HaloMark propõe marca d'água criptográfica para embeddings de IA compatível com o padrão de proveniência C2PA
Embeddings de modelos de fundação são hoje um ativo de dados valioso, mas a infraestrutura de proveniência de conteúdo criada para imagens e áudio (C2PA) não funciona para eles, já que quantização, projeção e fine-tuning alteram os vetores de forma rotineira e quebram qualquer hash fixo. O HaloMark resolve isso assinando um "commitment" derivado do vetor diretamente no manifesto C2PA, mantendo AUROC de detecção acima de 0,98 mesmo sob tentativas adaptativas de remoção da marca.
Diferente de imagens ou áudio, que têm uma identidade perceptual relativamente estável mesmo após compressão, embeddings gerados por modelos de fundação são transformados rotineiramente por operações normais de uso — quantização, projeção para espaços menores, fine-tuning, médias em janela — cada uma das quais altera o vetor o suficiente para quebrar qualquer hash fixo do tipo que o padrão de proveniência C2PA usa para imagens. Isso deixa um buraco real: não há hoje mecanismo prático para provar a origem ou autenticidade de um embedding específico, um ativo cada vez mais valioso e replicável.
O HaloMark ataca o problema compondo quatro primitivas: uma rotação ortogonal em blocos diagonais, um whitening público, um "commitment" do tipo LSH (locality-sensitive hashing) dependente do conteúdo do vetor, e um nonce por vetor. A mudança de protocolo central é sutil mas decisiva: em vez de o verificador recalcular esse commitment a partir do vetor recebido (o que falharia sob whitening em 62% dos casos, segundo os testes), o produtor assina o commitment diretamente no manifesto C2PA no momento da criação, e o verificador apenas lê o valor assinado — reduzindo a fragilidade do esquema a um único parâmetro escalar que os autores conseguem limitar rigorosamente para atacantes lineares e não adaptativos, e caracterizar empiricamente para o caso adaptativo.
Contra um adversário que possui múltiplos pares de vetores limpos/marcados sob a mesma chave e visibilidade total do manifesto — incluindo dez atacantes adaptativos, entre eles remoção via autoencoder de denoising — o esquema manteve AUROC de detecção igual ou acima de 0,98 nos encoders testados em profundidade, e igual ou acima de 0,965 mesmo sob remoção por autoencoder. Os onze encoders avaliados se separam claramente em torno de um limiar empírico (razão de posto efetivo sobre dimensão de aproximadamente 0,19): acima dele a detecção é consistentemente forte, abaixo dele todas as variantes testadas falham — um comportamento cuja causa os próprios autores deixam como questão em aberto.
Com overhead de verificação de 284 microssegundos e 24 bytes de manifesto por vetor, validado como filtro de admissão em um banco vetorial Qdrant, o HaloMark é uma peça de infraestrutura defensiva relevante para quem precisa provar proveniência de embeddings — por exemplo, para impedir uso não autorizado de representações vetoriais roubadas de um produto de IA, ou para rastrear vazamento de embeddings proprietários — ainda que sua eficácia dependa de o encoder de origem estar acima do limiar estrutural identificado, algo que só pode ser verificado empiricamente por encoder.