ShapeMark: Robust and Diversity-Preserving Watermarking for Diffusion Models
تُعد ShapeMark طريقةً قوية للحفاظ على التنوع في العلامات المائية لنماذج الانتشار، حيث تقوم بتشفير بتات العلامة المائية في أنماط ضوضاء مهيكلة بدلاً من القيم الفردية، وتستخدم تصميماً عشوائياً لمنع الأنماط الثابتة، مما يحقق أفضل النتائج في المتانة ضد السيناريوهات التي تتضمن فقدان البيانات مع الحفاظ على جودة توليد عالية.
تخيل أنك فنان يمكنه إنشاء لوحات جميلة فوراً باستخدام آلة سحرية (نموذج انتشار - Diffusion Model). تبدو هذه اللوحات واقعية للغاية لدرجة أن الناس لا يستطيعون التمييز بينها وبين ما صنعته الحواسيب. لكن هناك مشكلة: إذا سرق شخص ما لوحتك، أو باعها، أو ادعى أنه هو من صنعها، كيف تثبت أنها ملكك؟
أنت بحاجة إلى علامة مائية. ولكن هنا تكمن العقبة:
يجب أن تكون غير مرئية: لا تريد ختم "ملكية يوكوي" ضخمًا يفسد العمل الفني.
يجب أن تكون غير قابلة للكسر: إذا قام شخص ما بقص الصورة، أو ضغطها لاستخدامها على الويب، أو أضاف إليها مرشحاً (فلتر)، يجب ألا تختفي العلامة المائية.
يجب ألا تفسد الفن: يجب أن تظل الآلة قادرة على رسم صور جميلة مختلفة في كل مرة، وليس فقط نفس الصور مراراً وتكراراً.
حاولت الأساليب الموجودة حل هذه المشكلة عبر إخفاء أسرار صغيرة في "الضجيج" (الستاتيك) الذي تستخدمه الآلة للبدء في الرسم. لكنها عانت من عيبين كبيرين:
مشكلة "البكسل الهش": كانوا يخفون السر عن طريق تغيير سطوع بكسل واحد بدقة. إذا أغمضت عينيك قليلاً أو أصبحت الصورة ضبابية، فإن هذا التغيير الطفيف يختفي، ويضيع السر.
مشكلة "الأسطوانة العالقة": لجعل السر أقوى، كانوا يكررون نفس النمط مراراً وتكراراً. هذا جعل الآلة تبدأ برسم نفس ضجيج الخلفية في كل مرة، مما قتل الإبداع والتنوع في الصور.
إليك ShapeMark. فكر فيه كطريقة ذكية للغاية لإخفاء سر داخل الفوضى.
الخدعة السحرية: "الخلط" بدلاً من "التغيير"
بدلاً من تغيير قيمة بكسل واحد (مثل تغيير نقطة حمراء إلى نقطة زرقاء)، يقوم ShapeMark بتغيير ترتيب النقاط.
1. تشبيه "قبعة التنسيق" (الترميز الهيكلي)
تخيل أن لديك حقيبة ضخمة من الكرات الزجاجية بأحجام مختلفة (الضجيج).
الطريقة القديمة: تحاول إخفاء سر عبر رسم نقطة صغيرة على كرة معينة. إذا مسح أحدهم الكرة، تتلاشى النقطة.
ShapeMark: تقوم بفرز الكرات في مجموعات بناءً على حجمها (من الأصغر إلى الأكبر). ثم تخفي سرك عن طريق خلط ترتيب المجموعات.
السر: "المجموعة الصغيرة على اليسار، والمجموعة الكبيرة على اليمين."
لماذا ينجح الأمر: حتى لو قام شخص ما بمسح الكرات أو جعل الصورة ضبابية، فإن الترتيب النسبي (صغير مقابل كبير) عادة ما يظل كما هو. أنت لا تحتاج لرؤية اللون الدقيق للكرة؛ بل تحتاج فقط لمعرفة أي مجموعة هي أي واحدة. هذا يجعل العلامة المائية قوية للغاية ضد التلف.
إليك المشكلة الثانية: إذا كنت تخلط المجموعات بنفس الطريقة تماماً لنفس السر، فقد تبدأ الآلة في البحث عن نمط الخلط المحدد هذا، مما يجعل كل الصور تبدو متشابهة قلياً (مملة).
حل ShapeMark: قبل أن تخلط المجموعات، تقوم بعمل تبديل مقاعد عشوائي يتغير في كل مرة تصنع فيها صورة.
تخيل أن لديك رمزاً سرياً للون "الأحمر". عادةً، تضع مجموعة اللون الأحمر في المقعد (أ). لكن اليوم، تقوم بتبديل المقعد (أ) مع المقعد (ز) بشكل عشوائي. غداً، ستبدل المقعد (أ) مع المقعد (ب).
السر لا يزال هو "الأحمر"، لكن موقع مجموعة اللون الأحمر مختلف في كل مرة.
النتيجة: تنشئ الآلة صورة فريدة ومتنوعة تماماً في كل مرة، ولكن لأنك تعرف قاعدة "تبديل المقاعد" (المفتاح)، يمكنك العثور على السر لاحقاً. هذا يحافظ على تنوع وحيوية الفن.
كيف تجد السر (فك التشفير)
عندما تريد التحقق مما إذا كانت الصورة ملكك:
تأخذ الصورة وتمررها عكسياً عبر الآلة للحصول على "حقيبة الكرات" الأصلية (الضجيج).
تنظر إلى ترتيب المجموعات. هل اتبعت نمط الخلط السري الخاص بك؟
حتى لو تم قص الصورة أو ضغطها، فإن نمط الخلط لا يزال موجوداً عادةً، تماماً مثل التعرف على أغنية حتى لو كان الراديو مليئاً بالتشويش.
لماذا يعد هذا أمراً هاماً؟
إنه صلب: يصمد أمام ضغط JPEG، والقص، والضبابية، وحتى الضجيج. إنه مثل الوشم الذي يظل مرئياً حتى لو تعرضت لحروق الشمس.
إنه متنوع: لا يجبر الذكاء الاصطناعي على أن يكون مملاً. فهو يسمح للذكاء الاصطناعي بإنشاء ملايين المتغيرات الفريدة بينما لا تزال تحمل بطاقة هويتك غير المرئية.
إنه عادل: لا يتطلب إعادة تدريب نموذج الذكاء الاصطناعي. إنه فقط يغير كيفية بدء الآلة لعمليتها.
باختصار: ShapeMark يشبه إخفاء رسالة سرية في خطوات رقص الحشد، بدلاً من كتابتها على جبهة شخص واحد. حتى لو تعرض الحشد للازدحام (التشويه) أو تحرك الأشخاص (العشوائية)، يمكنك لا تزال رؤية نمط الرقص ومعرفة من هم.
إليك ملخص تقني مفصل لورقة البحث "ShapeMark: Robust and Diversity-Preserving Watermarking for Diffusion Models" (شيب مارك: علامة مائية قوية وتحافظ على التنوع لنماذج الانتشار).
1. بيان المشكلة
أحدثت نماذج الانتشار (Diffusion models) ثورة في توليد الصور عالية الدقة، لكن استخدامها الواسع خلق تحديات ملحة تتعلق بحماية الملكية الفكرية (IP) وإثبات مصدر المحتوى. وبينما برزت أساليب "الضجيج كعلامة مائية" (Noise-as-Watermark - NaW) كحل واعد عبر دمج العلامات المائية في ضجيج الـ "latent" الأولي قبل عملية التوليد، إلا أن الأساليب الحالية تعاني من مقايضة حرجة:
الهشاشة (Fragility): تعتمد معظم أساليب NaW على ترميز القيم (value encoding)، حيث تُربط بتات العلامة المائية بقيم عينات محددة (مثل الإشارة أو المقدار). وهذا يجعلها هشة للغاية لأن المعالجة اللاحقة غير الفاقدة (مثل الضغط، القص، أو الضجيج) وعملية عكس الانتشار (diffusion inversion) غير المثالية تجعل استعادة القيم الدقيقة غير موثوقة.
فقدان التنوع (Diversity Loss): لتحسين المتانة، تقوم بعض الأساليب بدمج العلامات المائية بشكل متكرر أو إنشاء أنماط ضجيج ثابتة. وهذا يؤدي إلى إدخال انتظامات مكانية تعتمد على الحمولة (payload-dependent spatial regularities)، مما يقلل من التنوع البصري للصور المولدة ويجعل آثار العلامة المائية محسوسة.
يتمثل التحدي الجوهري في تصميم نظام علامة مائية يكون متيناً ضد التشوهات وأخطاء العكس، وفي الوقت نفسه يحافظ على التنوع العالي في التوليد والدقة البصرية المتأصلة في نماذج الانتشار.
2. المنهجية: ShapeMark
يعالج ShapeMark هذه التحديات عبر الانتقال من ترميز القيم إلى الترميز الهيكلي (structural encoding) وتقديم آلية للتعشية لتقليل انحياز الحمولة (payload-debiasing randomization). تتكون العملية من مرحلتين رئيسيتين:
أ. الترميز الهيكلي (Structural Encoding - SE)
بدلاً من ترميز البتات في قيم ضجيج فردية، يقوم SE بترميزها في العلاقات الهيكلية النسبية بين مجموعات عناصر الضجيج.
بناء القالب الموجه بالانفصال (Separability-Guided Template Construction):
يتم ترتيب الـ "latent" الخاص بالضجيج حسب المقدار.
تُقسم المؤشرات إلى Q من صناديق المئينات (quantile bins) (مجموعات من العناصر ذات المقادير المتشابهة).
داخل كل صندوق، يتم خلط المؤشرات باستخدام مفتاح سري κ وتجميعها في كتل (blocks).
يتم تشكيل المجموعات (Groups) عن طريق محاذاة كتلة واحدة من كل صندوق مئيني. يضمن ذلك احتواء كل مجموعة على عناصر من مناطق مقدار متميزة إحصائياً.
يتم ربط بتات العلامة المائية بـ كتاب رموز التبديل (permutation codebook).
لكل مجموعة، يتم إعادة ترتيب (تبديل) الكتل وفقاً لبتات الحمولة.
الرؤية الجوهرية: تُعرف العلامة المائية من خلال ترتيب الكتل داخل المجموعة، وليس قيمها المطلقة. وبما أن نمط التبديل يظل مستقراً حتى لو تعرضت القيم الفردية للتشويه بسبب الضجيج أو أخطاء العكس، فإن هذا النهج متين بطبيعته.
يؤدي SE إلى إدخال نمط هيكلي حتمي بناءً على الحمولة، مما قد يؤدي إلى آثار مكانية ثابتة وتقليل التنوع. يعالج PDSR ذلك:
الآلية: بعد مرحلة SE، يتم تطبيق تبديل عالمي على مواقع الكتل. هذا التبديل مشتق من رقم عشوائي عام (public nonce) (فريد لكل صورة) ومن المفتاح السري، ولكنه مستقل عن الحمولة.
الأثر: يعمل على فصل هوية الحمولة عن الموقع المكاني الثابت. يمكن لنفس حمولة العلامة المائية أن تقابل تجليات ضجيج متنوعة، مما يمنع النموذج من تعلم نمط مكاني "موسوم" محدد.
القابلية للعكس: بما أن PDSR هو عملية تبديل صرفة، فإنه قابل للعكس تماماً أثناء فك التشفير إذا كان الرقم العشوائي العام معروفاً.
ج. عملية فك التشفير (Decoding Process)
العكس (Inversion): يتم عكس الصورة المستعلم عنها للعودة إلى مساحة الـ "latent" للضجيج باستخدام عملية DDIM inversion القياسية.
إلغاء PDSR: باستخدام الرقم العشوائي العام والمفتاح السري، يقوم الطرف المتحقق بعكس تبديل PDSR لاستعادة الهيكل المتوافق مع SE.
المطابقة (Matching): يعيد المتحقق بناء المجموعات المرجعية (بناءً على المفتاح) ويقارن ترتيب الكتل الملحوظ في الـ "latent" المستعاد مع كتاب رموز التبديل المشترك لفك تشفير الحمولة أو التحقق من الهوية.
3. المساهمات الرئيسية
الترميز الهيكلي (SE): نظام ترميز مبتكر يدمج العلامات المائية في تبديل كتل الضجيج عبر صناديق المئينات. ينقل هذا النظام إشارة العلامة المائية من القيم المطلقة الهشة إلى الهياكل النسبية المتينة.
التعشية الهيكلية لتقليل انحياز الحمولة (PDSR): استراتيجية خفيفة الوزن تعمل على تعشية مواقع الكتل لكل صورة دون تغيير القيم. هذا يلغي الانحيازات المكانية الناتجة عن الحمولة، مما يضمن تنوعاً عالياً في التوليد وعدم قابلية ملاحظة العلامة.
المتانة دون التضحية بالتنوع: يحقق الأسلوب أعلى مستويات المتانة (State-of-the-art) ضد الهجمات (مثل JPEG، القص، الضجيج، إلخ) مع الحفاظ على تنوع التوليد مقارنة بالنماذج غير الموسومة.
4. النتائج التجريبية
قام المؤلفون بتقييم ShapeMark على نموذج Stable Diffusion v2.1 باستخدام مجموعتي بيانات MS-COCO و SDP، ومقارنته بأساليب المعالجة اللاحقة، وضبط النموذج (model-fine-tuning)، وغيرها من أساليب NaW الأساسية.
المتانة: حقق ShapeMark معدل إيجابي حقيقي (TPR) قدره 0.999 عند معدل إيجابي كاذب (FPR) يبلغ 10−6 تحت تشوهات مختلفة. وحافظ على دقة استعادة لكل بت بلغت 98.70% حتى بعد الهجمات الشديدة، متفوقاً على أساليب NaW الحالية.
التنوع: حقق ShapeMark أعلى تنوع في التوليد بين جميع الأساليب (LPIPS 0.7338)، متفوقاً بشكل ملحوظ على الأساليب الأخرى (مثل Tree-Ring: 0.6941، و Gaussian Shading: 0.6322). وهذا يؤكد أن PDSR ينجح في منع انهيار التنوع.
الجودة البصرية: حافظت الطريقة على مقاييس جودة صور تنافسية (CLIP score و FID) دون أي تدهور ذو دلالة إحصائية مقارنة بالنموذج الأساسي.
القابلية للتوسع: أظهر النظام متانة حتى عند سعات حمولة عالية (تصل إلى 2048 بت)، رغم أن الدقة تنخفض طبيعياً مع زيادة السعة.
5. الأهمية
يمثل ShapeMark تقدماً كبيراً في مجال إثبات مصدر المحتوى المولد بالذكاء الاصطناعي (AIGC):
النشر العملي: من خلال العمل حصرياً على الـ "latent" الخاص بالضجيج دون تعديل أوزان النموذج أو الصورة النهائية، يمكن دمجه بسهما في خطوط إنتاج الانتشار الحالية وهو متوافق مع نماذج متنوعة.
حل المقايضة: نجح في كسر المقايضة التقليدية حيث تأتي المتانة على حساب التنوع. وهذا يجعله مناسباً لخدمات التوليد متعددة المستأجرين حيث تكون حماية الملكية الفكرية وتجربة المستخدم (التنوع) أمرين بالغ الأهمية.
المرونة: يوفر النهج الهيكلي نموذجاً جديداً للعلامات المائية يتسم بالمرونة تجاه الضجيج الحتمي الناتج عن عملية عكس الانتشار ومعالجة الصور في العالم الحقيقي، مما يوفر آلية موثوقة لتتبع المحتوى المولد بالذكاء الاصطناعي.