Pesquisadores usam "colapso de geração" para identificar cópias não autorizadas de modelos de difusão texto-para-imagem
O trabalho explora um fenômeno em que certas condições de entrada fazem um modelo de difusão gerar imagens quase idênticas mesmo variando a semente aleatória — um comportamento intrínseco e específico de cada modelo, usado como impressão digital para provar propriedade sem inserir marca d'água nenhuma. A técnica funciona tanto com acesso total ao pipeline quanto apenas via API pública, e se mantém confiável mesmo em versões fine-tunadas ou sob tentativas de ofuscação.
O contexto de negócio é direto: modelos de difusão texto-para-imagem proprietários hoje são distribuídos tanto como serviço hospedado (API) quanto como checkpoint para download, e disputas sobre vazamento, cópia não autorizada ou fine-tuning derivado sem licença já são uma preocupação real de propriedade intelectual para quem treina esses modelos com custo alto. A abordagem tradicional para provar propriedade é inserir uma marca d'água ativa durante o treinamento ou geração, mas isso exige controle sobre o pipeline de treino desde o início e pode ser removida ou evadida se o atacante souber que existe.
A proposta deste artigo evita marca d'água inteiramente, explorando um efeito colateral natural do processo generativo: para certas condições de entrada, o modelo produz imagens quase idênticas independentemente da semente estocástica usada, um "colapso" de diversidade que os autores demonstram ser uma propriedade intrínseca e específica de cada modelo treinado, não um artefato genérico da arquitetura de difusão. Como esse comportamento emerge organicamente do processo de aprendizado, não precisa ser inserido deliberadamente — só precisa ser descoberto e catalogado para o modelo de referência antes da disputa de propriedade surgir.
O método funciona em dois regimes de acesso realistas: no cenário white-box, com acesso ao pipeline completo, embeddings contínuos otimizados podem ser injetados diretamente no processo de geração para maximizar a confiança da verificação; no cenário black-box, mais relevante na prática porque é o que qualquer verificador externo teria contra um serviço suspeito, apenas prompts em linguagem natural são enviados pela interface pública da API, e a verificação compara se o modelo suspeito reproduz o mesmo comportamento de colapso do modelo original sob as mesmas condições. Os experimentos mostram que essas assinaturas continuam detectáveis mesmo em derivados fine-tunados do modelo original e sob tentativas comuns de ofuscação em nível de modelo ou de consulta.
A relevância prática para segurança de sistemas de IA está em fornecer, pela primeira vez de forma não invasiva, uma ferramenta de verificação de propriedade que funciona contra o cenário mais comum de disputa: um serviço de terceiros que pode ter copiado, vazado ou feito fine-tuning não autorizado de um modelo proprietário sem que o dono do modelo original tenha qualquer acesso interno ao serviço suspeito. Isso é relevante tanto para quem defende a propriedade intelectual de modelos caros de treinar quanto, no sentido inverso, como um lembrete de que comportamentos "acidentais" de um modelo podem vazar informação suficiente para reidentificá-lo — uma forma de fingerprinting que se soma a outras técnicas de extração de informação sobre o histórico de treino de modelos de IA.