ملخص تقني: العلامات المائية التوجيهية لنماذج الانتشار (Guidance Watermarking for Diffusion Models)

بيان المشكلة

أتاح التقدم السريع في نماذج الانتشار (Diffusion Models) توليد صور عالية الجودة وواقعية، مما أثار مخاوف كبيرة بشأن إمكانية تتبع وتحديد المحتوى المُنشأ بواسطة الذكاء الاصطناعي. تتطلب الهيئات التنظيمية وأصحاب المصلحة في الصناعة آليات قوية للتمييز بين الوسائط الاصطناعية والصور الحقيقية لمنع انهيار النموذج (الناتج عن التدريب على بيانات مُنشأة بالذكاء الاصطناعي) ولتحذير المستخدمين من المحتوى غير الحقيقي.

تندرج استراتيجيات العلامات المائية الموجودة لنماذج الانتشار عموماً تحت فئتين، كلتاهما تعاني من قيود:

1. العلامات المائية اللاحقة (Post-hoc Watermarking): دمج إشارة في الصورة بعد توليدها. ورغم نضج هذه الطرق، إلا أنها تعامل الصورة المُنشأة كـ "مضيف" وغالباً ما تفشل في دمج العلامة المائية في المحتوى الدلالي لعملية التوليد، مما قد يحد من المتانة.
2. العلامات المائية أثناء التوليد (In-Generation Watermarking): تعديل عملية التوليد نفسها. وتشمل الأساليب الحالية:
   • الأساليب القائمة على البذور (مثل Tree-Rings و Gaussian Shading): دمج أنماط في بذور الضجيج الأولية. غالباً ما تعاني هذه الأساليب أمام الهجمات الهندسية (مثل القص والتدوير)، وقد تغير المحتوى الدلالي أو التكوين للصورة.
   • الأساليب القائمة على VAE (مثل Stable Signature): ضبط المشفر التلقائي التبايني (VAE) في نهاية عملية الانتشار. ورغم فعاليتها، إلا أنها تركز طاقة العلامة المائية على التفاصيل عالية التردد، مما يجعلها عرضة لمرشحات التمرير المنخفض (مثل ضغط JPEG). علاوة على ذلك، تتطلب إعادة تدريب أو ضبط دقيق للنموذج.

لا يزال هناك تحدٍ حاسم: تحويل مخططات العلامات المائية اللاحقة القوية إلى أساليب تعمل أثناء التوليد دون الحاجة لإعادة تدريب نموذج الانتشار أو فك تشفير العلامة المائية، مع الحفاظ على جودة الصورة وتنوعها.

المنهجية

تقترح الورقة البحثية العلامات المائية التوجيهية (Guidance Watermarking)، وهي طريقة تدمج العلامات المائية أثناء عملية الانتشار عن طريق توجيه مسار أخذ العينات باستخدام تدرجات (gradients) من فك تشفير علامة مائية جاهز للاستخدام.

الآلية الأساسية

تعامل هذه الطريقة فك تشفير العلامة المائية كمصنف قابل للتفاضل (differentiable classifier). فبدلاً من توليد صورة ثم التحقق من وجود العلامة المائية، يتم توجيه عملية الانتشار لتوليد صور يتعرف عليها فك التشفير داخلياً كصور تحمل علامة مائية.

1. التوجيه القائم على التدرج (Gradient-Based Guidance):
   يتم تعديل خطوة إزالة الضجيج القياسية $\epsilon_\theta(z_t, t)$ عن طريق طرح حد يتناسب مع تدرج دالة الخسارة $L$ بالنسبة للكمون (latent) $z_t$:
   $$\hat{\epsilon}(z_t, t) := \epsilon_\theta(z_t, t) - \omega \sqrt{1 - \bar{\alpha}_t} \nabla_{z_t} \log L(z_t)$$
   حيث يتحكم $\omega$ في قوة التوجيه.

2. دالة الخسارة (Loss Function):
   تُعرف الخسارة $L$ لتقليل الزاوية بين متجه الميزات المستخرج من الصورة المُنشأة $\phi(x_0(z_t))$ ومتجه العلامة المائية السري $u_m$. وبالنسبة للكشف عن البت الصفر (zero-bit detection)، فإن هذا يعادل تعظيم تشابه جيب التمام (cosine similarity):
   $$L(z_t, u_m) := 1 - \cos(\phi(x_0(z_t)), u_m)$$
   إن تقليل هذه الخسارة يقلل من قيمة p-value للصورة التي تحمل علامة مائية، مما يزيد من احتمالية الكشف.

3. المتانة عبر التعزيز (Robustness via Augmentation):
   لضمان المتانة ضد الهجمات التي لم يتم تدريب فك التشفير عليها، يتضمن حساب التدرج مجموعة من التحويلات الصورية $\mathcal{T}$ (مثل ضغط JPEG، وتعديلات السطوع/التباين، والقص). ويتم تجميع التدرجات من هذه المشاهد المعززة (باستخدام خوارزمية PCGrad للتعامل مع اتجاهات التدرج المتضاربة) لتحديث تقدير الضجيج:
   $$\hat{\epsilon}_{\mathcal{T}}(z_t) := \epsilon_\theta(z_t) - \sqrt{1 - \bar{\alpha}_t} \text{Agg}(\{\nabla_{z_t} \log L(z_t, u_m; T) \mid T \in \mathcal{T}\})$$
   يسمح هذا للطريقة بوراثة متانة فك التشفر المدرب مسبقاً وتوسيع نطاقها ليشمل تحويلات جديدة دون إعادة تدريب فك التشفير.

4. التحسينات (Optimizations):

   • التوجيه الجزئي (Partial Guidance): يتم تطبيق التوجيه فقط خلال الخطوات النهائية $T_w$ من عملية الانتشار لتقليل التكلفة الحسابية.
   • قص التدرج (Gradient Clipping): لمنع العيوب البصرية، يتم قص معيار التدرج (gradient norm)، ويتم التحكم في قوة التوجيه عبر المعلمات الفائقة ($\omega, \eta, \tau$).

المساهمات الرئيسية

1. أول علامة مائية داخل التوليد قائمة على التوجيه: تقدم الورقة أول طريقة لدمج العلامات المائية مباشرة في عملية الانتشار باستخدام التوجيه بالتدرج، مما يحول أي مخطط لاحق إلى طريقة تعمل أثناء التوليد.
2. لا تتطلب إعادة تدريب: لا تتطلب هذه الطة ضبطاً دقيقاً لنموذج الانتشار أو فك تشفير العلامة المائية؛ فهي تستخدم فك تشفير موجود وجاهز للاستخدام.
3. متانة معززة: من خلال دمج التعزيزات في حساب التدرج، تحسن الطريقة المتانة ضد الهجمات (بما في ذلك تلك التي لم يُدرب فك التشفير عليها) دون إعادة تدريب الكاشف.
4. توازن في المقايضة: تحقق الطريقة توازناً بين المخططات القائمة على البذور (التي تغير المحتوى الدلالي) والمخططات القائمة على VAE أو اللاحقة (التي تضيف إشارات غير مرئية). فهي تحافظ على التنوع والجودة الدلالية للتوليد مع دمج العلامة المائية.

النتائج التجريبية

تم تقييم الطريقة على ثلاثة نماذج انتشار (Stable Diffusion 2, Flux-1.0, Sana) باستخدام اثنين من أحدث الكواشف (Stable Signature و VideoSeal).

• جودة الصورة: تُظهر المقاييس الكمية (FID, CLIP score) أن الصور التي تحمل علامة مائية لا يمكن تمييزها نوعياً عن الصور غير الموسومة. كما يؤكد الفحص البصري أن المحتوى الدلالي، والنغمة، والتكوين تظل محفوظة إلى حد كبير، على عكس التغييرات الجذرية التي لوحظت في بعض الأساليب القائمة على البذور.
• المتانة (متعددة البتات والبت الصفر):
  • الهجمات الهندسية: تتفوق الطريقة بشكل كبير على المخططات القائمة على البذور (Tree-Rings, Gaussian Shading) في مواجهة الهجمات الهندسية مثل القص والتدوير، حيث ترث متانة فك التشفير المدرب مسبقاً.
  • الهجمات القيمية (Valuometric Attacks): تحافظ على متانة عالية ضد ضغط JPEG وتغييرات السطوع والتباين.
  • الهجمات العدائية (Adversarial Attacks): تُظهر الطريقة متانة فائقة ضد تنقية VAE، وإعادة التوليد، والهجمات المتوسطة مقارنة بـ Tree-Rings و Gaussian Shading.
• معدل الإنذار الكاذب: تحقق الطريقة معدلات إنذار كاذب منخفضة للغاية (قيمة $-\log_{10}(PFA)$ عالية) عند احتمالات كشف عالية ($PD=0.9$)، متفوقة على كل من الأساليب اللاحقة والأساليب الأخرى أثناء التوليد.
• الكفاءة: بينما يتطلب التوليد من 2 إلى 13 خطوة إضافية، فإن فك التشفير يتم لحظياً (تمريرة أمامية واحدة)، مما يجعلها أسرع بما يصل إلى 50 مرة في وقت الكشف مقارنة بالأساليب القائمة على البذور التي تتطلب خطوات عكس الانتشار.

الأهمية والادعاءات

تزعم الورقة أن "العلامات المائية التوجيهية" تقدم حلاً مبدئياً ونموذجياً لتأمين الذكاء الاصطناعي التوليدي. وتكمن أهميتها الأساسية في:

• التكامل (Complementarity): تعمل جنباً إلى جنب مع التقنيات الموجودة (مثل ضبط VAE الدقيق) ويمكن تطبيقها على أي نموذج انتشار دون تغييرات هيكلية.
• القابلية للتكيف (Adaptability): تسمح بالنشر الفوري للعلامات المائية المتينة عبر الاستفادة من فك التشفير المدرب جيداً، وتجنب العملية المكثفة لإعادة تدريب النماذج أو فك التشفير لمتجهات هجوم جديدة.
• العملية (Practicality): من خلال الحفاظ على جودة الصورة وتنوعها مع ضمان قابلية كشف عالية وانخفاض في الإيجابيات الكاذبة، فإنها تعالج الحاجة الماسة لتتبع محتوى الذكاء الاصطناعي في السياقات التنظيمية والأمنية.

يقر المؤلفون بوجود بعض القيود، مشيرين إلى أن المتانة تعتمد على المحتوى البصري للصورة المُنشأة وأن وقت التوليد يزداد قليلاً. ومع ذلك، يؤكدون أن المقايضة تعتبر مواتية نظراً لإلغاء متطلبات إعادة التدريب وتحقيق مكاسب كبيرة في سرعة الكشف والمتانة.