ملخص تقني: PGID (القلب التدريجي الموجه والتقليل من الضجيج)

بيان المشكلة

استلزم انتشار الصور المولدة بواسطة الذكاء الاصطناعي عبر نماذج الانتشار (Diffusion Models) وجود علامات مائية رقمية قوية لحماية الملكية الفكرية وتتبع المصدر. تعتمد مخططات العلامات المائية الدلالية الحديثة (مثل: Tree Ring، وGaussian Shading) على دمج الإشارات في الضجيج الأولي لعملية الانتشار، معتمدة في استرجاع الضجيج الأولي للكشف عن العلامة على عملية القلب بالانتشار (Inversion) (عادةً باستخدام DDIM).

ومع ذلك، فإن هذا الاعتماد على القلب الدقيق يخلق ثغرة أمنية حرجة. فقد أظهر عمل حديث لـ Müller وآخرون (2025) أن هذا النموذج عرضة لهجومين من نوع "الصندوق الأسود" (Black-box attacks):

1. هجمات إزالة البصمة (Imprint Removal Attacks): يقوم المهاجمون بتعديل الصورة التي تحمل علامة مائية لإزاحة تمثيلها الكامن من "المنطقة المميزة بعلامة مائية" إلى "المنطقة غير المميزة"، مما يؤدي إلى فشل الكشف.
2. هجمات تزوير البصمة (Imprint Forgery Attacks): يقوم المهاجمون بتعديل صورة سليمة (غير مميزة بعلامة مائية) لتوجيه تمثيلها الكامن إلى "المنطقة المميزة بعلامة مائية"، مما يتسبب في حدوث نتائج إيجابية كاذبة.

تفشل طرق القلب أحادية المرحلة الحالية في التمييز بين العلامات المائية الحقيقية وهذه الاضطرابات العدائية، مما يترك مزودي الخدمة عرضة لسرقة حقوق الطبع والنشر وتضرر السمعة.

المنهجية: القلب التدريجي الموجه والتقليل من الضجيج (PGID)

يقترح المؤلفون PGID، وهو إطار عمل يعمل بنظام "التوصيل والتشغيل" (Plug-and-play) ولا يتطلب تدريباً، صُمم للدفاع ضد هجمات الإزالة والتزوير دون الحاجة لإعادة تدريب نموذج الانتشار الأساسي.

الرؤية الجوهرية

تعتمد الطريقة على ملاحظة أن الفضاء الكامن يمكن تقسيمه إلى منطقة مميزة بعلامة مائية ($R_w$) ومنطقة غير مميزة بعلامة مائية ($R_u$) لإشارة علامة مائية محددة.

• هجمات الإزالة تنقل التمثيلات الكامنة المميزة ($z_0 \in R_w$) إلى المنطقة $R_u$.
• هجمات التزوير تنقل التمثيلات الكامنة غير المميزة ($z_0 \in R_u$) إلى المنطقة $R_w$.
• تُحدث هذه الهجمات انحيازاً توزيعياً تراكمياً في الخطوات الزمنية المتوسطة أثناء مسار القلب.

إطار عمل PGID

يعمل PGID عبر ثلاث مراحل لإسقاط التمثيلات الكامنة المضطربة مرة أخرى إلى مناطقها الأصلية:

1. الحساب المسبق للمسار (Trajectory Pre-computation): يتم تشغيل عملية قلب DDIM القياسية على الصورة المشتبه بها للحصول على مسار التمثيل الكامن المضطرب $\{z^{atk}_t\}$.
2. التنقية التدريجية للتمثيل الكامن (اللب الدفاعي): تستخدم هذه المرحلة دورات عكسية-تخفيفية غير متماثلة للقضاء على الانحرافات وتخفيف الاضطرابات العدائية.
   • تتكرر العملية من $t=1$ إلى خطوة التوقف $k$.
   • في كل دورة، تقوم الخوارزمية بتنفيذ خطوات تقليل ضجيج أكثر من خطوات القلب. وتحديداً، تقوم بقلب $i-s$ من الخطوات ثم تقليل الضجيج لـ $i$ من الخطوات.
   • التوجيه: يتم تطبيق حد توجيه $\gamma(\hat{z} - z^{atk}_t)$ لتوجيه المسار بعيداً عن المسار المضطرب المحسوب مسبقاً.
   • الآلية: من خلال تقليل الضجيج أكثر من عملية القلب، تتعامل الطريقة مع الاضطراب العدائي كضجيج إضافي. وتعمل قدرة نموذج الانتشار المتأصلة على تقليل الضجيج بفعالية على تصفية هذه الاضطربات، مما يعيد إسقاط التمثيل الكامن نحو المنطوق النظيف (سواء $R_w$ أو $R_u$).
3. القلب النهائي: يتم إجراء عملية قلب كاملة قياسية على التمثيل الكامن المنقى $z_0$ لاسترجاع الضجيج النهائي $z_T$ لغرض الكشف.

المتغيرات

• PGID-R: مهيأ للدفاع ضد هجمات الإزالة عبر إسقاط التمثيلات الكامنة التي تعرضت للهجوم مرة أخرى إلى المنطقة المميزة بعلامة مائية.
• PGID-F: مهيأ للدفاع ضد هجمات التزوير عبر إسقاط التمثيلات الكامنة المزورة مرة أخرى إلى المنطقة غير المميزة بعلامة مائية.

المساهمات الرئيسية

1. صياغة المناطق الكامنة: قام المؤلفون بصياغة مفاهيم المناطق المميزة وغير المميزة بعلامة مائية في الفضاء الكامن، وأثبتوا تجريبياً (عبر تحليل المكونات الرئيسية PCA) أن هجمات البصمة تنجح في إزاحة التمثيلات الكامنة خارج مناطقها لتعطيل الكشف.
2. إطار دفاع موحد: يعد PGID أول إطار عمل لاستخراج الضجيج يعمل بنظام "التوصيل والتشغيل" ولا يتطلب تدريباً، ويوحد الدفاع ضد كل من تزوير البصمة وإزالة البصمة.
3. الاستعادة والتمييز: نجح الإطار في استعادة العلامات المائية المحجوبة من هجمات الإزالة، والتمييز بين الصور المزورة والأصلية، وهي قدرة لم يسبق إثباتها بشكل موحد من قبل.

النتائج التجريبية

قام المؤلفون بتقييم PGID عبر أربعة مخططات للعلامات المائية الدلالية (Tree Ring، وGaussian Shading، وPRC، وT2SMark) باستخدام معماريات Stable Diffusion v2.1 وv1.5، بالإضافة إلى معمارية PixArt-$\alpha$.

• ضد هجمات الإزالة:
  • عانت المخططات الأساسية (القلب القياسي) من فشل شبه تام في الكشف (على سبيل المثال، انخفضت معدلات الكشف إلى ~0.00–0.25) بعد هجمات الإزالة.
  • نجح PGID-R في استعادة معدلات الكشف إلى ~1.00 (100%) ودقة البت إلى مستويات شبه مثالية عبر جميع المخططات ونماذج المهاجمين. كما حقق درجات AUC قريبة من 1.0، مما مكنه من التمييز بفعالية بين الصور التي تمت إزالة علامتها والصور النظيفة غير المميزة.
• ضد هجمات التزوير:
  • كانت المخططات الأساسية عرضة بشدة، حيث يتم اكتشاف الصور المزورة دائماً تقريباً على أنها تحمل علامة مائية (معدل كشف ~1.00).
  • نجح PGID-F في كبح إشارة التزوير، مما قلل معدلات الكشف إلى ما يقرب من 0.00 ودقة البت إلى مستويات التخمين العشوائي (~0.5).
  • والأهم من ذلك، حافظ PGID-F على سلامة العلامات المائية الأصلية. فعند تمرير صور مميزة بعلامة مائية أصلية عبر PGID-F، ظلت معدلات الكشف مرتفعة (>0.93) وتم الحفاظ على دقة البت، بينما تم رفض الصور المزورة.
• القدرة على التعميم: أظهرت الطريقة أداءً قوياً عبر مختلف معماريات النماذج (SD 2.1، SD 1.5، PixArt-$\alpha$) ومختلف جداول الهجوم (DDIM، DPM).

الأهمية والادعاءات

يزعم البحث أن PGID يعالج فجوة أمنية حرجة في العلامات المائية الدلالية من خلال تجاوز عملية القلب أحادية المرحلة البسيطة. ومن خلال الاستفادة من قدرات تقليل الضجيج المتأصلة في نموذج الانتشار عبر دورات تدريجية غير متماثلة، يستطيع PGID "تنظيف" التمثيل الكامن من الاضطرابات العدائية بفعالية.

يؤكد المؤلفون أن PGID لا يتطلب تدريباً ويعمل بنظام "التوصيل والتشغيل"، حيث يتطلب فقط نموذج مزود الخدمة للدفاع ضد الهجمات المعقدة من نوع "الصندوق الأسود". ويشيرون إلى أنه بينما قد تحتاج المعلمات الفائقة (خطوة التوقف $k$، خطوات التخطي $s$، قوة التوجيه $\gamma$) إلى ضبط لمخططات معينة (خاصة الحساسة مثل PRC)، فإن إطار العمل يوفر حلاً قوياً وموحداً لتوثيق المحتوى. إن هذا العمل يثبت أنه من الممكن استعادة العلامات المائية من هجمات الإزالة ورفض حالات التزوير، مما يعزز بشكل كبير موثوقية الكشف عن المحتوى المولد بالذكاء الاصطناعي.