Trasferibilità residua nelle filigrane neurali per immagini

Abstract degli autori

Le filigrane neurali nelle immagini possono essere contraffatte estraendo da immagini diffuse i residui che contengono la filigrana e trasferendoli a contenuti non correlati. Sebbene studi precedenti abbiano dimostrato questa vulnerabilità, resta poco chiaro che cosa renda trasferibili tali residui. Formalizziamo questa vulnerabilità con la \textbf{residual transferability (RT)}, una metrica che quantifica quanto le tracce della filigrana rimangano decodificabili dopo il trasferimento tra immagini non correlate. Attraverso analisi comparative e interventi controllati, riscontriamo che le comuni variazioni nella fase di addestramento non spiegano le ampie differenze di RT tra i sistemi di filigranatura; è invece la progettazione dell’architettura a svolgere un ruolo centrale. Confrontando sistemi ad alta e bassa RT e verificando le differenze tra le loro architetture mediante interventi controllati, individuiamo due meccanismi che rafforzano la dipendenza delle tracce della filigrana dall’immagine di copertura, sopprimendo così la trasferibilità residua. Questi risultati offrono indicazioni concrete per progettare architetture di filigranatura più resistenti alla contraffazione. Per i sistemi di filigranatura esistenti, nei quali riprogettare l’architettura è poco pratico, introduciamo inoltre \textbf{CoverLock}, una strategia plug-and-play che rafforza questa dipendenza dall’immagine senza richiedere una riprogettazione dell’architettura. Nei sistemi di filigranatura rappresentativi che presentano un’elevata trasferibilità residua, CoverLock ottiene un compromesso tra sicurezza e robustezza più favorevole rispetto sia alle difese tradizionali progettate a mano sia a quelle basate su classificatori addestrati.