GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures

Resumo Técnico de GoodDiffusion

Declaração do Problema
O artigo aborda o desafio crítico de desenvolver um mecanismo de proteção de direitos autorais (CP) proativo para modelos de ponte de difusão (DBMs), especificamente para tarefas de Imagem-para-Imagem (I2I). As defesas existentes são amplamente post-hoc (ex: marcas d'água e fingerprinting), que apenas fornecem evidências de uso não autorizado após a geração ter ocorrido, ou estratégias de apenas degradação (ex: PCDiff), que reduzem a qualidade da saída, mas falham em impedir completamente a geração não autorizada. Os autores argumentam que esses métodos são insuficientes para implantações no mundo real, onde derivados não autorizados podem se espalhar antes da detecção. O problema central é projetar um mecanismo que impeça completamente a geração não autorizada no nível do modelo, mantendo uma saída de alta qualidade para usuários autorizados, mesmo em um cenário de caixa branca (white-box), onde um adversário tem acesso total aos parâmetros e à arquitetura do modelo.

Metodologia: GoodDiffusion
O framework proposto, GoodDiffusion, é inspirado em mecanismos de backdoor, mas inverte seu objetivo: em vez de forçar saídas incorretas com um gatilho, ele força saídas de alta qualidade apenas quando uma assinatura válida está presente.

1. Mecanismo Central (Backdoor para o Bem):
   O método treina o DBM para exibir dois comportamentos distintos baseados na entrada:

   • Trajetória Autorizada: Se a entrada contiver uma assinatura válida, o modelo segue uma ponte de difusão para gerar imagens alvo de alta qualidade.
   • Trajetória Não Autorizada: Se a entrada estiver "limpa" (faltando uma assinatura válida), o modelo é direcionado para gerar uma imagem de aviso predefinida (ex: uma imagem com texto de aviso), efetivamente interrompendo o uso não autorizado.

2. Implementação Ingênua (Assinaturas Estáticas):
   Inicialmente, os autores exploram uma abordagem ingênua usando um padrão de perturbação fixo (assinatura estática $k$) injetado na entrada. O modelo é treinado em uma mistura de entradas autorizadas ($x_1 + k$) e entradas não autorizadas ($x_1$) mapeadas para um alvo de aviso.

   • Vulnerabilidade: O artigo demonstra teoricamente (Teorema 4.1) que assinaturas estáticas são fundamentalmente frágeis em cenários de caixa branca. Um adversário com acesso ao modelo pode recuperar eficientemente uma assinatura substituta (surrogate signature) ($N^*$) via otimização baseada em gradiente que mimetiza o efeito da assinatura original, contornando assim a proteção.

3. Solução Proposta (Rede de Assinatura Aprendível - LSN):
   Para abordar a vulnerabilidade das assinaturas estáticas, o GoodDiffusion introduz Assinaturas Específicas por Amostra.

   • Arquitetura: Uma Rede de Assinatura Aprendível (LSN), denotada por $g_\phi(\cdot)$, é treinada para gerar uma assinatura única $k(x_1)$ condicionada a cada entrada específica $x_1$.
   • Injeção: A entrada autorizada é formada como $\tilde{x}_1 = \gamma \cdot x_1 + (1-\gamma) \cdot k(x_1)$, misturando a informação semântica original com a assinatura dinâmica.
   • Lógica de Segurança: Diferente das assinaturas estáticas, que representam um deslocamento de vetor fixo no espaço de pixels, as assinaturas específicas por amostra criam um variedade (manifold) de imagem deformada não linearmente. Este design quebra a "universalidade" da assinatura; uma assinatura substituta recuperada para uma entrada não pode ser transferida para outra. Consequentemente, mesmo que um adversário recupere uma assinatura para uma amostra específica, ela falha em generalizar para outras entradas, impedindo o contorno do mecanismo de proteção.

Principais Contribuições

• Controle Proativo no Nível do Modelo: O GoodDiffusion é apresentado como um primeiro passo para mudar a proteção de direitos autorais da análise post-hoc de saída para a prevenção internalizada, no nível do modelo. Ele impõe uma política de "Sem Bilhete, Sem Viagem", onde usuários não autorizados recebem apenas uma imagem de aviso.
• Insight Teórico sobre Assinaturas Estáticas: O artigo fornece uma prova teórica de que designs de assinaturas estáticas ingênuos são vulneráveis à recuperação de substitutos baseada em gradiente em configurações de caixa branca, destacando a necessidade de designs dinâmicos e dependentes da entrada.
• Rede de Assinatura Aprendível (LSN): A introdução da LSN para gerar assinaturas dependentes da entrada, o que mitiga efetivamente a transferibilidade de assinaturas substitutas e aumenta a segurança contra adversários de caixa branca.
• Avaliação Abrangente: Experimentos extensos em CelebA e ImageNet através de três tarefas de I2I (Super-Resolução, Inpainting, Desfoque/Deblurring) usando vários DBMs (DDBM, I2SB, DBIM).

Resultados Experimentais

• Efetividade da Proteção: O GoodDiffusion alcança uma Taxa de Abuso (AR) de quase 0% (ex: < 0,06% no CelebA) para entradas não autorizadas, o que significa que o modelo recusa com sucesso a geração de imagens alvo de alta qualidade sem assinaturas válidas. Em contraste, quando um adversário tenta usar uma assinatura substituta recuperada no design estático, a AR sobe para ~98%, confirmando a vulnerabilidade das assinaturas estáticas.
• Qualidade de Geração: Para usuários autorizados (com assinatura válida), o modelo mantém uma qualidade de geração satisfatória. Embora haja uma leve queda de desempenho em comparação com as linhas de base não protegidas (medida por FID, PSNR e SSIM), os resultados permanecem competitivos. Por exemplo, na Super-Resolução no CelebA com DDBM-VP, o SSIM supera ligeiramente a linha de base.
• Taxa de Erro: A Taxa de Erro (ER) — a fração de solicitações autorizadas incorretamente bloqueadas — é mantida muito baixa (ex: 0,06% a 0,25%), indicando alta confiabilidade para usuários legítimos.
• Validação de Segurança: Experimentos simulando ataques de caixa branca mostram que, enquanto as assinaturas estáticas são facilmente contornadas por substitutos recuperados, o design de assinatura específica por amostra resulta em baixa qualidade de geração (alto FID, baixo PSNR) mesmo quando um adversário tenta otimizar um substituto, confirmando a falta de um substituto universal.

Significância e Alegações
O artigo afirma que o GoodDiffusion oferece uma solução prática e proativa para o roubo de modelos que complementa as proteções existentes em nível de software (como autenticação). Ao separar a implantação do modelo do serviço de assinatura (mantido pelo proprietário), o método garante que, mesmo que um modelo seja roubado e o ladrão tenha acesso total de caixa branca, ele não poderá utilizá-lo para geração de alta qualidade sem as assinaturas dinâmicas. Os autores posicionam este trabalho como um passo significativo para o avanço da segurança dos modelos de difusão como propriedades intelectuais valiosas, indo além da detecção passiva para a prevenção ativa de inferência não autorizada. O código é disponibilizado para facilitar pesquisas futuras nesta área.