💻 computer science

Secure Seed-Based Multi-bit Watermarking for Diffusion Models from First Principles

تقدم هذه الورقة إطاراً نظرياً مستقلاً عن النموذج لتقييم العلامات المائية القائمة على البذرة في نماذج الانتشار بناءً على الأمن والمتانة والدقة، وتقترح طريقة مبتكرة تسمى SSB تتيح التحكم الدقيق في هذه المقايضات دون الاعتماد على التقييمات التجريبية المكلفة.

المؤلفون الأصليون: Enoal Gesny, Eva Giboulot

نُشر 2026-05-08

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Enoal Gesny, Eva Giboulot

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك تملك مخبزاً سحرياً (نموذج انتشار - Diffusion Model) يمكنه خبز كعكات (صور) مثالية ولا نهائية من العدم. تريد وضع "ختم" صغير وغير مرئي على كل كعكة تبيعها لتعرف من الذي خبزها، لكنك لا تريد للختم أن يغير طعم أو مظهر الكعكة.

هذه الورقة البحثية تتحدث عن طريقة جديدة وأكثر ذكاءً لوضع هذا الختم غير المرئي على الكعكة أثناء عملية خبزها، بدلاً من محاولة ختمها بعد الانتهاء.

إليك تفصيل أفكار الورقة باستخدام تشبيهات بسيطة:

1. المشكلة: "اختبار التذوق الأعمى"

حالياً، الأشخاص الذين يحاولون وضع علامات مائية على هذه الصور المولدة بالذكاء الاصطناعي يشبهون الطهاة الذين يخمنون فقط ما إذا كانت وصفتهم ناجحة أم لا. يخبزون الكعكة، ثم يضعون الختم، ثم يحاولون تقطيعها، أو حرقها، أو تجميدها ليروا ما إذا كان الختم سيصمد.

المشكلة: هم يختبرون فقط "فرناً واحداً محدداً" (نموذج ذكاء اصطناعي محدد). إذا وجدوا ختماً يعمل على الفرن (أ)، فلا يمكنهم التأكد مما إذا كان سيعمل على الفرن (ب).
النتيجة: ليس لدينا كتاب قواعد واضح. لا يمكننا القول "الطريقة (أ) أفضل من الطريقة (ب)" بشكل عام؛ يمكننا فقط القول "الطريقة (أ) أفضل على هذا الفرن المحدد".

2. الحل: "المخطط الشامل"

يقول المؤلفون: "دعونا نتوقف عن التخمين ونبدأ باستخدام الرياضيات". إنهم يقترحون طريقة جديدة لقياس العلامة المائية تفصل بين الختم وبين الفرن.

لقد قدموا ثلاث قواعد جديدة للختم الجيد:

الأمان (القفل): هل يمكن للسارق اكتشاف الكود السري بمجرد النظر إلى الكعكة؟
المتانة (القدرة على التحمل): إذا قمت بسحق الكعكة أو وضعها تحت المطر، هل يصمد الختم؟
الدقة/الأمانة (الطعم): هل غير الختم نكهة الكعكة؟ (ملاحظة: هم يسمونها "Fidelity" بدلاً من "Quality" لأن الختم لا ينبغي أن يغير "جوهر" الكعكة، بل يخفي رسالة بداخلها فقط).

3. الطرق القديمة مقابل الطريقة الجديدة

تستعرض الورقة طريقتين موجودتين لختم الكعكات:

حلقات الأشجار (Tree-Rings): تقوم فقط بتغيير "البذرة" (المكونات الخام) قليلاً. هي قوية ولكنها لا تخفي الرسالة بشكل جيد.
التظليل الغاوسي (Gaussian-Shading): تستخدم مفتاحاً سرياً لتشفير المكونات. هي جيدة، لكن الورقة تجادل بأن بها عيباً: إذا سرق لص كعكة واحدة، يمكنه معرفة وصفة جميع الكعكات الأخرى. الأمر يشبه قفلاً يعمل فقط إذا كنت تملك المفتاح، لكن القفل نفسه يكشف شكل المفتاح.

الطريقة الجديدة: SSB (الختم القائم على البذرة الآمنة)
بنى المؤلفون نظاماً جديداً يسمى SSB. فكر فيه كأنه "مصيدة شبكية" (Lattice Trap).

تخيل أن المكونات (البذرة) تطفو في شبكة ثلاثية الأبعاد ضخمة وغير مرئية.
لإخفاء رسالة، يجبر الخباز المكونات على الهبوط في "أقفاص" محددة داخل تلك الشبكة.
السحر: يستخدمون شبكة خاصة دوارة (مفتاح سري) تجعل المكونات تبدو وكأنها لا تزال تطفو بشكل عشوائي، رغم أنها في الواقع محاصرة في أقفاص محددة.
لماذا هي أفضل؟ حتى لو سرق لص 1000 كعكة، فلن يتمكن من معرفة كيفية دوران الشبكة. "الأقفاص" مخفية جيداً لدرجة أن اللص لن يستطيع التمييز بين الكعكة المختومة والكعكة العادية.

4. "خريطة المقايضة"

تنشئ الورقة "خريطة" (سطح خصائص) توضح التوازن بين الأمان، والمتانة، والدقة.

الطريقة القديمة: كان عليك اختيار طريقة وتأمل أن تكون جيدة بما يكفي.
الطريقة الجديدة (SSB): يمكنك تحريك مقبض في آلتك الجديدة لتختار بالضبط مقدار الأمان الذي تريده مقابل مقدار المتانة التي تحتاجها. يمكنك الحصول على ختم شديد الأمان ولكنه أقل متانة قليلاً، أو ختم شديد المتانة ولكنه أقل أماناً قليلاً. النظام يتيح لك اختيار توازنك المثالي دون كسر القواعد الرياضية.

5. الادعاء الكبير

يدعي المؤلفون أنه مع رياضياتهم الجديدة ونظام SSB:

يمكننا أخيراً مقارنة طرق العلامات المائية بشكل عادل، بغض النظر عن نموذج الذكاء الاصطناعي المستخدم.
يمكننا إثبات رياضياً أن طريقتهم الجديدة آمنة ضد اللصوص الذين يحاولون هندسة المفتاح السري عكسياً.
لا نحتاج إلى إجراء آلاف الاختبارات المكلفة على أجهزة كمبيوتر مختلفة لإثبات نجاحها؛ فالرياضيات تثبت ذلك أولاً.

باخت-القول: لقد توقفوا عن التخمين حول أي علامة مائية هي الأفضل عن طريق التجربة والخطأ. بدلاً من ذلك، بنوا "مترجماً عالمياً" رياضياً يسمح لنا بتصميم علامات مائية آمنة، ومتينة، وغير مرئية بشكل مثبت، بغض النظر عما يفعله "الفرن" (مولد الذكاء الاصطناٍعي) أثناء الخبز.

ملخص تقني: العلامة المائية الآمنة القائمة على البذور متعددة البتات لنماذج الانتشار من المبادئ الأولى

بيان المشكلة

أدى الظهور السريع لنماذج الصور التوليدية إلى تحفيز تطوير تقنيات متخصصة في العلامات المائية، لا سيما الأساليب "داخل التوليد" مثل الأساليب القائمة على البذور (seed-based). ومع ذلك، يرى المؤلفون أن التقييمات الحالية في هذا المجال معيبة بشكل أساسي لأنها تعتمد بشدة على الاختبارات التجريبية المرتبطة ببنى نماذج محددة (نماذج الانتشار، مشفرات الـ VAE، والمجدولات/schedulers). هذا الاعتماد التجريبي يمنع الوصول إلى استنتاجات واضحة وقابلة للتعميم حول أداء أنظمة العلامات المائية، خاصة فيما يتعلق بالأمان.

علاوة على ذلك، فإن التعريفات الحالية لـ "الجودة" و"المتانة" مرتبطة بالنموذج التوليدي، مما يجعل من المستحيل ترتيب أنظمة العلامات المائية بشكل مستقل عن النموذج المستخدم. وبالمثل، غالبًا ما يتم الخلط بين الأمان التشفيري وأمان العلامة المائية؛ فالأنظمة مثل Gaussian-Shading وPRC تدعي الأمان التشفيري لكنها تفشل في منع "هجمات التزييف" (spoofing attacks) حيث يمكن للمهاجم استعادة الرسالة المضمنة دون المفتاح السري لأن الحامل (البذرة) ليس مخفيًا.

المنهجية

1. إطار تقييم مفكك الارتباط

المساهمة المنهجية الجوهرية هي فك ارتباط الجزء المعتمد على النموذج (عملية الانتشار العكسي) عن آلية القرار لنظام العلامة المائية. يسمح هذا بتحليل نظري صارم مستقل عن النموذج التوليدي. يقترح المؤلفون إطارًا يعتمد على ثلاث كميات رئيسية:

السعة (المتانة): بدلاً من اختبارات المتانة التجريبية، يقوم المؤلفون بنمذجة آلية القرار كقناة متماثلة ثنائية (Binary Symmetric Channel - BSC) مع احتمال قلب $p$ . يعرف المؤلفون متانة دالة الإسقاط $f$ من خلال التباين $\sigma^2$ للضجيج الذي تسببه في فضاء العلامة المائية. يتم اشتقاق سعة النظام باستخدام صيغة شانون للسعة لقناة BSC، وهي $C_\sigma = 1 - h_2(p_k(\sigma))$ ، حيث تمثل $p_k(\sigma)$ خاصية القناة التي تربط تباين الضجيج بمعدل خطأ البتات.
الدقة (الجودة): بعيدًا عن مقاييس الصور التجريبية مثل FID أو CLIP scores، والتي يرى المؤلفون أنها غير كافية وتعتمد على النموذج، يعرّفون الدقة بأنها تباعد كولباك - ليبلر (KL divergence) بين توزيع بذور غاوس الطبيعي (توزيع الغطاء) وتوزيع البذور الموسومة مائيًا. يكون النظام دقيقًا بمقدار $\zeta$ إذا كان $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$ .
الأمان: يميز المؤلفون بين الأمان التشفيري وأمان العلامة المائية. يعرّفون نسبة الأمان $\eta$ ، وهي تقيس عدد العينات الموسومة مائيًا المطلوبة لكي يتمكن المهاجم من تقدير المفتاح السري بشكل أفضل من التخمين العشوائي. ويسلطون الضم الضوء على الأنظمة التي تفشل في إخفاء حامل الكود (مثل Gaussian-Shading) والتي تكون نسبة أمانها $\eta = 1/L$ ، مما يجعلها عرضة لهجمات تحليل المكونات الرئيسية (PCA).

2. بناء SSB (العلامة المائية الآمنة القائمة على البذور)

بناءً على هذا الإطار، يقترح المؤلفون SSB، وهو طريقة مبتكرة للعلامات المائية متعددة البتات مستوحاة من تعديل فورونوي (Voronoi modulation) والشبكات المتداخلة (nested lattices).

التضمين: تستخدم الطريقة مفتاحًا سريًا $U$ (مصفوفة وحدوية) لتدوير الفضاء الكامن. وتستخدم شبكتين أحاديتي الأبعاد متداخلتين: شبكة خشنة $\Lambda_\Delta$ وشبكة ناعمة $\Lambda_\delta$ . تقوم خوارزمية التضمين بأخذ عينة من متجه $z_u$ بحيث تنتج دالة الشبكة الخشنة $\Lambda_\Delta(z_u)$ الكود الثنائي المطلوب $c$ .
الإسقاط: يتم إسقاط المتجه $z_u$ مرة أخرى في الفضاء الكامن باستخدام المفتاح السري $U$ ومكون ضجيج عشوائي متعامد مع $U$ ، مما يضمن أن البذرة الناتية صالحة لعملية الانتشار.
فك التشفير: يقوم الكاشف بإسقاط الصورة الموسومة مائيًا مرة أخرى إلى الفضاء الكامن، ثم يطبق الدوران $U^\top$ ، ويطبق دالة الشبكة الخشنة $\Lambda_\Delta$ لاستعادة الكود.

المساهمات الرئيسية

إطار نظري: يقدم البحث إطار تقييم يفصل آلية قرار العلامة المائية عن النموذج التوليدي. يتيح ذلك مقارنات دقيقة لأنظمة العلامات المائية بناءً على سطح خصائص يمثل المقايضة بين الأمان، والسعة، والدقة، بشكل مستقل عن نموذج الانتشار المستخدم.
خوارزمية SSB: يصمم المؤلفون SSB، وهو تعميم للأساليب السابقة القائمة على البذور. من خلال ضبط معاملات الشبكة $(\Delta, \delta)$ ، يمكن لـ SSB العمل عبر نطاق واسع من مساحة المقايضة بين الأمان والدقة والسعة. والجدير بالذكر أنه يمكنه تحقيق أمان مثالي (حيث تظل القيم الذاتية لمصفوفة التباين المغاير للملف الموسوم مائيًا غير قابلة للتمييز عن توزيع الغطاء) مع الحفاظ على سعة غير صفرية.
التحقق التجريبي: يقدم البحث تحققًا تجريبيًا من الافتراضات النظرية. حيث يوضح أن الضجيج الناتج عن الانتشار العكسي يمكن نمذجته بدقة كضجيج أبيض غاوسي مضاف (AWGN) في الفضاء الكامن، وأن التنبؤات النظرية للسعة والأمان تتوافق مع النتائج التجريبية لـ SSB وGaussian-Shading وPRC.

النتائج

التوافق بين النظري والتجريبي: تؤكد التجارب باستخدام نماذج Sana وZ-Image وQwen diffusion أن النموذج النظري (قناة BSC مع ضجيج غاوسي) يتنبأ بدقة بمعدلات خطأ البتات وسعة أنظمة العلامات المائية.
مقارنة الأداء:
- Gaussian-Shading وPRC: تبين أن هذه الطرق الموجودة تمتلك نسب أمان منخفضة ( $\eta = 1/L$ ) لأنها لا تخفي الحامل، مما يجعلها عرضة لهجمات PCA. كما أنها تظهر مقايضة غير مثالية بين السعة والدقة.
- SSB: يتفوق الأسلوب المقترح على النهج الحالي من خلال السماح للمستخدم باختيار نظام معين. فعلى سبيل المثال، يحقق تكوين محدد $(\Delta=1.6, \delta=0)$ أمانًا مثاليًا ( $\eta = +\infty$ ) مع الحفاظ على سعة قابلة للاستخدام، وهو نظام لا يمكن للأساليب السابقة تحقيقه.
المتانة: تقيس الدراسة التباين الغاوسي المكافئ ( $\sigma^2$ ) الذي تسببه عمليات الصور الشائعة (ضغط JPEG، القص، تعديلات السطوع/التباين) عبر نماذج انتشار مختلفة، مما يوفر مقياسًا معياريًا للمتانة.

الأهمية والادعاءات

يدعي البحث نقل النموذج من التحسينات التجريبية المرتجلة إلى التصميم القائم على الضمانات النظرية. ومن خلال فك ارتباط منطق العلامة المائية عن النموذج التوليدي، يرى المؤلفون أن:

أصبح من الممكن تقديم تصريحات حاسمة حول تفوق نظام علامة مائية على آخر (مثل "النظام أ أكثر متانة من النظام ب") دون الحاجة إلى إعادة تقييمهما مقابل كل نموذج انتشار جديد.
يمكن للمجال أن يتجاوز الخلط بين الأمان التشفيري وأمان العلامة المائية، ومعالجة التهديد المحدد لهجمات التزييف حيث يكون الحامل مكشوفًا.
توفر طريقة SSB حلاً مرنًا ومؤسسًا نظريًا يمكن ضبطه لتلبية متطلبات محددة للأمان والسعة والدقة، مما يمهد الطريق لأنظمة علامات مائية حديثة لا تتطلب تقييمات تجريبية مكلفة خاصة بكل نموذج جديد.

يظل المؤلفون متواضعين، مشيرين إلى أن تحليلهم يفترض نموذج BSC، وأن العمل المستقبلي يمكن أن يستكشف الفجوة مع نماذج AWGN، ويحسن دالة الإسقاط (الانتشار العكسي)، ويمدد الإطار ليشمل العلامات المائية القائمة على البذور ذات الصفر بت (0-bit).