💻 computer science

Lossless Copyright Protection via Intrinsic Model Fingerprinting

TrajPrint 是一个完全无损且无需训练的框架，它通过确定性轨迹追踪和双端锚定噪声合成来提取独特的流形指纹，从而验证黑盒扩散模型的版权，在不损害模型性能的情况下实现鲁棒的水印恢复。

原作者： Lingxiao Chen, Liqin Wang, Wei Lu, Xiangyang Luo

发布于 2026-01-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Lingxiao Chen, Liqin Wang, Wei Lu, Xiangyang Luo

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你拥有一台非常特别的高科技 3D 打印机。这台打印机不仅仅是制造塑料，它能从纯粹的随机静态噪声中创造出极其细腻、美丽的图像。因为这台打印机非常珍贵，所以你想确保没有人会偷走它，或者在未经你许可的情况下进行复制。

问题在于，如果你试图在生成的图像上印上可见的“某某财产”印章，图片看起来会变得很难看。如果你试图修改打印机的内部齿轮来隐藏一段秘密代码，打印机可能会损坏或导致生成的图像质量变差。此外，如果别人拥有一个“黑盒”版本的打印机（即你无法看到其内部构造），你也无法检查那是否是你的打印机。

这篇论文介绍了一种名为 TrajPrint 的新方法来解决这个问题。你可以把它想象成一把魔法钥匙，它能在不触碰或改变打印机本身的情况下证明所有权。

以下是它的工作原理，我们使用简单的类比来解释：

1. “隐形路径”（核心思想）

想象你的打印机不仅仅是吐出一张图像；它还遵循着一条非常特定的、蜿蜒曲折的路径，穿过一片大雾弥漫的山脉，最终到达目的地。尽管这条路径是隐形的，但你的特定打印机在创作一张特定的图片时，总是会走完全相同的路径。另一台打印机（即使看起来一模一样）也会在到达同一个点时，走上一条略有不同的、颠簸的路径。

作者们意识到，这个“徒步路径”就是打印机独特的指纹。

2. “魔法钥匙”的创造（如何制作证明）

为了证明打印机是你的，你需要一把特殊的“钥匙”（一段特定的静态噪声），它能迫使你的打印机走那条完全相同的、独特的路径。

步骤 A：锚点。 你从一张想要保护的图片开始，但在其中隐藏了一条秘密信息（就像数字水印一样）。
步骤 B：倒带电影。 你使用一种特殊的工具，将图片“倒带”回到最开始的静态噪声状态。这会告诉你路径是从哪里开始的。
步骤 C：微调钥匙。 因为“倒带”并不完美，所以你会取那个起点并对其进行轻微的调整。你通过询问打印机的方式来进行：“如果我给你这段噪声，你能做出带有这条秘密信息的图片吗？”你会不断地调整噪声，直到打印机回答：“是的，我可以完美地做出那张图片。”

这最后得到的这部分噪声就是你的魔法钥匙。它被完美地调校到了你打印机独特的“徒步路径”上。

3. “锁与钥匙”测试（验证）

现在，假设有一个嫌疑人拥有一台打印机，并声称那是他的。你想检查那是否真的是你被盗的打印机。

你把魔法钥匙（那段特定的噪声）交给嫌疑人。
如果是你的打印机： 它能立即识别出这条路径。它会走过那条完全相同的路径，然后那张带有秘密信息的图片就出来了。你解码这条信息，然后说：“啊哈！是我的！”
如果是不同的打印机： 魔法钥匙无法匹配它的路径。打印机试图行走这条路径却在迷雾中迷失了方向。它产生了一张混乱、杂乱无章的图片，且秘密信息完全丢失了。你就说：“不，这不是我的。”

为什么这很特别？

论文强调了这种方法的三个超能力：

零损伤（无损）： 你不需要改变打印机的齿轮，也不需要安装新的软件。打印机的工作方式与之前完全一致。这个“钥匙”只是一个输入数据，而不是一种修改。
对“黑盒”友好： 你不需要看到嫌疑人打印机的内部构造。你只需把噪声交给他们，让他们运行，然后把图片还给你。你不需要知道他们的内部秘密。
隐蔽且强大： 即使小偷试图“微调”他们的打印机（比如改变其风格或压缩其内存），魔法钥匙仍然有效。它锁定的是打印机思考的基础方式，而不仅仅是它的表面设置。

缺陷（局限性）

论文指出了一个小小的局限性：要使用这个“魔法钥匙”，打印机必须允许你输入特定的起始噪声。一些公开的网站（API）可能不允许你这样做；它们可能只允许你输入文本提示。如果打印机不接受你的自定义噪声，那么这种方法就无法在该特定平台上使用。

总而言之： TrajPrint 就像是找到了一条只有你的特定 3D 打印机才能走过的独特、隐形的路径。通过创造一个起始点来迫使打印机走这条路径，你可以在不破坏打印机或无需了解其内部构造的情况下，瞬间证明所有权。

技术摘要：TrajPrint —— 基于内在模型指纹的无损版权保护

问题陈述

扩散模型由于其训练过程中所需的大量计算资源和数据，已成为高价值的知识产权。然而，模型权重的开源特性以及蒸馏技术的普及，使得这些模型容易受到未经授权的复制和挪用。现有的版权保护策略面临显著的权衡：

推理干预： 在去噪循环中注入信号的方法（如 Tree-Ring、Gaussian Shading）往往会破坏自然的扩散轨迹，引入伪影并限制生成多样性。
模型微调： 通过修改模型参数来嵌入水印的方法（如 Stable Signature、SleeperMark）会增加训练成本，并偏离预训练的最优分布，从而损害生成性能。
黑盒不兼容性： 许多现有的指纹识别方法需要对中间去噪步骤进行细粒度干预，这使得它们无法兼容仅能访问原子推理（输入-输出）的黑盒 API。

此外，当前的方法通常缺乏严格的统计标准，无法为可靠的验证提供可量化的证据。

方法论：TrajPrint

作者提出了 TrajPrint，这是一个完全无损且无需训练的框架，通过提取在确定性生成过程中形成的独特流形指纹来验证模型版权。其核心洞察在于：扩散模型的确定性生成过程构成了一个独特的高维流形映射，可作为一种内在身份标识。

该框架分为两个主要阶段运行：

1. 指纹噪声生成

目标是构建一个特定的指纹噪声 $z^*$ ，使其作为目标模型 $G_\theta$ 的唯一触发器。

水印锚点： 在载体图像中嵌入一个离散的二进制版权信息，以创建一个“水印锚点” ( $I_w$ )。
轨迹反转： 使用确定性 DDIM 反转，将锚点映射回其潜在噪声源 ( $x_T$ )。这一步通过追踪从图像域到噪声域的路径，锁定了模型的内在生成行为。
联合优化： 为了减轻反转带来的离散化误差并增强特异性，采用了一种联合优化策略来合成最终的指纹噪声 $z^*$ $z^{*}$ 。该策略采用了双端锚定（Dual-end Anchoring）：
- 感知流形对齐（输出端）： 重建损失 ( $L_{rec}$ ) 强制执行语义一致性，确保生成的图像与水印锚点 $I_w$ 对齐。这迫使优化过程去发现与目标模型唯一去噪路径相匹配的噪声。
- 潜在轨迹正则化（输入端）： 正则化损失 ( $L_{reg}$ ) 将优化的噪声 $z^*$ 约束在轨迹原点 $x_T$ 的局部邻域内。这防止了生成可在不同模型间迁移的通用对抗扰动。
- 水印恢复： 水印恢复损失 ( $L_w$ ) 指导优化过程，确保嵌入的信息能够被成功提取。

总损失函数是上述目标的加权和，仅在潜在输入 $z$ 上进行优化，同时保持模型参数冻结。

2. 验证

在验证阶段，防御者使用优化的指纹噪声 $z^*$ 向可疑的黑盒模型发起查询。

原子推理： 该过程仅需标准的输入-输出交互，使其兼容封装好的 API。
统计检验： 将提取出的水印信息与原始信息进行比较。计算比特准确率 (BA)，并针对零假设（随机猜测， $\mu=0.5$ ）进行单样本 t 检验。具有统计学意义的 p 值可为侵权行为提供可靠的证据。

核心贡献

无损且无需训练的验证： TrajPrint 通过提取内在模型指纹进行验证，无需修改模型权重或架构，确保生成质量零下降。
黑盒兼容性： 通过依赖原子推理和确定性轨迹反转，该方法适用于中间状态不可访问的场景，这与以往的指纹技术不同。
流形特定指纹： 该方法通过轨迹回溯，将独特的生成流形映射到特定的指纹噪声，从而构建了一个触发器-验证对，有效防止了在非目标模型上的误报。
统计严谨性： 该框架引入了统计假设检验协议，以提供可量化、具备法律效力的侵权证据。

实验结果

研究人员在多种潜在扩散模型（Stable Diffusion v1.5, v2.1, XL, DeciDiffusion, 和 Pixart- $\alpha$ ）以及各种攻击场景下进行了广泛实验。

特异性： TrajPrint 在目标模型上的比特准确率 (BA) 超过 0.96，且 p 值 $< 10^{-3}$ 。在跨模型验证中，准确率降至约 0.55（随机概率），证明了其缺乏可迁移性，从而有效防止了错误指控。相比之下，使用随机噪声优化的基准方法表现出较高的跨模型迁移性 (BA $\sim$ 0.7)，会导致误报。
鲁棒性： 该方法在以下场景中表现出卓越的韧性：
- 参数微调： 即使经过 LoRA 和 DreamBooth 微调（高达 5000 步），仍保持高 BA（ $> 0.91$ ）。
- 量化： 在 FP16 和 BFloat16 精度下表现稳健 (BA $> 0.95$ )。
- 剪枝： 在高达 10% 稀疏度的非结构化幅度剪枝下依然有效 (BA $> 0.8$ )。
消融实验： 移除双端锚定约束会导致跨模型准确率激增（ $\sim 0.7$ ），证实了轨迹锚定对于特异性的必要性。该方法在不同的确定性采样器和采样步数（20–100）下保持稳定，并支持高达 128 位的水印负载。

意义与局限性

论文声称 TrajPrint 为模型所有者无法访问内部参数或修改模型权重的真实环境提供了一种实用的版权验证方案。其通过原子推理进行操作的能力，使其特别适用于验证以黑盒 API 形式部署的模型。

局限性：
作者指出一个特定的约束：目标环境必须支持自定义初始噪声注入（例如，通过 ComfyUI 或 Stable Diffusion WebUI 等界面）。因此，对于不接受初始噪声作为直接输入参数的 API 场景，该方法可能并不适用。