SHIFT: Stochastic Hidden-Trajectory Deflection for Removing Diffusion-based Watermark

إليك ملخص تقني مفصل لورقة البحث بعنوان "SHIFT: الانحراف العشوائي للمسار الخفي لإزالة العلامات المائية القائمة على الانتشار (Diffusion)."

1. بيان المشكلة

لقد برزت طرق العلامات المائية القائمة على الانتشار (مثل Tree-Ring، وRingID، وGaussian Shading) كحل رائد لتتبع المحتوى الذي يتم إنشاؤه بواسطة الذكاء الاصطناعي. تقوم هذه الطرق بدمج العلامات المائية عن طريق التلاعب بالضجيج الأولي، أو المتغيرات الكامنة الوسيطة، أو مسار الانتشار العكسي. ويعتمد التحقق من هذه العلامات على فرضية مشتركة وحرجة وهي: اتساق المسار (Trajectory Consistency). وتحديداً، يفترض المدافعون أن المسار التوليدي الذي اتُخذ لإنشاء صورة ما يمكن إعادة بنائه بأمانة (عبر عملية DDIM inversion) لاستعادة الضجيج الأصلي أو البنية الكامنة التي تحتوي على العلامة المائية.

وقد واجهت الهجمات الحالية (مثل إعادة التوليد، وتزوير الضجيج الكامن) صعوبات في كسر هذه العلامات المائية لأن:

• إعادة التوليد الحتمية (باستخدام DDIM/PNDM) تحافظ على معلومات التردد الهيكلية والمسارات الكامنة التي تحمل العلامة المائية.
• الهجمات القائمة على الأمثلة (Optimization-based attacks) تتطلب عمليات تحسين تكرارية مكلفة لكل صورة، وغالباً ما تفشل أمام العلامات المائية الدلالية (Semantic watermarks).

تحدد الورقة أن الاعتماد على "اتساق المسار" هو ثغرة أساسية وقابلة للاستغلال تشترك فيها جميع نماذج العلامات المائية الحالية القائمة على الانتشار.

2. المنهجية: SHIFT

يقترح المؤلفون SHIFT (الانحراف العشوائي للمسار الخفي)، وهو هجوم لا يتطلب تدريباً ولا يعتمد على نوع العلامة المائية (watermark-agnostic)، يستغل الفرق بين أخذ العينات الحتمي (Deterministic) والعشوائي (Stochastic). يعمل SHIFT عبر مرحلتين لتحريف المسار التوليدي في الفضاء الكامن، مما يجعل الصورة المعاد بناؤها منفصلة إحصائياً عن المسار الأصلي الذي يحتوي على العلامة المائية مع الحفاظ على الجودة البصرية.

المرحلة الأولى: الانتشار الأمامي الجزئي (Partial Forward Diffusion)

• الهدف: إضعاف المعلومات الخاصة بالمسار دون تدمير المحتوى الدلالي.
• العملية: يتم ترميز الصورة التي تحمل علامة مائية ($x_w$) إلى تمثيل كامن ($z_0$) باستخدام VAE مدرب مسبقاً. ثم يقوم النظام بإجراء خطوة انتشار أمامي محكومة إلى زمن مستهدف $t_\lambda = \lceil \lambda T \rceil$ (حيث $\lambda \in (0, 1]$ هي قوة إعادة إضافة الضجيج).
• الآلية: يؤدي هذا إلى حقن ضجيج غاوسي متماثل المناحي (Isotropic Gaussian noise)، مما يستبدل تدريجياً تفاصيل المسار دقيقة التفاصيل بالضجيج مع الاحتفاظ بالهيكل الدلالي الخشن.

المرحلة الثانية: إعادة أخذ العينات العكسية العشوائية (Stochastic Reverse Resampling)

• الهدف: إعادة توليد الصورة على طول مسار جديد وعشوائي لكسر الارتباط بالمسار الأصلي للعلامة المائية.
• العملية: بدلاً من استخدام أخذ عينات حتمي (مثل DDIM) الذي من شأنه تتبع المسار الأصلي، يستخدم SHIFT أخذ عينات أسلافي عشوائي (Stochastic ancestral sampler) (مثل Euler ancestral sampler).
• الآلية: في كل خطوة عكسية، يتم حقن ضجيج حركة براونية جديد ($\xi_t$). يضمن هذا أن المسار العكسي ليس محدداً بشكل فريد من خلال نقطة البداية ($z_{t_\lambda}$). تقوم دالة الدرجة (Score function) المدربة مسبقاً بسحب العينة نحو "منطو التوزيع الطبيعي للصور" (Natural image manifold) (مما يحافظ على الدلالات)، ولكن المسار الذي يتم اتخاذه يكون جديداً تماماً وغير مرتبط بمسار العلامة المائية الأصلي.
• المخرج: يتم فك ترميز المتغير الكامن النهائي لإنتاج الصورة المهاجمة ($x_a$).

المزايا الرئيسية:

• لا يتطلب إعادة تدريب النموذج، أو ضبطاً دقيقاً (Fine-tuning)، أو معرفة بمفتاح أو خوارزمية العلامة المائية المحددة.
• فعال حاسوبياً (تمريرة أمامية واحدة + خطوات انتشار قياسية).
• لا يتطلب أي أمثلة عدائية (Adversarial optimization).

3. التبرير النظري

تقدم الورقة ضمانات رسمية باستخدام تحليل مسافة واسرستاين ($W_2$):

• فك الارتباط بالمسار (Trajectory Decoupling): يثبت المؤلفون أن الضجيج المستعاد عبر DDIM inversion من الصورة المهاجمة يكون مستقلاً إحصائياً عن ضجيج العلامة المائية الأصلي.
• العشوائية ضرورية: توضح الورقة أن إعادة أخذ العينات الحتمية تفشل لأن القانون الشرطي للمتغير الكامن المعاد بناؤه يظل "متدهوراً" (Degenerate) (أي محدداً بشكل فريد من نقطة البداية). في المقابل، تقدم إعادة أخذ العينات العشوائية عشوائية جديدة في كل خطوة، مما يكسر الارتباط "واحد لواحد" بين المتغير الكامن الذي تمت إضافة الضجيج إليه جزئياً وبين المسار النهائي.
• تحليل الحدود (Bound Analysis): تظهر الحدود النظرية أنه مع زيادة قوة إعادة إضافة الضجيج ($\lambda$)، تنخفض مساهمة الإشارة المصدرية، لتصبح في النهاية أقل من حد التسامح الخاص بنظام التحقق من العلامة المائية.

4. النتائج التجريبية

قيم المؤلفون SHIFT مقابل تسع طرق تمثيلية للعلامات المائية عبر ثلاثة نماذج (فضاء الضجيج، المجال الترددي، والأمثلة القائمة على التحسين):

• الطرق المختبرة: Tree-Ring، وRingID، وPRC، وWIND، وGaussian Shading، وGaussMarker، وSFW، وSEAL، وROBIN.
• معدل نجاح الهجوم (ASR): حقق SHIFT معدل نجاح يتراوح بين 95%–100% عبر جميع الطرق، بمتوسط قدره 97.8%.
  • تفوق على "هجوم الصندوق الأسود" (Black-box attack) (بمتوسط 96.8%) و"هجوم التزوير" (Forgery attack) (بمتوسط 81.3%).
  • نجح في هزيمة الطرق عالية المتانة مثل Tree-Ring (بنسبة 98% مقابل 72% للهجوم الأسود) وGaussian Shading (بنسبة 97% مقابل 4% لهجوم التزوير).
• جودة الصورة: حافظ SHIFT على اتساق دلالي وواقعية متفوقة مقارنة بالهجمات الأخرى.
  • درجة CLIP: بلغت 32.194 (الأعلى بين جميع الطرق).
  • FID: بلغت 73.471 (أقل/أفضل بكثير من الهجوم الأسود: 106.831 وهجوم التزوير: 96.431).
• فك الارتباط بالمسار: أظهر التحليل التجريبي لمسافات الضجيج $L_1$ و$L_2$ أن SHIFT دفع باستمرار الضجيج المستعاد إلى نطاق لا يمكن تمييزه إحصائياً عن الضجيج العشوائي، مما أدى فعلياً إلى فصل الصورة عن مسار العلامة المائية.

5. المساهمات الرئيسية

1. تحديد الثغرة: تحديد "اتساق المسار" كثغرة أساسية ومشتركة في جميع مخططات العلامات المائية القائمة على الانتشار.
2. إطار هجوم مبتكر: اقتراح SHIFT، وهو هجوم لا يتطلب تدريباً ولا يعتمد على نوع العلامة المائية، يستخدم الانتشار الأمامي الجزئي وإعادة أخذ العينات العكسية العشوائية لتحريف المسارات دون الحاجة لمعرفة خاصة بالعلامة المائية.
3. إثبات نظري: تقديم ضمانات رسمية لفك الارتباط بالمسار عبر تحليل مسافة واسرستاين، مما يثبت سبب نجاح إعادة أخذ العينات العشوائية حيث تفشل الطرق الحتمية.
4. التفوق التجريبي: إثبات تحقيق معدلات نجاح هجوم هي الأفضل في فئتها (95-100%) مع الحفاظ على أعلى جودة صورة بين جميع الهجمات المقارنة.

6. الأهمية والعمل المستقبلي

• الآثار الأمنية: تتحدى هذه الورقة الإجماع الحالي بأن العلامات المائية للانتشار (Diffusion watermarks) قوية. فهي تشير إلى أن أي نظام تحقق يعتمد على إعادة بناء مسار حتمي واحد هو هش بطبيعته أمام الانحراف العشوائي.
• الاتجاهات المستقبلية:
  • تصميم آليات إثبات المنشأ (Provenance) التي لا تعتمد على إعادة بناء مسار واحد.
  • توسيع التحليل ليشمل نماذج انتشار الفيديو ونماذج التوليد الهجينة (مثل Autoregressive + Flow matching).
  • استقصاء الدفاعات ضد انحراف المسار العشوائي.

باختاً، يكشف SHIFT أن الآلية ذاتها (القابلية للعكس الحتمي) التي تجعل العلامات المائية للانتشار قابلة للتحقق، هي أيضاً نقطة ضعفها القاتلة، وهو يستغل العشوائية لجعل هذه العلامات المائية غير فعالة دون المساس بالمنفعة البصرية للمحتوى المولد.