TokenTrace: Multi-Concept Attribution through Watermarked Token Recovery

Die Arbeit stellt TokenTrace vor, ein proaktives Wasserzeichen-Framework, das durch die gleichzeitige Störung von Text-Prompt-Embeddings und latentem Rauschen sowie eine abfragebasierte Abfrage-Mechanik eine robuste und unabhängige Zuordnung mehrerer Konzepte (wie Objekte und Kunststile) in generierten Bildern ermöglicht.

Das Wesentliche

TokenTrace: Der unsichtbare Fingerabdruck für KI-Kunst

Stellen Sie sich vor, ein Künstler malt ein wunderschönes Bild. Doch dann nutzt eine künstliche Intelligenz (KI) diesen Stil, um tausende neue Bilder zu erstellen, ohne den ursprünglichen Künstler zu erwähnen oder zu bezahlen. Das ist das große Problem heute: KI kann Stile kopieren, aber wer hat sie eigentlich gemacht?

Bisherige Lösungen waren wie ein unsichtbarer Tintenfleck auf dem fertigen Bild. Wenn man das Bild dann zuschneidet, komprimiert oder leicht verändert, verschwindet dieser Fleck oft. Oder schlimmer noch: Wenn ein Bild zwei Dinge zeigt (z. B. einen Hund im Stil von Van Gogh), konnten die alten Systeme nicht sagen, welcher Teil dem Hund und welcher Teil dem Stil gehört. Sie waren wie ein einzelner, großer Stempel, der über alles hinweggedrückt wurde.

TokenTrace ist eine neue, clevere Erfindung, die dieses Problem löst. Hier ist die Erklärung, wie es funktioniert, mit ein paar einfachen Vergleichen:

1. Der Trick: Nicht auf das Bild, sondern auf die "Gedanken" schauen

Stellen Sie sich vor, die KI ist ein Koch, der ein Gericht kocht.

• Die alten Methoden haben versucht, ein unsichtbares Markenzeichen direkt in den fertigen Teller (das Bild) zu malen. Wenn der Teller dann zerkratzt wurde, war das Zeichen weg.
• TokenTrace macht etwas anderes: Es mischt das Markenzeichen schon in die Zutaten und das Rezept, bevor das Essen überhaupt gekocht wird.

In der Welt der KI bedeutet das:

• Die KI liest einen Text (z. B. "ein Hund im Stil von Van Gogh").
• TokenTrace verändert ganz subtil die Bedeutung der Wörter (den Text-Code) und das Rauschen (den Startpunkt der KI), aus dem das Bild entsteht.
• Es ist, als würde man dem Koch sagen: "Wenn du 'Hund' sagst, denke dabei an ein geheimes Signal A. Wenn du 'Van Gogh' sagst, denke an ein geheimes Signal B."

2. Das Problem mit dem "Gemisch": Mehrere Konzepte trennen

Das eigentliche Geniale an TokenTrace ist die Fähigkeit, Dinge zu trennen, die sich vermischen.
Stellen Sie sich vor, Sie haben einen Cocktail, der aus Orangensaft und Cola besteht.

• Frühere Systeme sagten nur: "Da ist ein Cocktail!" Sie konnten nicht sagen, wie viel Orangensaft und wie viel Cola drin ist.
• TokenTrace ist wie ein super-geübter Geschmacksprüfer. Wenn Sie ihm den Cocktail geben und sagen: "Schmeck mal nach Orange!", findet er das Orangensignal. Wenn Sie sagen: "Schmeck mal nach Cola!", findet er das Colasignal.

Das funktioniert, weil jedes Konzept (der Hund, der Stil) sein eigenes, separates geheimes Signal hat, das in den "Gedanken" der KI gespeichert wurde, bevor das Bild entstand.

3. Wie man es wiederfindet: Die "Suchanfrage"

Um herauszufinden, wer das Bild gemacht hat, braucht man keine Magie, sondern eine Frage.

• Sie nehmen das fertige Bild.
• Sie geben der KI eine Frage mit: "Zeig mir das Signal für den Hund."
• Das System (das "TokenTrace-Modul") schaut sich das Bild an, sucht nach dem Signal für "Hund" und findet es – selbst wenn im Bild auch noch ein "Van Gogh-Stil" versteckt ist.
• Dann fragt man: "Zeig mir das Signal für den Stil." Und auch das wird gefunden.

Warum ist das so wichtig?

• Unzerstörbar: Weil das Signal in den "Gedanken" der KI (dem Text und dem Start-Rauschen) und nicht nur auf der Oberfläche des Bildes steckt, überlebt es auch, wenn das Bild bearbeitet, zugeschnitten oder komprimiert wird. Es ist wie ein DNA-Strang, der in jedem Zelle des Bildes enthalten ist.
• Klarheit: Es kann endlich sagen: "Dieses Bild gehört dem Künstler X für den Stil und dem Künstler Y für das Motiv."
• Unsichtbar: Für das menschliche Auge sieht das Bild genauso schön aus wie das Original. Die Veränderung ist so winzig, dass sie nicht zu sehen ist.

Zusammenfassung in einem Satz

TokenTrace ist wie ein unsichtbarer, unzerstörbarer Barcode, den man direkt in die "Rezeptur" einer KI schreibt, sodass man später mit einer einfachen Frage genau herausfinden kann, welche Ideen und Stile in einem Bild stecken – selbst wenn sie sich alle vermischen.

Damit schützen sie die Rechte von Künstlern und stellen sicher, dass KI nicht einfach stiehlt, sondern die Quellen ehrlich benennt.

Technische Zusammenfassung

1. Problemstellung

Generative KI-Modelle (insbesondere Text-zu-Bild-Diffusionsmodelle) stellen eine erhebliche Herausforderung für das geistige Eigentum (IP) dar, da sie einzigartige künstlerische Stile und Konzepte replizieren können, ohne die Urheber zu nennen.

• Herausforderung: Bestehende Wasserzeichen-Methoden versagen oft in komplexen Szenarien, in denen mehrere Konzepte (z. B. ein spezifisches Objekt und ein bestimmter Kunststil) in einem einzigen Bild kombiniert werden.
• Limitationen bestehender Ansätze:
  • Pixel-basierte Methoden: Sind oft fragil und überstehen keine gängigen Transformationen wie Komprimierung oder Zuschneiden.
  • Latent-basierte Methoden: Sind robuster, aber meist inhaltsagnostisch (ein einzelnes Wasserzeichen für das ganze Bild). Sie können nicht zwischen überlappenden Konzepten unterscheiden, da die Signale im begrenzten Pixelraum kollidieren.
  • Fehlende Trennung: Es gibt keine präzise Mechanik, um gezielt nach einem spezifischen Konzept in einem Bild zu suchen und dieses unabhängig von anderen zu verifizieren.

2. Methodik: TokenTrace

TokenTrace ist ein proaktives Wasserzeichen-Framework, das Wasserzeichen direkt in den Generierungsprozess integriert, um eine robuste Mehr-Konzept-Zuordnung (Multi-Concept Attribution) zu ermöglichen.

Kernidee: Semantische Verknüpfung

Anstatt konkurrierende Signale in den begrenzten Pixelraum zu drängen, verknüpft TokenTrace das geheime Wasserzeichen direkt mit der textuellen Semantik des jeweiligen Konzepts. Dies geschieht durch eine Dual-Conditioning-Strategie, die zwei parallele Netzwerke nutzt:

1. Konzept-Encoder ($f_{enc}$):

   • Nimmt das geheime Bit-Signal ($S$) und das Embedding des Ziel-Konzept-Tokens ($e_c$) im Text-Prompt als Eingabe.
   • Erzeugt eine Perturbation (Störung), die nur mit dem Ziel-Token-Embedding addiert wird ($\hat{e}_c = e_c + f_{enc}(e_c, S)$).
   • Dies verändert die semantische Repräsentation des Konzepts im Prompt.

2. Secret-Mapper ($f_{map}$):

   • Nimmt nur das geheime Signal ($S$) als Eingabe.
   • Erzeugt ein strukturiertes, gaußförmiges Perturbationsmuster, das zum initialen Latent-Rauschen ($z_T$) hinzugefügt wird ($\hat{z}_T = z_T + f_{map}(S)$).

Das Diffusionsmodell generiert das Bild basierend auf diesen beiden gestörten Eingaben (perturbiertem Prompt-Embedding und gestörtem Rauschen). Dadurch ist das Wasserzeichen tief in die semantische und latente Struktur des Bildes integriert.

Abfrage-basierte Decodierung (TokenTrace Module)

Um das Wasserzeichen wiederherzustellen, wird ein abfragebasierter Ansatz verwendet:

• Eingabe: Das generierte Bild ($I_{wm}$) und ein Text-Query ($P_{query}$), der spezifisch angibt, welches Konzept gesucht wird (z. B. „ein Foto von ").
• Architektur: Das TokenTrace-Modul nutzt eingefrorene CLIP-Encoder (Bild und Text). Die Bildmerkmale und die Text-Query-Features werden durch trainierbare Projektions- und Attention-Layer fusioniert.
• Ausgabe: Das Modul sagt das ursprüngliche Konzept-Embedding ($\tilde{e}_c$) vorher, welches dann durch einen Secret-Decoder in das ursprüngliche Bit-Geheimnis ($\tilde{S}$) zurückübersetzt wird.
• Vorteil: Durch die explizite Text-Abfrage kann das System Signale trennen und gezielt nach einem Konzept suchen, selbst wenn mehrere Konzepte im Bild überlappen.

Trainingsziel

Das Training optimiert alle trainierbaren Komponenten gemeinsam unter Verwendung einer zusammengesetzten Verlustfunktion ($L_{total}$), die vier Ziele balanciert:

1. Cross-Entropy Loss ($L_{CE}$): Sicherstellt, dass das Geheimnis korrekt rekonstruiert wird.
2. Contrastive Style Descriptor Loss ($L_{CSD}$): Erhält die semantische Konsistenz und den Stil zwischen Wasserzeichen- und Originalbild.
3. L2 Loss ($L_{L2}$): Minimiert pixelbasierte Unterschiede (Unsichtbarkeit).
4. Regularization Loss ($L_{reg}$): Stellt sicher, dass die vorhergesagten Embeddings nahe an den Ground-Truth-Embeddings liegen.

3. Hauptbeiträge

1. TokenTrace Framework: Ein neuartiger Ansatz, der Wasserzeichen sowohl in den Text-Prompt- als auch in den Latent-Rausch-Domain einbettet und diese intrinsisch mit der Semantik des Konzepts verknüpft.
2. Query-basiertes Modul: Ein Mechanismus, der es ermöglicht, überlappende Konzepte (z. B. Objekt und Stil) in einem einzigen Bild zu entwirren (disentangle) und unabhängig zu verifizieren.
3. State-of-the-Art Performance: Extensive Experimente zeigen, dass TokenTrace sowohl bei Einzel- als auch bei Mehr-Konzept-Aufgaben bestehende Methoden (wie ProMark und CustomMark) deutlich übertrifft, während die visuelle Qualität erhalten bleibt.

4. Ergebnisse und Evaluation

Die Evaluation umfasste verschiedene Datensätze (WikiArt für Stile, ImageNet für Objekte) und Szenarien:

• Einzel-Konzept-Aufgaben:
  • WikiArt (Stile): TokenTrace erreichte eine Zuordnungsgenauigkeit (Attribution Accuracy) von 91,67 % und eine Bit-Genauigkeit von 98,33 %. Dies ist signifikant besser als passive Methoden (z. B. CLIP: 52,60 %) und andere proaktive Methoden (ProMark: 87,19 %).
  • ImageNet (Objekte): Bei 1000 Objektklassen wurde eine Zuordnungsgenauigkeit von 90,43 % erreicht.
• Multi-Konzept-Aufgaben:
  • In Szenarien mit zwei oder vier kombinierten Konzepten (z. B. Objekt + Stil) übertraf TokenTrace den besten Baseline (CustomMark) deutlich.
  • Bei vier allgemeinen Konzepten erreichte TokenTrace eine Genauigkeit von 81,57 % (verglichen mit 72,78 % bei CustomMark).
  • Die abfragebasierte Methode konnte erfolgreich die Geheimnisse für jedes einzelne Konzept aus einem Bild extrahieren (z. B. „Katze" und „Pullover" separat identifizieren).
• Robustheit: Das System behielt auch nach starken Transformationen (Rotation, JPEG-Kompression, Adversarial Attacks, Zuschneiden) eine hohe Genauigkeit (>82 %).
• Visuelle Qualität: Die Wasserzeichen sind für das menschliche Auge unsichtbar. Die FID-Scores (Fréchet Inception Distance) zeigen, dass TokenTrace (14,98) die Bildqualität deutlich besser erhält als pixelbasierte Methoden wie ProMark (17,63) und nahe an der Originalqualität liegt.
• Skalierbarkeit: Das System skaliert gut auf große Konzeptbibliotheken (bis zu 1000 Konzepte) und ermöglicht sequentielles Lernen neuer Konzepte ohne vollständiges Neutrainieren.

5. Bedeutung und Fazit

TokenTrace schließt eine kritische Lücke im Schutz geistigen Eigentums für generative KI.

• Lösung des Überlappungsproblems: Indem es Wasserzeichen in den semantischen Raum verlagert und abfragebasiert arbeitet, löst es das Problem der Signalinterferenz bei kombinierten Konzepten, das pixelbasierte Methoden blockiert.
• Praktische Anwendbarkeit: Die hohe Robustheit gegenüber Bildmanipulationen und die Fähigkeit, spezifische Urheberrechte (Stil vs. Objekt) getrennt nachzuweisen, machen es zu einem vielversprechenden Werkzeug für die Urheberrechtsverfolgung in kreativen Industrien.
• Effizienz: Durch die Nutzung eingefrorener CLIP-Encoder und nur weniger trainierbarer Schichten ist das System rechen effizient und leicht anpassbar.

Zusammenfassend bietet TokenTrace einen robusten, skalierbaren und visuell unauffälligen Weg, um die Herkunft und die spezifischen Konzepte in KI-generierten Bildern lückenlos zu attribuieren.