ShapeMark: Robust and Diversity-Preserving Watermarking for Diffusion Models

Die Arbeit stellt ShapeMark vor, eine robuste und diversitätserhaltende Wasserzeichenmethode für Diffusionsmodelle, die durch die Kodierung von Wasserzeichenbits in strukturierte Rauschmuster anstelle einzelner Werte sowie durch eine spezielle Randomisierung die Nachteile bestehender Ansätze überwindet und gleichzeitig hohe Stabilität gegenüber Verlusten sowie eine hohe Bildqualität gewährleistet.

Das Wesentliche

Hier ist eine einfache Erklärung der Forschung „ShapeMark", als würde man sie einem Freund beim Kaffee erzählen – ohne komplizierte Fachbegriffe, aber mit ein paar guten Vergleichen.

Das große Problem: KI-Bilder und die „Geister im Maschinenraum"

Stell dir vor, KI-Modelle (wie Diffusionsmodelle) sind wie geniale Köche, die unglaublich leckere Bilder backen. Aber es gibt ein Problem: Wenn diese Bilder in der Welt herumfliegen, weiß niemand mehr, wer sie gekocht hat. Können wir sie schützen? Können wir beweisen, dass sie von einer bestimmten KI stammen?

Bisherige Methoden, um ein „Wasserzeichen" (eine unsichtbare Signatur) in diese Bilder zu stecken, hatten zwei große Schwächen:

1. Sie waren zu zerbrechlich: Wenn das Bild ein bisschen bearbeitet wurde (z. B. komprimiert, zugeschnitten oder mit Rauschen versehen), war das Wasserzeichen weg.
2. Sie machten die Bilder langweilig: Um das Wasserzeichen sicher zu machen, mussten die Köche immer wieder die gleichen Zutaten in der gleichen Reihenfolge verwenden. Das Ergebnis waren Bilder, die sich alle zu ähnlich sahen – die „Vielfalt" ging verloren.

Die Lösung: ShapeMark – Der „Bauplan"-Trick

Die Forscher haben eine neue Methode namens ShapeMark entwickelt. Statt das Wasserzeichen wie einen winzigen Tintenfleck in ein einzelnes Pixel zu kleben, nutzen sie die Struktur des Chaos.

Hier ist der Vergleich, um es zu verstehen:

1. Der alte Weg: „Der einzelne Buchstabe"

Stell dir vor, du willst eine geheime Nachricht in ein Buch verstecken. Der alte Weg war: „Ich ändere den ersten Buchstaben auf Seite 10 zu einem 'A', wenn die Nachricht 'Ja' bedeutet."

• Das Problem: Wenn jemand das Buch ein wenig beschädigt (ein Blatt wird zerknüllt, ein Buchstabe verschmiert), ist die Nachricht weg. Oder: Wenn du immer denselben Buchstaben an derselben Stelle änderst, merken die Leute, dass da etwas Besonderes ist, und das Buch sieht nicht mehr natürlich aus.

2. Der ShapeMark-Weg: „Das Puzzle-Muster"

ShapeMark macht etwas Cleveres. Stell dir vor, das Bild entsteht aus einem riesigen Puzzle aus tausenden bunten Steinen (das ist das „Rauschen" oder der „Lärm", aus dem die KI das Bild formt).

• Schritt A: Sortieren nach Größe (Struktur-Verkodierung)
  Statt auf einen einzelnen Stein zu schauen, sortiert ShapeMark alle Steine nach ihrer Helligkeit (von ganz dunkel bis ganz hell). Dann nimmt es Gruppen von Steinen und tauscht ihre Plätze.

  • Der Trick: Die Nachricht ist nicht in der Farbe eines Steins versteckt, sondern in der Reihenfolge, in der die Gruppen angeordnet sind.
  • Warum das robust ist: Stell dir vor, du hast einen Haufen Kugeln. Wenn jemand ein paar Kugeln ein bisschen verschmutzt oder verschiebt, ändert das nicht die Tatsache, dass die großen Kugeln immer noch in der großen Gruppe sind. Die Form des Musters bleibt erhalten, auch wenn die Details verrauscht sind. Selbst wenn das Bild stark bearbeitet wird, kann man das Muster der „Gruppen" immer noch erkennen.

• Schritt B: Das zufällige Mischen (Vielfalt-Erhaltung)
  Hier kommt der zweite geniale Teil. Wenn man immer nur die gleichen Gruppen austauscht, sehen die Bilder nach einer Weile alle gleich aus (wie ein gestempelter Brief).
  ShapeMark fügt einen zufälligen Wirbel hinzu. Es nimmt die bereits sortierten Steine und wirbelt sie noch einmal komplett durch, bevor das Bild entsteht.

  • Der Vergleich: Stell dir vor, du hast einen Satz Karten, auf dem deine geheime Nachricht steht. Du legst sie in einer bestimmten Reihenfolge hin (das ist die Nachricht). Aber bevor du das Bild zeichnest, mischst du den ganzen Stapel noch einmal zufällig durch.
  • Das Ergebnis: Die Nachricht ist immer noch da (weil man den Stapel später wieder in die richtige Reihenfolge bringen kann), aber das Bild sieht jedes Mal anders aus, weil die Karten anders liegen. So bleibt die Vielfalt der Bilder erhalten, ohne dass das Wasserzeichen verloren geht.

Warum ist das wichtig?

1. Unzerstörbar: Selbst wenn jemand das Bild zuschneidet, die Farben ändert oder es komprimiert (wie bei WhatsApp oder Instagram), bleibt das „Muster" der Steine erhalten. Das Wasserzeichen überlebt fast alles.
2. Unsichtbar und natürlich: Da die Methode nur die Positionen der Steine tauscht und nicht ihre Farben verändert, sieht das Bild genauso gut aus wie ein normales KI-Bild. Es gibt keine seltsamen Artefakte.
3. Vielfalt: Da jedes Bild durch den zufälligen Wirbel anders aussieht, kann man damit Millionen von einzigartigen Bildern erstellen, ohne dass die KI „starr" wirkt.

Zusammenfassung in einem Satz

ShapeMark ist wie ein unsichtbarer, unzerstörbarer Stempel, der nicht auf die Tinte eines einzelnen Buchstabens setzt, sondern auf die Reihenfolge, in der die Buchstaben im ganzen Buch stehen – und dabei sorgt er dafür, dass jedes Buch trotzdem wie ein einzigartiges Kunstwerk aussieht.

Damit können Plattformen endlich sicher wissen: „Dieses Bild kommt von unserer KI", auch wenn es tausendfach bearbeitet wurde, ohne dass die Qualität oder die Kreativität der Bilder darunter leidet.

Technische Zusammenfassung

Hier ist eine detaillierte technische Zusammenfassung des Papers „ShapeMark: Robust and Diversity-Preserving Watermarking for Diffusion Models" auf Deutsch:

1. Problemstellung

Diffusionsmodelle haben die Bildsynthese revolutioniert, doch die weite Verbreitung und Wiederverwendung generierter Inhalte stellen neue Herausforderungen für den Urheberrechtsschutz und die Nachverfolgbarkeit (Provenienz) dar. Bestehende Wasserzeichen-Methoden für Diffusionsmodelle, insbesondere die „Noise-as-Watermark" (NaW)-Ansätze, die Wasserzeichen direkt in den initialen Rauschvektor integrieren, leiden unter einem fundamentalen Zielkonflikt:

• Robustheit vs. Diversität: Herkömmliche NaW-Methoden kodieren Wasserzeichenbits oft durch die direkte Beeinflussung einzelner Rauschwerte (z. B. Vorzeichen oder Betrag). Dies ist extrem anfällig für Verluste bei nachträglicher Bildverarbeitung (Komprimierung, Skalierung) oder unvollkommener Inversion des Diffusionsprozesses.
• Diversitätsverlust: Um die Robustheit zu erhöhen, werden Wasserzeichen oft wiederholt eingebettet, was zu festen Rauschmustern führt und die natürliche Vielfalt der generierten Bilder sowie deren visuelle Qualität beeinträchtigt.

2. Methodik: ShapeMark

ShapeMark löst diese Probleme durch einen Paradigmenwechsel von der Wertkodierung hin zur Strukturkodierung. Die Methode besteht aus zwei Hauptkomponenten:

A. Strukturelle Kodierung (Structural Encoding - SE)

Anstatt einzelne Werte zu manipulieren, kodiert SE die Wasserzeichenbits in die relativen strukturellen Beziehungen zwischen Gruppen von Rauschelementen.

• Quantil-basierte Gruppierung: Der initiale Rauschvektor wird nach der Magnitude seiner Elemente sortiert und in Quantil-Bins unterteilt. Aus diesen Bins werden Blöcke und Gruppen gebildet.
• Permutations-basierte Kodierung: Das Wasserzeichen wird nicht durch Ändern der Werte, sondern durch das Umordnen (Permutieren) von Blöcken innerhalb einer Gruppe kodiert. Ein Codebuch definiert, welche Permutation welchem Bitmuster entspricht.
• Robustheitsmechanismus: Da die Kodierung auf der relativen Anordnung von Blöcken aus unterschiedlichen Magnitudenbereichen basiert, bleibt das Wasserzeichen auch dann erhalten, wenn einzelne Rauschwerte durch Verzerrungen oder Inversionsfehler leicht verändert werden. Die Decodierung erfolgt auf Block-Ebene, was einen impliziten Glättungseffekt bietet.

B. Last-Entzerrung durch strukturelle Randomisierung (Payload-Debiasing Structural Randomization - PDSR)

Um die Diversität der generierten Bilder zu erhalten und zu verhindern, dass das Wasserzeichen zu festen, erkennbaren Mustern führt:

• Einmalige Randomisierung: Nach der SE-Kodierung wird eine zusätzliche, last-unabhängige globale Permutation der Rauschblöcke angewendet.
• Nonce-basiert: Diese Permutation wird durch einen öffentlichen „Nonce" (eine zufällige Zahl pro Bild) gesteuert, ist aber für denselben Schlüssel und dieselbe Last immer invertierbar.
• Effekt: Dies entkoppelt die Identität des Wasserzeichens von einer festen räumlichen Position im Rauschvektor. Derselbe Inhalt kann somit diverse Rauschrealisierungen erzeugen, was die visuelle Vielfalt erhält und Artefakte minimiert.

C. Decodierung

Zur Überprüfung wird das Bild durch einen Diffusions-Inversionsprozess (z. B. DDIM-Inversion) zurück in den Rauschraum transformiert. Anschließend wird die PDSR-Randomisierung unter Verwendung des öffentlichen Nonce rückgängig gemacht. Durch den Abgleich der rekonstruierten Blockstruktur mit dem ursprünglichen Codebuch (basierend auf dem geheimen Schlüssel) wird das Wasserzeichen detektiert und die Nutzlast decodiert.

3. Hauptbeiträge

1. Strukturelle Kodierung (SE): Ein robuster Kodierungsansatz, der Wasserzeichen in Permutationsmustern von Rauschgruppen kodiert, anstatt in einzelnen Werten. Dies macht das System unempfindlich gegenüber Wertstörungen.
2. PDSR-Strategie: Eine leichte Randomisierungstechnik, die die Diversität der Generierung bewahrt, indem sie payload-abhängige räumliche Bias eliminiert, ohne die Decodierbarkeit zu beeinträchtigen.
3. Umfassende Evaluation: Der Nachweis, dass ShapeMark sowohl extrem robust als auch diversitätserhaltend ist, ohne die Modellparameter neu trainieren zu müssen.

4. Ergebnisse

Die Experimente basierten auf Stable Diffusion v2.1 und verglichen ShapeMark mit Post-Processing-Methoden, modellbasierten Ansätzen und anderen NaW-Methoden (wie Tree-Ring, Gaussian Shading, T2SMark).

• Robustheit: ShapeMark erreicht eine True Positive Rate (TPR) von 99,9 % bei einer False Positive Rate von $10^{-6}$, selbst unter starken Verzerrungen (JPEG-Kompression, Rauschen, Zuschneiden, Helligkeitsänderungen). Die Bit-Genauigkeit liegt bei 98,7 % unter Angriffen.
• Diversität: Im Gegensatz zu vielen anderen Methoden, die die Bildvielfalt reduzieren, erzielt ShapeMark die höchste Diversität aller getesteten Methoden (gemessen durch LPIPS: 0,7338).
• Visuelle Qualität: Die Bildqualität bleibt hoch (CLIP-Score und FID sind vergleichbar mit dem unmarkierten Basismodell), was die Unmerkbarkeit des Wasserzeichens bestätigt.
• Skalierbarkeit: Die Methode bleibt auch bei hohen Kapazitäten (bis zu 2048 Bits) robust, wobei die Genauigkeit nur graduell abnimmt.

5. Bedeutung und Ausblick

ShapeMark stellt einen bedeutenden Fortschritt im Bereich der KI-generierten Inhalte dar, da es das bisherige Dilemma zwischen Robustheit und Diversität effektiv löst.

• Praktische Anwendbarkeit: Da keine Modellanpassung (Fine-Tuning) erforderlich ist, kann ShapeMark nahtlos in bestehende Diffusions-Pipelines integriert werden.
• Vertrauenswürdigkeit: Die Methode ermöglicht eine zuverlässige Nachverfolgung und Zuordnung von Inhalten (Provenienz), was für die Bekämpfung von Desinformation und Urheberrechtsverletzungen entscheidend ist.
• Dual-Use-Risiko: Wie das Paper selbst anmerkt, könnten robuste Wasserzeichen auch für verdecktes Tracking missbraucht werden. Daher wird Transparenz und Governance bei der Implementierung gefordert.

Zusammenfassend bietet ShapeMark einen neuen Standard für die Wasserzeichen-Einbettung in Diffusionsmodelle, der sowohl für den Urheberrechtsschutz als auch für die Integrität der generativen Prozesse essenziell ist.