🤖 machine learning

Dynamics-Level Watermarking of Flow Matching Models with Random Codes

本文提出了一种面向流匹配模型的动态级水印技术，通过在训练过程中利用密钥依赖的扰动将信息嵌入速度场，从而在不损害生成质量的前提下实现可靠的黑盒检测。

原作者： Shuchan Wang

发布于 2026-05-18

📖 1 分钟阅读☕ 轻松阅读

原作者： Shuchan Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

以下是用通俗语言和日常类比对该论文的解读。

核心理念：将秘密隐藏在创造的“流动”中

想象你拥有一家制造定制玩具的工厂。你希望证明某个特定玩具出自你的工厂，即使有人复制了玩具的设计或试图抹去你的名字。

目前大多数方法试图通过两种方式对这些创作进行水印标记：

在最终玩具上：在成品上贴一个微小的、看不见的贴纸。（问题：如果你把玩具打磨掉或重新上色，贴纸就消失了。）
在工厂蓝图里：在工人遵循的指令中隐藏一个秘密代码。（问题：如果有人偷走蓝图并修改了几个数字，代码就会失效。）

这篇论文提出了一种更聪明的第三种方法。他们不是将秘密隐藏在玩具或蓝图中，而是将其隐藏在工厂本身的运动中。

类比：河流与船只

该论文聚焦于一种名为**流匹配（Flow Matching）**的人工智能。将这种 AI 想象成一条河流，它承载着一艘船（一个随机噪声粒子），从起点（A 点）驶向终点（B 点，即一张真实的图像，如猫或数字）。

速度场：这是河流的洋流。它告诉船只在从 A 到 B 的每一刻，究竟该以多快的速度、朝什么方向移动。
水印：研究人员没有改变目的地（最终图像），也没有改变地图（蓝图）。相反，他们在河流的洋流中加入了一个微小的、有节奏的摆动。

想象河流通常笔直流淌。研究人员让洋流在船只航行过程中像正弦波（一种平滑的滚动运动）那样来回摆动。

秘密：摆动的模式就是秘密信息。
神奇之处：因为摆动向前和向后完美抵消，船只最终到达的位置与没有摆动时完全相同。最终图像看起来完美无缺。“摆动”在最终结果中消失了，但在整个旅程中它一直存在。

工作原理（简单步骤）

1. 训练（嵌入秘密）
当 AI 学习如何绘制图像时，研究人员教导它在河流洋流中加入这种特定的“摆动”。

他们给 AI 一个秘密密钥（就像密码）。
基于该密钥，AI 学会以特定的模式摆动洋流，该模式对应一条信息（例如“此模型属于 X 公司”）。
关键在于，这种摆动被设计为在整个旅程中自我抵消。船只仍然会到达正确的位置。

2. 检测（发现秘密）
你不需要查看蓝图或最终图像就能找到秘密。你只需要问 AI：“嘿，如果我现在在河流的这个位置、这个时间点，你正把我推向哪个方向？”

检测器向 AI 提出成千上万个这样的问题（黑盒查询）。
它在答案中监听那种特定的有节奏的“摆动”。
如果 AI 拥有秘密密钥，检测器就能解码出信息。如果 AI 没有密钥，检测器听到的就只是随机噪声。

为何此法独特（五大超能力）

该论文声称，这种方法解决了其他方法面临的五大难题：

无法通过“打磨”破坏：由于秘密在于运动（动力学）而非最终图像，你无法通过编辑图像来移除它。“摆动”是图像生成过程的一部分。
兼容黑盒：你不需要查看 AI 的内部代码或权重。你只需要能够向它提问（例如使用 API）。
保持质量：因为摆动随时间推移会自我抵消，最终图像的质量与没有水印时完全一样。该论文在数字图像（MNIST）和小彩色照片（CIFAR-10）上进行了测试，质量并未下降。
需要密钥：如果你没有秘密密钥（摆动的特定模式），你就无法找到信息。这就像试图在不掌握频率的情况下收听特定的广播电台；你只能听到静电噪音。论文发现，没有密钥时，检测率并不比随机猜测更好。
可承载大量数据：它不仅仅是一个“是/否”的水印。它可以承载完整的信息（如序列号或版本 ID），因为他们使用了不同摆动模式的“代码本”。

实验结果

研究人员在两种类型的 AI 模型上测试了该方法（一种简单的模型称为 MLP，一种复杂的模型称为 UNet）。

成功率：他们能够**100%**地从带水印的模型中恢复出秘密信息。
误报：干净模型（无水印）从未被误认为是带水印的模型（0% 误报率）。
质量：生成的图像与原始图像一样好。

总结

这篇论文提出了一种方法，将秘密、不可移除且高质量的签名直接烙印在 AI 创造事物时的“运动”中。这就像教导一条河流以只有所有者能听见的秘密节奏流动，确保即使水流被倒入新的杯子，这种节奏依然保留。

技术摘要：基于随机码的流匹配模型动力学层级水印

1. 问题陈述

本文针对生成模型（特别是流匹配模型）需要稳健、可验证的归属权保护这一需求展开研究。现有的水印范式存在特定的局限性：

输出级方法将信号嵌入生成的样本中，但可通过后处理移除，且无法证明模型本身的归属权。
权重级方法将比特嵌入参数中，但需要白盒访问权限，且对微调或剪枝操作脆弱。
行为级（后门）方法支持黑盒验证，但往往引入可见的伪影、统计异常，或缺乏强加密密钥机制（一旦触发器被发现，验证即变得 trivial）。

此外，此前尚无工作将水印直接嵌入生成过程的学习连续动力学（即速度场）中。作者提出了核心问题：能否将可验证、带密钥的多比特消息直接嵌入流匹配模型的速度场中，使得检测仅需黑盒访问、生成质量得以保持，且在没有秘密密钥的情况下无法恢复？

2. 方法论

核心概念：传输动力学上的随机编码

作者将水印构建为连续信道上的随机编码。他们不修改权重或输出，而是将学习到的速度场 $v_\theta(x, t)$ 视为高维连续信道。通过向该速度场添加依赖密钥的扰动来嵌入消息。

水印信号的构建

水印信号 $s_{K,m}(x, t)$ 的构建需满足三个条件：时间上的零均值（以保持质量）、近似正交性（用于消息分离）以及能量归一化。

密钥（ $K$ ）： 由半正交投影矩阵 $P \in \mathbb{R}^{D \times k}$ 和 $\mathbb{R}^k$ 中单位向量的码本 $C = \{c_m\}$ 组成。
信号定义： 对于消息 $m$ ，信号定义为：
$s_{K,m}(x, t) = \sin(2\pi t) \cdot P c_m$
此处， $P c_m$ 将码字嵌入速度空间，而 $\sin(2\pi t)$ 充当时域载波。
零均值特性： $\sin(2\pi t)$ 在 $t \in [0, 1]$ 上的积分为零。因此，该扰动沿任何生成轨迹的积分也为零，理论上保持了生成样本的终端分布。

训练过程（嵌入）

在流匹配训练期间，模型被优化以最小化组合损失函数：

速度损失（ $L_{vel}$ ）： 将模型的速度 $v_\theta$ 回归至水印目标 $\tilde{v} = u + \epsilon_0 s_{K,m}$ ，其中 $u$ 是标准条件速度。
水印损失（ $L_{wm}$ ）： 一项正则化项，奖励模型生成这样的速度向量：其解调投影（ $\sin(2\pi t) P^T v_\theta$ ）与目标码字 $c_m$ 对齐。

理论分析表明，在此目标下的最优预测器包含 $\epsilon_0 + \lambda/2$ 的有效水印强度。

检测过程（黑盒）

检测仅需查询模型的速度场。

查询： 检测器采样 $N$ 个随机点 $(x_i, t_i)$ 并向模型查询速度 $v(x_i, t_i)$ 。
同步解调： 检测器将速度投影到潜在码空间（ $P^T v$ ），并乘以时域载波 $\sin(2\pi t_i)$ 。
平均： 对结果进行平均以估计签名 $\hat{s}$ 。
解码： 通过寻找码本中与 $\hat{s}$ 相关性最大的码字 $c_m$ 来恢复消息。

安全性与容量

安全性： 在没有秘密密钥（ $P$ 和 $C$ ）的情况下，攻击者面临在格拉斯曼流形 $Gr(k, D)$ 上的子空间搜索问题以及关于子空间基的不可识别性问题。经验表明，使用错误密钥进行检测仅能达到随机猜测的准确率。
容量： 信道容量随投影维度 $k$ 线性增长，随查询次数 $N$ 对数增长。

3. 主要贡献

动力学层级嵌入： 首个将水印直接嵌入流匹配模型连续速度场（而非权重或输出）的工作。
质量保持： 设计了一种在轨迹上积分为零的扰动，确保生成的分布在统计上与未水印版本不可区分。
密钥安全性： 实施了一种方案，其中检测和消息恢复严格需要秘密密钥（投影矩阵和码本）；若无密钥，准确率将降至随机猜测水平。
多比特容量： 利用码本构建支持多比特消息（超越二进制验证），从而支持所有者识别和叛徒追踪等应用。
实证验证： 在 MNIST 和 CIFAR-10 数据集上，使用 MLP 和 UNet 架构验证了该方法。

4. 实验结果

作者在各种设置下（MNIST/CIFAR-10、MLP/UNet、不同训练步数）评估了该方法。

检测准确率： 水印模型在所有测试配置中均实现了100% 的消息恢复。干净模型（未水印）的误报率为 0%（或在一种特定情况下为 2.5%，低于 3.1% 的随机猜测基线）。
密钥安全性： 使用随机投影矩阵（错误密钥）的攻击导致 50 次尝试中 0 次正确恢复，与随机猜测率一致。
统计分离： 水印模型与干净模型签名之间的分离显著，最小分离度超过 8.4 $\sigma$ （在某些设置中高达 25.5 $\sigma$ ）。
质量保持： 水印模型与干净模型之间的 Fréchet Inception Distance (FID) 比率保持在 1.0 $\times$ 附近（范围从 0.95 $\times$ 到 1.10 $\times$ ）。在某些情况下，水印模型显示出略低的 FID，这归因于随机训练变异而非水印本身。
持久性： 将训练扩展至 10,000 步并未降低水印恢复效果。

5. 意义与主张

本文主张，动力学层级水印为以下方面提供了稳健的基础：

模型归属权验证： 通过黑盒查询证明部署模型的归属权。
叛徒追踪： 识别分发给不同客户的具体模型副本。
监管合规： 验证生成模型的来源。

作者强调，他们的方法将学习到的速度场视为连续通信信道，这一视角在水印之外也可能具有实用价值。他们明确指出，虽然该方法显示出前景，但部署规模的评估以及对信道容量的严格有限样本分析留待未来工作。本文并未声称解决所有生成模型家族的水印问题，而是具体展示了其在流匹配框架内的有效性。