE limpo, a U-Net (treinada na distribuição transformada) receberá entradas de um espaço latente incompatível. Isso causa uma degradação severa na qualidade da síntese de imagem, tornando o modelo roubado inutilizável e dissuadindo o ataque de substituição.

3. Principais Contribuições

O artigo reivindica as seguintes contribuições:

1. Primeiro Framework para FedLDMs: O FedOT é o primeiro sistema que permite tanto a verificação de propriedade quanto o rastreamento de vazamento de clientes específicos para Modelos de Difusão Latente Federados.
2. Vinculação Robusta de Componentes: O LVT proposto estabelece uma dependência forte entre o VAE e a U-Net. Ele garante que a remoção da marca d'água via substituição de VAE resulte em degradação significativa da qualidade da imagem, neutralizando efetivamente ataques de substituição de custo zero.
3. Avaliação Abrangente: Os autores fornecem experimentos extensos contra vários ataques, incluindo substituição de VAE, purificação de modelo (ajuste fino em dados limpos) e ataques baseados em imagem, demonstrando a confiabilidade do framework.

4. Resultados Experimentais

Os experimentos foram conduzidos usando Stable Diffusion v2.1 com os conjuntos de dados COCO2017 (para treinamento LVT/marca d'água) e LAION-10K (para ajuste fino federado).

• Defesa Contra Ataques de Substituição:
  • Métodos de linha de base (Stable Signature* e FedOT sem LVT) mostraram quase nenhuma degradação na qualidade da imagem (FID) após a substituição do VAE, e as marcas d'água eram indetectáveis.
  • FedOT com LVT: Todas as variantes LVT causaram aumentos significativos no FID (degradação de qualidade) após a substituição.
    • $FedOT_{neg}$ mostrou o melhor equilíbrio: o FID aumentou em cerca de 20 pontos (de ~20.3 para ~40.5), mantendo alta qualidade de geração no estado limpo.
    • $FedOT_{mir}$ causou a interrupção semântica mais severa (queda de CLIP-Score de -0.064), tornando o conteúdo gerado praticamente inutilizável.
• Desempenho de Propriedade e Rastreamento:
  • O FedOT alcançou altas taxas de detecção (>0.96) e precisão de bits (>0.94) tanto para verificação de propriedade quanto para rastreamento de cliente.
  • O design de marca d'água fragmentada permitiu o rastreamento eficiente apenas quando necessário.
• Robustez:
  • Ataques de Purificação: O ajuste fino do modelo em dados limpos por 300 épocas falhou em remover a marca d'água sem degradar a qualidade da imagem (o FID aumentou significativamente).
  • Condições Federadas: O desempenho permaneceu estável através de diferentes números de clientes (5, 10, 20) e distribuições de dados não-i.i.d. (Dirichlet $\alpha$).

5. Significância e Alegações

O artigo posiciona o FedOT como uma evolução necessária para proteger a IA generativa dentro de ambientes federados que preservam a privacidade. Os autores afirmam que:

• As soluções de marca d'água de FL existentes são insuficientes para modelos generativos complexos como LDMs devido a diferenças arquiteturais e à vulnerabilidade específica de VAEs congelados.
• O trade-off introduzido pelo LVT é um recurso de segurança deliberado e eficaz: o custo de remover a marca d'água é a destruição da utilidade do modelo. Isso torna o ataque impraticável para atores maliciosos.
• O framework preenche uma lacuna crítica na literatura ao ir além da simples verificação de propriedade para o rastreamento de origem, permitindo que grupos federados identifiquem e responsabilizem o cliente específico responsável pelo vazamento do modelo.

Os autores concluem que o FedOT fornece um mecanismo confiável para assegurar os FedLDMs, garantindo que os direitos de propriedade intelectual sejam mantidos mesmo em ambientes de treinamento descentralizados.