🤖 AI

Learning to Watermark in the Latent Space of Generative Models

Dieses Paper stellt DistSeal vor, einen vereinheitlichten Ansatz, der Post-hoc-Watermarking-Modelle im latenten Raum generativer Modelle trainiert und diese in den Generator oder Decoder destilliert, wodurch ein robustes, unauffälliges und bis zu 20-mal schnelleres Watermarking im Vergleich zu traditionellen Methoden im Pixelraum erreicht wird.

Ursprüngliche Autoren: Sylvestre-Alvise Rebuffi, Tuan Tran, Valeriu Lacatusu, Pierre Fernandez, Tomáš Souček, Nikola Jovanović, Tom Sander, Hady Elsahar, Alexandre Mourachko

Veröffentlicht 2026-01-23

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Sylvestre-Alvise Rebuffi, Tuan Tran, Valeriu Lacatusu, Pierre Fernandez, Tomáš Souček, Nikola Jovanović, Tom Sander, Hady Elsahar, Alexandre Mourachko

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie hätten einen magischen Künstler (eine generative KI), der unglaublich realistische Bilder aus dem Nichts malen kann. Das Problem ist: Sobald diese Bilder in der Welt sind, ist es schwer zu sagen, ob sie von einem Menschen oder einer Maschine gemalt wurden. Dies macht es leicht für böswillige Akteure, Fake News oder Deepfakes zu erstellen.

Um dieses Problem zu lösen, müssen wir diesen KI-Bildern eine „verborgene Signatur“ geben, wie eine geheime Wasserzeichenung. Dieses Paper stellt eine neue, intelligentere Methode vor, die DISTSEAL genannt wird.

So funktioniert es, unterteilt in einfache Konzepte:

1. Die alte Art: Die Signatur auf die Leinwand malen

Früher versuchten die Leute, Wasserzeichen hinzuzufügen, nachdem die KI das Bild fertig gemalt hatte. Stellen Sie sich vor, die KI malt ein 512x512-Pixel-Bild (eine riesige Leinwand). Dann muss ein separates Werkzeug kommen und ganz vorsichtig einen winzigen, unsichtbaren Code in jeden einzelnen Pixel dieser fertigen Leinwand ritzen.

Das Problem: Das ist langsam und klobig. Es ist, als würde man eine zweite Person engagieren, die über ein fertiges Gemälde geht und dann eine Unterschrift hinzufügt. Dies hinterlässt zudem winzige „Artefakte“ (Glitch-Effekte), die manchmal sichtbar sein oder leicht entfernt werden können.

2. Die neue Art: Die „Latent Space“-Küche

Die Autoren erkannten, dass die KI, bevor sie das endgültige Bild malt, eigentlich in einer komprimierten, verborgenen „Küche“ arbeitet, dem sogenannten Latent Space. Denken Sie an dies als eine grobe Skizze oder einen Satz von Anweisungen, der viel kleiner und einfacher ist als das endgültige Gemälde.

Die Innovation: Anstatt zu warten, bis das Gemälde fertig ist, platziert DISTSEAL das Wasserzeichen innerhalb dieser verborgenen Küche, während die KI noch am „Kochen“ ist.
Der Vorteil: Da die „Küche“ viel kleiner ist als die endgültige Leinwand, ist der Prozess 20 Mal schneller. Es ist, als würde man den geheimen Code auf den Rezeptzettel schreiben, anstatt zu versuchen, ihn auf den fertigen Kuchen zu schreiben.

3. Zwei Wege, den geheimen Code zu nutzen

A. Die „Post-it-Methode“ (Post-Hoc)
Man kann das System immer noch nach der Generierung des KI-Bildes verwenden, aber anstatt das große Canvas zu berühren, berührt man die kleine Rezeptkarte (den Latent Space), bevor sie zu einem Bild wird.

Ergebnis: Es ist unglaublich schnell und die Bilder sehen genauso gut aus wie die Originale, aber der verborgene Code ist viel schwieriger zu entfernen.

B. Die „Eingebackene Methode“ (In-Model)
Das ist der wirklich coole Teil. Die Autoren haben herausgefunden, wie man den KI-Künstler selbst „lehrt“, das geheime Wasserzeichen immer einzubauen, während er malt.

Wie: Sie nehmen die „Post-it-Methode“ und „destillieren“ sie (wie das Transferieren von Wissen) direkt in das Gehirn der KI (ihre Gewichte/Weights).
Ergebnis: Jetzt ist das Wasserzeichen bei jedem Malen automatisch mit eingebacken. Man braucht kein separates Werkzeug mehr. Wenn jemand versucht, den Code der KI zu kopieren (Open Source), bleibt das Wasserzeichen trotzdem erhalten, da es Teil der DNA des Künstlers ist und nicht nur ein Werkzeug, das man einfach löschen kann.

4. Warum das eine große Sache ist

Geschwindigkeit: Es ist bis zu 20 Mal schneller als bisherige Methoden, weil es auf dem kleinen „Rezept“ arbeitet anstatt auf der riesigen „Leinwand“.
Unauffälligkeit: Die Wasserzeichen sind für das menschliche Auge unsichtbar und beeinträchtigen die Qualität der Kunst nicht.
Robustheit: Das Paper hat getestet, wie diese Wasserzeichen gegen Angriffe wie Zuschneiden, Größenänderung, Farbänderungen und Komprimierung bestehen. Die „Latent Space“-Wasserzeichen überlebten diese Angriffe viel besser als die alten „Pixel Space“-Methoden.
Besser als Pixel-Destillation: Die Autoren versuchten, die KI mit der alten „Pixel“-Methode zu lehren, aber dies schlug fehl (die KI konnte die komplexen Muster nicht lernen). Als sie die KI jedoch mit der neuen „Latent“-Methode lehrten, lernte die KI perfekt.

Zusammenfassende Analogie

Alte Methode: Ein Sicherheitsmann steht am Ausgang einer Fabrik und stempelt jedes fertige Auto mit einer Seriennummer, die schwer zu entdecken ist. Das ist langsam, und der Stempel könnte abreiben.
DISTSEAL: Die Fabrikarbeiter werden geschult, die Seriennummer bereits auf den Bauplan des Autos zu stempeln, während sie das Auto bauen. Der Stempel ist Teil der Struktur des Autos, er geschieht sofort und es ist fast unmöglich, ihn zu entfernen, ohne das Auto selbst zu zerstören.

Das Paper kommt zu dem Schluss, dass diese Methode sowohl für die beiden Haupttypen von KI-Bildgeneratoren (Diffusionsmodelle und autoregressive Modelle) funktioniert und eine robuste, schnelle und effiziente Möglichkeit bietet, zu beweisen, dass ein Bild von einer KI stammt.

Technisches Resümee: Lernen der Wasserzeichensetzung im latenten Raum generativer Modelle

Problemstellung

Der rasante Fortschritt generativer Modelle (Diffusion und Autoregressiv) hat die Erstellung hochrealistischer synthetischer Inhalte ermöglicht, was Bedenken hinsichtlich Missbrauch, Deepfakes und Verletzungen des geistigen Eigentums aufwirft. Während unsichtbare Wasserzeichen eine Lösung für die Provenienz bieten, stehen bestehende Ansätze vor erheblichen Einschränkungen:

Post-hoc-Methoden im Pixelraum: Diese modifizieren bereits generierte Bilder im Pixelraum. Sie sind zwar flexibel und modellagnostisch, verursachen jedoch einen erheblichen Rechenaufwand durch die Verarbeitung hochauflösender Bilder (z. B. $512 \times 512 \times 3$ ) und führen Latenzen ein. Zudem bieten sie eine schwache Sicherheit für Open-Source-Bereitstellungen, da Nutzer sie leicht umgehen können, indem sie eine einzige Zeile Code entfernen.
In-Modell-Methoden: Obwohl diese sicherer sind, mangelt es früheren Versuchen, Wasserzeichen direkt in die Modellgewichte zu integrieren, oft an Robustheit oder sie erfordern komplexe Modifikationen des Sampling-Prozesses.

Die zentrale Herausforderung besteht darin, ein einheitliches Wasserzeichen-Framework zu entwickeln, das direkt im latenten Raum generativer Modelle operiert, um eine In-Modell-Wasserzeichensetzung (Einbettung des Wasserzeichens in die Modellgewichte) zu ermöglichen, die sowohl recheneffizient als auch resistent gegen Entfernung ist, ohne Latenzstrafen zu verursachen.

Methodik: DISTSEAL

Die Autoren führen DISTSEAL ein, ein einheitliches Framework für die Wasserzeichensetzung im latenten Raum, das sowohl für Diffusions- als auch für autoregressive Modelle anwendbar ist. Der Ansatz besteht aus zwei primären Phasen:

1. Post-hoc-Wasserzeichensetzung im latenten Raum

Die erste Phase umfasst das Training eines Wasserzeichen-Embedder-Extractor-Paares ( $W_\theta, E_\theta$ ), das im latenten Raum des generativen Modells anstatt im Pixelraum operiert.

Einbettung (Embedding): Der Embedder nimmt eine latente Repräsentation $z$ $z$ und eine binäre Nachricht $m$ $m$ entgegen und gibt ein wasserzeichenbehaftetes Latent $z_w = z + \epsilon W_\theta(z, m)$ $z_{w} = z + ϵ W_{θ} (z, m)$ aus.
- Für Diffusionsmodelle (kontinuierliche Latente) wird die Störung direkt auf $z$ angewendet.
- Für autoregressive Modelle (diskrete Token) kann der Embedder entweder vor der Quantisierung (Modifikation kontinuierlicher Latente) oder nach der Quantisierung (Modifikation von Token-Embeddings) operieren. Die Autoren nutzen Straight-Through Estimation, um durch den Quantisierungsschritt zurückzupropagieren.
Trainingsziel: Das Modell wird unter Verwendung einer Kombination aus einem Wasserzeichen-Extraktionsverlust ( $L_w$ ) und einem Diskriminatorverlust ( $L_{disc}$ ) trainiert, der im Pixelraum angewendet wird, um Imperzeptibilität sicherzustellen. Im Gegensatz zu einigen früheren Arbeiten verzichten die Autoren auf Rekonstruktions- oder Perzeptionsverluste für den Embedder und verlassen sich stattdessen auf die Wasserzeichenstärke $\epsilon$ und den Diskriminator, um die Ausgabe zu beschränken.
Augmentierung: Das Training umfasst verschiedene Wertmetrik-, geometrische und Kompressions-Augmentierungen, um Benutzer-Edits zu simulieren und Robustheit zu gewährleisten.

2. Destillation für die In-Modell-Wasserzeichensetzung

Die zweite Phase destillert den trainierten Post-hoc-Latent-Wasserzeichner in das generative Modell selbst oder dessen latenten Decoder, wodurch der Bedarf an einem separaten Post-Processing-Schritt entfällt.

Destillation in das generative Modell: Das vortrainierte generative Modell (Diffusion Transformer oder autoregressiver Transformer) wird darauf feinjustiert, die wasserzeichenbehafteten Latente $z_w$ anstatt der ursprünglichen sauberen Latente $z$ zu rekonstruieren oder vorherzusagen. Dies erzwingt, dass das Modell inhärent wasserzeichenbehaftete Ausgaben generiert.
Destillation in den latenten Decoder: Der latente Decoder $D$ wird feinjustiert, um wasserzeichenbehaftete Bilder aus nicht-wasserzeichenbehafteten Latenten zu rekonstruieren. Die Verlustfunktion kombiniert einen Rekonstruktionsverlust ( $L_{rec}$ ) und einen Wasserzeichen-Extraktionsverlust ( $L_w$ ), um den Decoder dazu zu leiten, Ausgaben zu produzieren, die das Wasserzeichen-Signal enthalten.

Zentrale Beiträge

Einheitliches Framework (DISTSEAL): Ein einziger Ansatz, der sowohl kontinuierliche latente Räume (Diffusionsmodelle) als auch diskrete Token-Sequenzen (autoregressive Modelle) handhabt.
Effizienz und Robustheit: Die Methode erreicht eine bis zu 20-fache Beschleunigung in der Inferenz im Vergleich zu Pixelraum-Baselines durch das Operieren auf komprimierten latenten Repräsentationen (z. B. $8 \times 8 \times 128$ statt $512 \times 512 \times 3$ ), während sie eine wettbewerbsfähige Robustheit gegenüber verschiedenen Angriffen beibehält.
Effektive Destillation: Die Autoren zeigen, dass latente Wasserzeichner effektiv in Modellgewichte destilliert werden können. Entscheidend ist, dass sie zeigen, dass die Destillation von latenten Wasserzeichnern die Destillation von Pixelraum-Wasserzeichnern übertrifft. Pixelraum-Wasserzeichner scheitern oft an der Destillation in latente Decoder, da die Rekonstruktion hochfrequenter Störungen schwierig ist, während latente Störungen strukturierter und für den Decoder leichter zu lernen sind.
Umfassende Analyse: Die Arbeit bietet eine detaillierte Untersuchung der Trade-offs zwischen Post-hoc- und In-Modell-Methoden, der Kompatibilität von Multi-Wasserzeichen und des Vergessens von Wasserzeichen (Anfälligkeit gegenüber LoRA-Feinabstimmung).

Experimentelle Ergebnisse

Die Autoren evaluierten DISTSEAL auf DCAE (einem Diffusionsmodell) und RAR-XL (einem autoregressiven Modell).

Post-hoc-Leistung: Die latente Wasserzeichensetzung erreichte eine durchschnittliche Bitgenauigkeit von 95,18 % (DCAE) und 93,96 % (RAR-XL) unter kombinierten Angriffen, was mit den Pixelraum-Baselines (jeweils 97,78 % und 97,27 %) vergleichbar ist. Die visuelle Qualität (FID) blieb hoch, mit minimaler Degradation.
In-Modell-Leistung (Destillation):
- Destillation in den latenten Decoder: Die Destillation des latenten Wasserzeichners in den Decoder erreichte eine durchschnittliche Bitgenauigkeit von 96,77 % (DCAE) und 90,57 % (RAR-XL), was oft das Post-hoc-Lehrer-Modell übertraf. Im Gegensatz dazu führten die Destillation von Pixel-Wasserzeichnern zu signifikant geringerer Robustheit (z. B. 65,69 % für DCAE) und höherem FID.
- Destillation in das generative Modell: Die direkte Feinabstimmung des generativen Modells lieferte robuste Ergebnisse (94,78 % für DCAE, 89,13 % für RAR-XL) mit einer etwas besseren visuellen Qualität als die Decoder-Destillation.
Geschwindigkeit: Der latente Ansatz bot eine 20-fache Beschleunigung für DCAE und eine 2,4-fache Beschleunigung für RAR-XL im Vergleich zu Pixelraum-Methoden.
Beobachtete Limitationen:
- Wasserzeichen-Vergessen: Destillierte generative Modelle sind anfällig für das Vergessen des Wasserzeichens, wenn sie auf nicht-wasserzeichenbehafteten Daten feinjustiert werden (z. B. via LoRA), wohingegen destillierte Decoder gegenüber solchen Änderungen robust bleiben.
- Starke Angriffe: Die Methode ist noch nicht vollständig robust gegen sehr starke geometrische Transformationen, eine Einschränkung, die die Autoren selbst anerkennen.

Bedeutung und Ansprüche

Das Paper behauptet, dass DISTSEAL eine praktische und effiziente Lösung zur Einbettung robuster Wasserzeichen direkt in generative Modelle bietet. Durch die Verlagerung der Wasserzeichensetzung vom Pixelraum in den latenten Raum erreichen die Autoren:

Reduzierten Overhead: Signifikante Rechenersparnisse und Reduktion der Latenz, was den Einsatz in Echtzeit oder im großen Maßstab praktikabler macht.
Erhöhte Sicherheit für Open Source: Durch die Integration des Wasserzeichens in die Modellgewichte (via Destillation) kann das Wasserzeichen nicht trivial durch das Entfernen eines Post-Processing-Skripts deaktiviert werden, was eine kritische Sicherheitslücke in Open-Source-Modell-Releases adressiert.
Überlegene Destillation: Die Erkenntnis, dass latente Wasserzeichner effektiver destilliert werden als Pixelraum-Wasserzeichner, deutet auf ein neues Paradigma für die Erstellung von „wasserzeichenbehafteten-durch-Design“-generativen Modellen hin, die hohe Treue und Robustheit bewahren.

Die Autoren positionieren diese Arbeit als einen Schritt hin zu zuverlässigen Provenienzmechanismen für KI-generierte Inhalte, die das Bedürfnis nach Rechenschaftspflicht mit der Bewahrung der Inhaltsqualität und der Generierungsgeschwindigkeit in Einklang bringen. Sie merken an, dass die Methode zwar robust, aber nicht immun gegen Entfernung ist, und dass zukünftige Arbeiten die Kombination von latenter Wasserzeichensetzung mit Post-hoc-Synchronisationsmethoden untersuchen werden, um stärkere geometrische Angriffe zu bewältigen.