Spread them Apart: Towards Robust Watermarking of Generated Content

Diese Arbeit stellt ein wettbewerbsfähiges, nachträgliches Wasserzeichen-Verfahren für generierte Bilder vor, das ohne erneutes Training des Modells auskommt und robust gegen additive Störungen sowie gezielte Angriffe zur Entfernung von Wasserzeichen ist.

Das Wesentliche

Stell dir vor, du hast einen magischen Maler-Roboter (einen sogenannten „Generativen KI-Modell"), der Bilder erschafft, die so realistisch sind, dass man sie kaum von echten Fotos unterscheiden kann. Das ist toll für die Kunst, aber es bringt ein Problem mit sich: Was, wenn jemand dieses Bild stiehlt und behauptet, er selbst hätte es gemalt? Oder was, wenn jemand ein gefälschtes Bild erstellt, das jemanden in einer peinlichen Situation zeigt (ein „Deepfake")?

Die Forscher in diesem Papier haben eine clevere Lösung dafür entwickelt, die sie „Spread them Apart" (auf Deutsch etwa: „Bringe sie auseinander") nennen. Hier ist die Erklärung, wie das funktioniert, ganz ohne komplizierte Mathematik:

1. Das Problem: Unsichtbare Tinte

Normalerweise ist ein KI-Bild wie ein Blatt Papier, auf dem niemand weiß, wer es geschrieben hat. Wenn du es herunterlädst, ist es nur ein Bild. Die Autoren wollen aber, dass jedes Bild einen unsichtbaren Fingerabdruck trägt.

Stell dir vor, du druckst ein Foto aus, aber du hast eine unsichtbare Tinte benutzt, die nur unter einem speziellen UV-Licht sichtbar wird. Nur der Besitzer des UV-Lichts (der KI-Anbieter) kann sehen: „Aha, dieses Bild wurde von User Anna erstellt."

2. Die Lösung: Der geheime Code im Pixel-Abstand

Die Methode funktioniert nicht, indem sie ein Logo in die Ecke des Bildes malt (das wäre zu leicht zu entfernen). Stattdessen nutzen sie einen Trick mit den Pixeln (den kleinen Farbpunkten, aus denen das Bild besteht).

• Der geheime Schlüssel: Jeder Nutzer bekommt einen geheimen Schlüssel. Das ist wie eine Liste mit Paaren von Pixeln. Zum Beispiel: „Vergleiche Pixel Nr. 100 mit Pixel Nr. 500."
• Die Regel: Wenn der Nutzer Anna das Bild erstellt, passt der Roboter das Bild so an, dass Pixel 100 immer etwas heller ist als Pixel 500 (oder umgekehrt, je nach dem Bit des Codes).
• Der Trick: Diese Unterschiede sind winzig. Für das menschliche Auge sieht das Bild genauso aus wie vorher. Aber für den Roboter ist es wie ein geheimes Morsezeichen, das in die Helligkeit der Punkte eingraviert ist.

3. Warum ist das so stark? (Die „Robustheit")

Das ist der coolste Teil. Viele alte Wasserzeichen waren wie ein Aufkleber auf einem Bild: Wenn man das Bild schneidet, dreht oder die Farben verändert, fällt der Aufkleber ab oder wird unlesbar.

Die Methode „Spread them Apart" ist wie ein Gummiband im Bild:

• Helligkeit ändern? Egal. Wenn du das ganze Bild heller machst, werden beide Pixel heller. Der Abstand zwischen ihnen bleibt gleich. Der Code bleibt erhalten.
• Kontrast ändern? Egal. Der Unterschied zwischen den Pixeln bleibt bestehen.
• Drehen oder Schneiden? Hier kommt der zweite Teil der Methode ins Spiel. Die Forscher speichern den Code nicht nur in den Pixeln, sondern auch in einer „mathematischen Landkarte" des Bildes (im Frequenzbereich). Stell dir vor, du schreibst eine Nachricht nicht nur auf das Papier, sondern auch in die Struktur des Papiers selbst. Selbst wenn du das Papier drehst, ist die Nachricht immer noch da, weil sie in der Struktur verankert ist.

4. Wie wird der Dieb entlarvt?

Wenn jemand ein Bild hochlädt und behauptet, es sei sein eigenes Werk, nimmt der KI-Anbieter das Bild und schaut mit seinem „UV-Licht" (dem geheimen Schlüssel) nach.

• Er prüft: „Ist Pixel 100 wirklich heller als Pixel 500?"
• Wenn ja, weiß er: „Das Bild wurde von Anna erstellt."
• Wenn nein, weiß er: „Das ist entweder kein KI-Bild oder jemand hat versucht, den Code zu löschen."

5. Das große Versprechen

Die Autoren beweisen mathematisch, dass man diesen Code nicht einfach löschen kann, ohne das Bild zu zerstören. Um den Code zu entfernen, müsste man die Pixel so stark verändern, dass das Bild unscharf wird, verrauscht aussieht oder gar nicht mehr wie ein Bild erkennbar ist. Es ist wie der Versuch, eine Nachricht aus einem Stein herauszuschlagen, ohne den Stein zu zertrümmern.

Zusammenfassung in einem Satz

Die Forscher haben eine Methode entwickelt, die KI-Bilder mit einem unsichtbaren, unzerstörbaren Code versieht, der sicherstellt, dass man immer weiß, wer das Bild erstellt hat – selbst wenn jemand versucht, es zu bearbeiten, zu drehen oder die Farben zu verändern.

Es ist im Grunde wie ein digitaler DNA-Test für Bilder, der sicherstellt, dass die KI nicht für Betrug missbraucht werden kann.

Technische Zusammenfassung

1. Problemstellung

Die rasante Verbesserung generativer Modelle, insbesondere Diffusionsmodelle (z. B. Stable Diffusion), hat die Qualität synthetischer Bilder so weit gesteigert, dass sie oft nicht mehr von echten Aufnahmen zu unterscheiden sind. Dies wirft zwei kritische ethische und rechtliche Probleme auf:

• Deepfakes und Fälschungen: Es fehlen zuverlässige Werkzeuge, um automatisch zu verifizieren, ob ein digitales Objekt künstlich generiert wurde.
• Urheberrechtsverletzungen: Nutzer könnten generierte Inhalte, die durch eine Lizenz geschützt sind, als ihre eigenen Werke beanspruchen.

Das Ziel der Arbeit ist es, eine Methode zu entwickeln, die sowohl die Erkennung (Detection) generierter Inhalte als auch die Zuordnung (Attribution) des spezifischen Endnutzers ermöglicht, der die Generierung initiiert hat. Wichtig ist dabei, dass dies ohne ein erneutes Training des generativen Modells geschehen soll.

2. Methodik: „Spread them Apart"

Das vorgeschlagene Framework „Spread them Apart" integriert Wasserzeichen direkt während des Inferenzprozesses (der Bildgenerierung) in den latenten Raum des Modells.

Kernprinzip

Anstatt das Wasserzeichen nachträglich hinzuzufügen, wird die latente Repräsentation des Bildes ($z$) so optimiert, dass das resultierende Bild ($x$) eine Reihe von vordefinierten, nutzerspezifischen Ungleichungen erfüllt.

• Schlüsselkonzept: Jeder Nutzer $u_i$ erhält ein öffentliches Wasserzeichen $w(u_i)$ (eine Binärkette) und einen geheimen Schlüssel $s(u_i)$ (eine Liste von Index-Paaren $(a_j, b_j)$).
• Einbettung (Embedding): Das Wasserzeichen wird durch die Beziehung zwischen den Pixelintensitäten an den Positionen $a_j$ und $b_j$ kodiert:
  • Wenn das $j$-te Bit des Wasserzeichens $0$ ist, muss gelten: $x_{a_j} \ge x_{b_j}$.
  • Wenn das $j$-te Bit $1$ ist, muss gelten: $x_{a_j} < x_{b_j}$.
  • Um Robustheit zu gewährleisten, wird ein Schwellenwert $\epsilon$ eingeführt, sodass der Abstand $|x_{a_j} - x_{b_j}| \ge \epsilon$ ist.
• Optimierung: Während der Generierung wird eine Verlustfunktion minimiert, die zwei Komponenten kombiniert:
  1. $\mathcal{L}_{wm}$: Sicherstellt, dass die Pixelbeziehungen die Wasserzeichen-Bits erfüllen.
  2. $\mathcal{L}_{qual}$: Sichert die Bildqualität (gemessen durch LPIPS), um sicherzustellen, dass das Bild natürlich aussieht.
• Extraktion (Decoding): Der Modellbetreiber nutzt den geheimen Schlüssel des Nutzers, um die Pixelbeziehungen im Bild zu prüfen und das Wasserzeichen wiederherzustellen. Durch Vergleich mit dem registrierten Wasserzeichen wird der Nutzer identifiziert.

Erweiterung für geometrische Transformationen

Um Robustheit gegen Rotationen und Translationen zu erreichen, wird das Wasserzeichen nicht nur im Pixelraum, sondern auch in invarianten Darstellungen eingebettet:

• Translation: Nutzung der Fourier-Amplitude (translation-invariant).
• Rotation: Nutzung der Fourier-Mellin-Transformation (rotations-invariant).
  Das System optimiert somit drei parallele Wasserzeichen: eines im Pixelraum, eines im translationsinvarianten Raum und eines im rotationsinvarianten Raum.

3. Wichtige Beiträge

1. Neues Framework: Einführung von „Spread them Apart", einem Ansatz zur Einbettung von Wasserzeichen in kontinuierliche generierte Inhalte ohne Nachtraining des Modells.
2. Theoretische Robustheitsgarantie: Der Beweis, dass die eingebetteten Wasserzeichen gegen additive Störungen mit begrenzter Norm ($\ell_\infty$-Norm) robust sind. Ein Lemma zeigt, dass eine bestimmte Störungsgrenze notwendig ist, um eine bestimmte Anzahl von Bits des Wasserzeichens zu zerstören.
3. Erweiterte Robustheit: Durch die Einbettung in invariante Domänen wird die Widerstandsfähigkeit gegen geometrische Transformationen (Rotation, Translation) sowie multiplikative Störungen (Helligkeit, Kontrast, Gamma-Korrektur) sichergestellt.
4. Doppelseitige Detektion: Das System nutzt eine „Double-Tail"-Erkennungslogik, bei der ein Bild sowohl als „sehr ähnlich" als auch als „sehr unähnlich" (im Sinne eines Bit-Flip-Angriffs) zum Originalwasserzeichen klassifiziert werden kann, um Angriffe auf das Wasserzeichen zu erkennen.

4. Ergebnisse

Die Methode wurde an Stable Diffusion (v2-base) getestet und mit State-of-the-Art-Verfahren (Stable Signature, SSL, AquaLora, WOUAF) verglichen.

• Robustheit gegen Angriffe:
  • Additive Störungen: Das Verfahren zeigt extrem niedrige Bit-Fehlerraten (ABWE) bei Helligkeits-, Kontrast- und Gamma-Anpassungen sowie bei Rauschen.
  • Adversarial Attacks: Gegenüber einem White-Box-PGD-Angriff (der versucht, das Wasserzeichen zu löschen) bleibt die Methode den meisten Konkurrenten überlegen.
  • Geometrische Angriffe: Die Erweiterung mit invarianten Darstellungen (STA(3)) ermöglicht eine hohe Trefferquote (TPR) selbst bei Rotationen und Translationen, wo die Basisversion (STA(1)) versagt.
• Qualität: Die Bildqualität bleibt trotz der Optimierung erhalten, da der Qualitätsverlust durch den Regularisierungsterm $\mathcal{L}_{qual}$ kontrolliert wird.
• Vergleich: Das Verfahren erreicht in den meisten Szenarien eine höhere True Positive Rate (TPR) bei der Zuordnung und Erkennung als die Vergleichsmethoden, insbesondere bei aggressiven Angriffen wie Gamma-Korrektur oder PGD.

5. Bedeutung und Fazit

„Spread them Apart" stellt einen signifikanten Fortschritt im Bereich des Wasserzeichens für generative KI dar.

• Praktische Anwendbarkeit: Da keine Nachtrainierung des teuren Diffusionsmodells erforderlich ist, kann die Methode direkt in bestehende Dienste integriert werden.
• Sicherheit: Die theoretische Garantie gegen additive Störungen und die empirische Robustheit gegen komplexe Angriffe (inklusive adversarial attacks) machen es zu einem starken Werkzeug für den Urheberrechtsschutz.
• Vertrauen: Die Fähigkeit, sowohl die Herkunft (Modell) als auch den Ersteller (Nutzer) eines Bildes nachzuweisen, ist ein entscheidender Schritt zur Bewältigung der ethischen Herausforderungen von Deepfakes und zur Sicherung geistigen Eigentums in der Ära der generativen KI.

Zusammenfassend bietet das Paper eine robuste, effiziente und theoretisch fundierte Lösung, um die Integrität und Nachverfolgbarkeit von KI-generierten Inhalten zu gewährleisten.