🤖 machine learning

Shallow Diffuse: Robust and Invisible Watermarking through Low-Dimensional Subspaces in Diffusion Models

Die Arbeit stellt „Shallow Diffuse" vor, eine robuste und unsichtbare Wasserzeichenmethode für Diffusionsmodelle, die durch die Entkopplung des Wasserzeichens vom Bildgenerierungsprozess mittels eines niedrigdimensionalen Unterraums eine überlegene Beständigkeit und Nachweisbarkeit im Vergleich zu bestehenden Ansätzen erreicht.

Ursprüngliche Autoren: Wenda Li, Huijie Zhang, Qing Qu

Veröffentlicht 2026-02-13

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Wenda Li, Huijie Zhang, Qing Qu

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stell dir vor, KI-Modelle (wie die, die Bilder aus Text erstellen) sind wie magische Kochtöpfe. Du wirfst Zutaten (Text) hinein, und nach einer Weile kommt ein köstliches Bild heraus. Das Problem ist: Niemand weiß, wer das Bild gekocht hat, und manche Leute nutzen diese Bilder, um zu lügen oder Urheberrechte zu verletzen.

Wir brauchen also einen unsichtbaren Stempel (ein Wasserzeichen), der auf jedem KI-Bild sitzt. Dieser Stempel soll:

Unsichtbar sein (das Bild darf nicht hässlich aussehen).
Unzerstörbar sein (selbst wenn man das Bild schneidet, filtert oder neu berechnet, bleibt der Stempel da).
In beiden Fällen funktionieren: Ob der Koch (Server) den Stempel während des Kochens aufdrückt, oder ob ein Gast (Nutzer) ihn nachher auf ein fertiges Bild klebt.

Das Problem mit den alten Methoden

Bisherige Methoden waren wie ein schwerer Stein, den man in den Kochtopf wirft, bevor das Essen fertig ist.

Der Nachteil: Der Stein verändert den Geschmack des Essens (das Bild wird verzerrt).
Das andere Problem: Wenn der Gast das fertige Essen hat, kann er den Stein nicht mehr hineinwerfen, ohne das Essen zu verderben.

Die Lösung: "Shallow Diffuse" (Flaches Diffundieren)

Die Forscher aus Michigan haben eine geniale Idee: Statt einen schweren Stein in den Topf zu werfen, nutzen sie die Geometrie des Kochtopfes selbst.

Stell dir vor, der Kochtopf (das KI-Modell) hat eine besondere Eigenschaft: Wenn du das Essen in bestimmten Phasen des Kochens betrachtest, ist es wie ein flaches Blatt Papier in einem riesigen Raum. Alles, was das Bild ausmacht, passiert auf diesem flachen Blatt. Aber es gibt riesige, leere Räume neben diesem Blatt (den sogenannten "Nullraum").

Die Magie von Shallow Diffuse:

Der Trick: Die Forscher drücken den unsichtbaren Stempel nicht auf das Bild, sondern in den leeren Raum neben dem Bild.
Warum das funktioniert: Weil der Stempel in den leeren Raum fällt, stört er das eigentliche Bild (das auf dem Blatt liegt) überhaupt nicht. Das Bild bleibt perfekt scharf und natürlich (hohe "Konsistenz").
Die Entdeckung: Wenn man später das Bild untersucht, kann man den Stempel trotzdem finden, weil er in diesem speziellen leeren Raum "geparkt" wurde. Selbst wenn jemand versucht, das Bild zu verändern (z. B. durch Schneiden oder Filtern), bleibt der Stempel in seinem sicheren Hafen erhalten.

Die zwei Szenarien (Server & Nutzer)

Szenario 1: Der Koch (Server)
Der Koch drückt den Stempel in den leeren Raum, während er das Bild kocht. Das Ergebnis ist ein perfektes Bild mit einem unsichtbaren, aber unzerstörbaren Stempel.
Szenario 2: Der Gast (Nutzer)
Ein Gast hat ein fertiges Bild. Er kann das Bild kurz "rückwärts" durch den Kochtopf schicken (eine Art Zeitreise im Modell), den Stempel in den leeren Raum legen und dann wieder vorwärts laufen lassen. Da der Stempel im leeren Raum liegt, wird das Bild dabei nicht kaputtgemacht.

Warum ist das so toll?

Kein "Geschmacksverlust": Frühere Methoden haben das Bild oft leicht unscharf oder verzerrt gemacht. Shallow Diffuse ist so präzise, dass das Bild fast identisch zum Original ist.
Unzerstörbar: Selbst wenn jemand das Bild durch eine KI "reinigt" oder neu generiert, bleibt der Stempel erhalten, weil er tief in der Struktur des Modells verankert ist, nicht nur auf der Oberfläche.
Flexibel: Es funktioniert sowohl für den Ersteller als auch für den Nutzer, ohne dass das KI-Modell neu trainiert werden muss.

Zusammenfassend:
Shallow Diffuse ist wie ein Geister-Stempel. Er ist unsichtbar, weil er in einer Dimension existiert, die das Bild nicht berührt. Er ist robust, weil er dort sitzt, wo die meisten Angriffe ihn nicht erreichen können. Und er ist flexibel, weil er sowohl beim Kochen als auch beim Servieren angebracht werden kann, ohne das Essen zu verderben.

1. Problemstellung

Die weitverbreitete Nutzung von KI-generierten Inhalten durch Diffusionsmodelle (z. B. Stable Diffusion, DALL-E) hat ernsthafte Bedenken hinsichtlich Fehlinformationen, Urheberrechtsverletzungen und des „Modellkollapses" (die Verschlechterung von Modellen durch Training auf KI-generierten Daten) aufgeworfen. Wasserzeichen sind eine entscheidende Technik, um solche Inhalte zu identifizieren und Missbrauch zu verhindern.

Bestehende Ansätze leiden jedoch unter zwei Hauptproblemen:

Server-Szenario (Generierung): Methoden, die Wasserzeichen in das initiale Rauschen (Seed) integrieren (z. B. Tree-Ring, RingID), koppeln die Wasserzeichen-Einbettung eng an den Sampling-Prozess. Dies führt oft zu inkonsistenten Bildern (visuelle Verzerrungen), da die ursprüngliche Gaußsche Rauschverteilung stark verzerrt wird. Zudem benötigen diese Methoden Zugriff auf den Seed, was sie für das User-Szenario unbrauchbar macht.
User-Szenario (Nachbearbeitung): Traditionelle Methoden, die Wasserzeichen direkt in das fertige Bild einbetten, sind oft anfällig für einfache Angriffe wie Unschärfe oder Kompression und können die Bildqualität beeinträchtigen.

Es fehlte bisher an einer robusten und konsistenten Methode, die sowohl für Server- als auch für User-Szenarien geeignet ist, ohne die Bildqualität zu opfern.

2. Methodik: Shallow Diffuse

Shallow Diffuse ist ein training-freier Ansatz, der die Einbettung von Wasserzeichen vom eigentlichen Generierungsprozess entkoppelt. Der Kern der Methode basiert auf der Beobachtung, dass Diffusionsmodelle während des Generierungsprozesses eine niedrigdimensionale Unterraum-Struktur aufweisen.

Schlüsselkonzepte:

Niedrigdimensionale Unterräume: Die Autoren nutzen die Eigenschaft, dass der Jacobian der Posterior Mean Predictor (PMP) Funktion in Diffusionsmodellen in bestimmten Zeitschritten (Timesteps) einen sehr niedrigen Rang hat. Das bedeutet, dass der Großteil des Raums im „Nullraum" (Null Space) dieses Operators liegt.
Entkopplung: Anstatt Wasserzeichen in das initiale Rauschen zu injizieren, wird das Wasserzeichen $\lambda \Delta \mathbf{x}$ zu einem spezifischen Zeitschritt $t^*$ (typischerweise $t^* \approx 0.3T$ ) in den latenten Zustand $\mathbf{x}_{t^*}$ eingefügt.
Mathematische Begründung: Aufgrund der lokalen Linearität und des niedrigen Rangs des Jacobians $J_{\theta, t^*}$ liegt ein signifikanter Teil des Wasserzeichens im Nullraum des Operators. Daher gilt näherungsweise:
$J_{\theta, t^*}(\Delta \mathbf{x}) \approx 0$
Dies bedeutet, dass das Wasserzeichen die Vorhersage des ursprünglichen Bildes $\mathbf{x}_0$ kaum beeinflusst (hohe Konsistenz), aber dennoch im zweiten Term des DDIM-Sampling-Prozesses erhalten bleibt und detektierbar ist (hohe Robustheit).
Frequenzbereich: Das Wasserzeichen wird im Frequenzbereich (mittels DFT) in den hochfrequenten Anteilen des Bildes platziert. Da diese Anteile weniger Energie tragen und feinere Details repräsentieren, bleibt das Wasserzeichen für das menschliche Auge unsichtbar, ist aber gegen Angriffe robust.
Flexibilität:
- Server-Szenario: Das Wasserzeichen wird während der Generierung über CFG (Classifier-Free Guidance) eingebracht.
- User-Szenario: Das Wasserzeichen wird nachträglich über DDIM-Inversion in ein existierendes Bild eingebracht, ohne den ursprünglichen Seed zu benötigen.

3. Wichtige Beiträge

Entkopplung von Sampling und Wasserzeichen: Durch die Ausnutzung des Nullraums des niedrigdimensionalen Unterraums wird die Einbettung vom Generierungsprozess getrennt. Dies ermöglicht eine hohe Bildkonsistenz, da die generierten Bilder fast identisch mit denen ohne Wasserzeichen sind.
Universelle Anwendbarkeit: Shallow Diffuse ist die erste Methode, die sowohl für Server- als auch für User-Szenarien funktioniert und dabei hohe Robustheit und Konsistenz bietet.
Theoretische Garantien: Die Autoren liefern mathematische Beweise (Theorem 1 & 2), die zeigen, dass die Einbettung des Wasserzeichens den Fehler in der Bildvorhersage begrenzt (abhängig vom Rang des Jacobians, nicht von der Gesamtdimension) und dass das Wasserzeichen mit hoher Wahrscheinlichkeit detektierbar bleibt.
Training-Frei: Im Gegensatz zu vielen anderen Methoden erfordert Shallow Diffuse kein Fine-Tuning oder erneutes Training des Diffusionsmodells.

4. Ergebnisse

Die Autoren führten umfangreiche Experimente mit dem Stable Diffusion 2-1-Modell durch und verglichen Shallow Diffuse mit State-of-the-Art-Methoden (Tree-Ring, RingID, Gaussian Shading, etc.).

Konsistenz (Bildqualität): Shallow Diffuse erzielt in beiden Szenarien (Server und User) die besten Ergebnisse bei Metriken wie PSNR, SSIM und LPIPS. Im Vergleich zu Methoden wie RingID oder Gaussian Shading, die oft starke visuelle Artefakte erzeugen, bleibt Shallow Diffuse nahezu unsichtbar.
Robustheit: Das Verfahren ist extrem robust gegen eine Vielzahl von Angriffen, einschließlich:
- Verzerrungen (JPEG-Kompression, Unschärfe, Rauschen).
- Regenerationsangriffe (Diffusion Purification, VAE-Kompression).
- Adversarial Attacks (Averaging).
- In Tests erreichte Shallow Diffuse oft eine True Positive Rate (TPR) von 100% bei einer False Positive Rate (FPR) von 1%, vergleichbar mit den robustesten bestehenden Methoden.
Trade-off: Durch Anpassung der Masken-Radius-Parameter kann ein optimaler Kompromiss zwischen Bildqualität und Robustheit gefunden werden. Shallow Diffuse liegt in der Trade-off-Kurve (Konsistenz vs. Robustheit) deutlich über den Kurven von Tree-Ring und RingID.
Generalisierung: Die Methode wurde erfolgreich auf Transformer-basierte Modelle (FLUX) übertragen, was die Allgemeingültigkeit des Ansatzes unterstreicht.

5. Bedeutung und Ausblick

Shallow Diffuse stellt einen bedeutenden Fortschritt im Bereich der KI-Sicherheit und -Authentifizierung dar.

Vertrauenswürdige KI: Es bietet eine praktikable Lösung, um die Herkunft von KI-generierten Bildern nachzuweisen, was für den Schutz von Urheberrechten und die Bekämpfung von Deepfakes essenziell ist.
Praktische Implementierbarkeit: Da die Methode training-frei ist und keine Änderungen an der Infrastruktur der Modellbetreiber erfordert, kann sie leicht in bestehende Pipelines integriert werden.
Wissenschaftlicher Beitrag: Die Arbeit verbindet die Theorie der niedrigdimensionalen Unterräume in generativen Modellen mit praktischer Wasserzeichen-Technologie und liefert damit neue theoretische Einsichten in die Struktur von Diffusionsmodellen.

Zusammenfassend bietet Shallow Diffuse eine elegante Lösung, die das Dilemma zwischen Unsichtbarkeit (Konsistenz) und Widerstandsfähigkeit (Robustheit) bei der Wasserzeichen-Einbettung in Diffusionsmodellen effektiv löst.