Towards Robust Content Watermarking Against Removal and Forgery Attacks

إليك ملخص تقني مفصل للورقة البحثية بعنوان "نحو علامة مائية للمحتوى قوية ضد هجمات الإزالة والتزوير" من قبل Zhu وآخرون.

1. بيان المشكلة

أدى التقدم السريع في نماذج الانتشار من نص إلى صورة (مثل Stable Diffusion وDALL-E) إلى خلق حاجة ملحة للتحقق من مصدر الصور ونسب الملكية الفكرية. وبينما ظهرت العلامات المائية للمحتوى كحل، إلا أن الأساليب الحالية (مثل Tree-Ring وRingID وGaussian-Shading) تعاني من ثغرات حرجة:

• الطبيعة الساكنة: تعتمد معظم الأساليب الحالية حقن نمط علامة مائية ثابت وساكن (على سبيل المثال، حلقة محددة في فضاء فوريه) بغض النظر عن النص المدخل (prompt). هذه الطبيعة الساكنة تسرب معلومات هيكلية للمهاجمين.
• الضعف أمام الهجمات العدائية:
  • هجمات الإزالة: يمكن للمهاجمين تحسين الصور الموسومة لإزالة النمط الساكن المحدد، مما يؤدي إلى فشل الكشف.
  • هجمات التزوير: يمكن للمهاجمين استخدام صورة واحدة مسربة موسومة (أو متوسط عدة صور) لاستنتاج النمط الساكن وتزوير علامات مائية على صور سليمة غير موسومة.
• الكشف أحادي الجانب: تعتمد طرق الكشف الحالية غالبًا على مقياس "أحادي الجانب" (مقارنة الكامن مع نمط إيجابي)، مما يسمح للمهاجمين بقلب التمثيل الكامن للتهرب من الكشف.

2. المنهجية: ISTS (العلامة المائية الخاصة بكل حالة مع الكشف ثنائي الجانب)

يقترح المؤلفون ISTS، وهو نموذج جديد مصمم لمقاومة هجمات الإزالة والتزوير من خلال إدخال الديناميكية والمتانة في عملية التوليد والكشف.

أ. العلامة المائية الخاصة بكل حالة (الحقن الديناميكي)

بدلاً من استخدام نمط ثابت لجميع الصور، يقوم ISTS بتخصيص العلامة المائية لكل حالة توليد بناءً على دلالات النص المدخل.

1. استخراج السمات الدلالية: بالنسبة لنص معين، يقوم النظام أولاً بتوليد صورة غير موسومة ويقوم بتشفيرها إلى متجه سمات دلالي باستخدام مشفر CLIP.
2. اختيار المعلمات القائم على الدلالات: يقوم محدد معلمات قائم على الدلالات مدرب مسبقاً برسم هذه السمات الدلالية إلى معلمات علامة مائية محددة:
   • وقت الحقن ($t$): الخطوة الزمنية المحددة في عملية الانتشار حيث يتم حقن العلامة المائية.
   • موقع الحقن ($l$): الإحداثي المحدد في نطاق التردد حيث يتم إضافة النمط.
3. حقن العلامة المائية: يقوم النظام بعملية تقليل ضجيج جزئي حتى الخطوة $t$، ثم يضيف نمط العلامة المائية في الموقع $l$ في نطاق التردد، ويستمر في عملية تقليل الضجيج لتوليد الصورة النهائية.
   • الفائدة: بما أن المعلمات تعتمد على دلالات النص، فلا يمكن للمهاجم التنبؤ بوقت أو موقع الحقن دون معرفة الخريطة الدلالية المحددة، مما يجعل من المستحيل استخدام صورة مرجعية واحدة لتزوير أو إزالة العلامات المائية بفعالية.

ب. الكشف ثنائي الجانب

لمواجهة هجمات الإزالة التي تحاول قلب التمثيل الكامن، يقدم ISTS مقياس كشف ثنائي الجانب.

• الآلية: بدلاً من التحقق فقط من وجود النمط $W$ (أي $|W - F(z)|$)، يتحقق الكاشف من كل من النمط ونظيره (أي $|W + F(z)|$).
• المقياس: درجة الكشف هي الحد الأدنى من المسافات إلى النمط الموجب والنمط السالب:
  $$d = \min \left( \frac{1}{|M|}\sum |W_i - F(z_T)_i|, \frac{1}{|M|}\sum |W_i + F(z_T)_i| \right)$$
• الفائدة: هذا يمنع المهاجمين من مجرد عكس الفضاء الكامن للالتفاف على الكشف، حيث سيظل الكاشف يتعرف على النمط المعكوس.

3. المساهمات الرئيسية

1. نموذج جديد (ISTS): أول إطار عمل يجمع بين الحقن الديناميكي الخاص بكل حالة (الوقت والموقع) مع الكشف ثنائي الجانب لمعالجة هجمات الإزالة والتزوير في آن واحد.
2. الديناميكية المدفوعة بالدلالات: يضمن استخدام المحدد الدلالي ارتباط معلمات العلامة المائية ارتباطاً وثيقاً بمحتوى الصورة، مما يكسر الارتباط بين الصور المختلفة الذي يعتمد عليه المهاجمون في هجمات المتوسط (averaging attacks).
3. مخطط كشف قوي: مقدمة الكشف ثنائي الجانب تحيد بفعالية الهجمات التي تعتمد على إحداث تمثيلات كامنة متضادة.
4. تقييم شامل: تقدم الورقة تجارب مكثفة ضد ثلاثة أنواع من هجمات الإزالة (Imprinting, Averaging, VAE) وثلاثة أنواع من هجمات التزوير، مما يظهر أداءً هو الأفضل حالياً (state-of-the-art).

4. النتائج التجريبية

قيم المؤلفون ISTS مقابل نماذج أساسية مثل Tree-Ring وGaussian-Shading وRingID وROBIN وSEAL على نموذج Stable Diffusion 2.1.

• ضد هجمات الإزالة:

  • شهدت الأساليب الحالية (مثل Tree-Ring وRingID) انخفاضاً كبيراً في منحنى AUC (غالباً تحت 0.3) تحت هجمات الإزالة.
  • حافظ ISTS على متانة عالية، حيث حقق AUC قدره 0.821 ضد إزالة الطباعة (Imprinting Removal) (مقارنة بـ 0.267 لـ Tree-Ring) و0.990 ضد إزالة المتوسط (Averaging Removal).
  • في أسوأ السيناريوهات، حقق ISTS متوسط AUC قدره 0.936، متفوقاً بشكل كبير على جميع النماذج الأساسية.

• ضد هجمات التزوير:

  • تشير قيمة AUC المنخفضة إلى مقاومة أفضل (صعوبة التزوير).
  • يسهل تزوير معظم النماذج الأساسية (AUC > 0.95).
  • حقق ISTS قيمة AUC أقل بكثير بلغت 0.634 ضد تزوير الطباعة (Imprinting Forgery) و0.474 ضد تزوير المتوسط (Averaging Forgery)، مما يظهر مقاومة فائقة.

• جودة الصورة والمتانة ضد التشوه:

  • حافظ ISTS على جودة صورة عالية (PSNR, SSIM, CLIP-Score) مقاربة لـ ROBIN وأفضل من SEAL.
  • أظهر متانة قوية ضد التشوهات الشائعة للصور (الدوران، الضجيج، الضبابية، القص، JPEG) وتطهير الانتشار (diffusion purification)، متفوقاً على Gaussian-Shading وSEAL في هذه المجالات.

• دراسة الاستئصال (Ablation Study):

  • أدى إزالة الأنماط الديناميكية أو خطوات الحقن الديناميكية إلى تدهور الأداء بشكل كبير ضد هجمات التزوير والإزالة، مما يؤكد ضرورة كلا المكونين.
  • أدى إزالة الكشف ثنائي الجانب إلى تقليل المتانة ضد هجمات إزالة الطباعة (Imprinting Removal).

5. الأهمية

تعالج هذه الورقة فجوة حرجة في نشر الذكاء الاصطنا التوليدي: هشاشة مخططات العلامات المائية الحالية أمام المهاجمين المصممين. من خلال الابتعاد عن العلامات المائية الساكنة التي تناسب الجميع إلى نهج ديناميكي خاص بكل حالة، يرفع ISTS حاجز الهجوم بشكل كبير.

• الأثر العملي: يوفر حلاً أكثر قابلية للتطبيق لحماية حقوق الطبع والنشر وتتبع المصدر في سيناريوهات العالم الحقيقي حيث قد يتم تسريب الصور أو تعديلها بشكل ضار.
• الرؤية النظرية: تسلط الورقة الضوء على أن أنماط العلامات المائية الساكنة تسرب بطبيعتها معلومات تسهل الهجمات، وأن آليات الكشف يجب أن تأخذ في الاعتبار التلاعب العدائي المحتمل للفضاءات الكامنة (عبر الكشف ثنائي الجانب).

بينما يشير المؤلفون إلى أن المتانة في أسوأ الحالات ليست مثالية لجميع أنواع الهجمات بعد، إلا أن ISTS يمثل تقدماً نوعياً لجعل العلامات المائية للمحتوى صامدة أمام التزوير والإزالة.