🤖 machine learning

Towards Robust Content Watermarking Against Removal and Forgery Attacks

Dieses Paper stellt ein neues Wasserzeichen-Paradigma namens ISTS vor, das durch promptabhängige, dynamische Einbettung und eine zweiseitige Detektion die Robustheit von Diffusionsmodellen gegen Entfernung- und Fälschungsangriffe verbessert.

Ursprüngliche Autoren: Yifan Zhu, Yihan Wang, Xiao-Shan Gao

Veröffentlicht 2026-04-09

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yifan Zhu, Yihan Wang, Xiao-Shan Gao

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie sind ein Künstler, der mit einer magischen Maschine arbeitet, die Bilder aus Texten erschafft (wie ein sehr fortschrittlicher Malroboter). Diese Bilder sehen so real aus, dass niemand mehr sagen kann, ob sie von einem Menschen oder einer Maschine stammen. Das ist ein Problem: Wer besitzt das Bild? Wer verdient das Geld dafür?

Um das zu lösen, haben Forscher bisher eine Art unsichtbaren Stempel in die Bilder gedrückt – einen digitalen Wasserzeichen. Das Problem ist: Die „Diebe" (bösartige Hacker) haben gelernt, diesen Stempel mit einem einzigen Trick wieder abzuwaschen oder sich einen eigenen zu fälschen.

Diese neue Arbeit von Yifan Zhu und seinem Team stellt eine völlig neue Lösung vor, die sie ISTS nennen. Hier ist die Erklärung, wie das funktioniert, ganz einfach und mit ein paar bildhaften Vergleichen:

1. Das alte Problem: Der immer gleiche Stempel

Stellen Sie sich vor, alle Bilder, die diese Maschine erstellt, bekommen denselben unsichtbaren Stempel an derselben Stelle.

Der Trick der Diebe: Wenn ein Dieb nur ein einziges gestempeltes Bild sieht, kann er herausfinden, wo der Stempel sitzt und wie er aussieht. Dann kann er:
1. Den Stempel aus einem echten Bild entfernen (wie einen Fleck aus einem Hemd waschen).
2. Einen Stempel auf ein Bild kleben, das gar nicht von der Maschine stammt (Fälschung).
- Warum? Weil der Stempel immer gleich ist. Es ist wie ein Schloss, bei dem jeder den Schlüssel hat, sobald er einmal gesehen hat, wie es aussieht.

2. Die neue Lösung: Der „Chamäleon-Stempel" (ISTS)

Die Forscher sagen: „Lass uns den Stempel nicht mehr statisch machen!" Stattdessen machen sie ihn dynamisch und einzigartig für jedes einzelne Bild.

Stellen Sie sich vor, Sie haben einen magischen Stempel, der sich verändert, je nachdem, was Sie malen wollen:

Der Kontext ist der Schlüssel: Wenn Sie „einen roten Ferrari" eingeben, sieht der Stempel anders aus und wird an einer anderen unsichtbaren Stelle im Bild versteckt als wenn Sie „eine Katze" eingeben.
Der Prozess:
1. Die Maschine malt erst einmal ein Bild ohne Stempel.
2. Ein intelligenter Assistent (ein „Semantik-Selector") schaut sich das Bild an und sagt: „Aha, das ist ein Ferrari! Also verstecken wir den Stempel jetzt an Ort X und zur Zeit Y."
3. Erst dann wird der Stempel genau dort eingebrannt.

Warum hilft das?
Wenn ein Dieb versucht, den Stempel zu entfernen oder zu fälschen, muss er raten: „Wo war der Stempel? Wann wurde er gemacht?" Da jeder Ferrari-Stempel anders ist als jeder Katzen-Stempel, kann der Dieb nicht einfach einen „Durchschnitt" aller Bilder nehmen, um den Stempel zu erraten. Es ist, als würde man versuchen, einen Tarnanzug zu durchschauen, der sich bei jedem Schritt ändert.

3. Der zweite Trick: Der „Zwei-Wege-Test"

Früher haben die Prüfer nur auf eine Art gesucht: „Ist der Stempel genau so, wie wir ihn erwarten?"

Das Problem: Ein cleverer Dieb konnte das Bild so manipulieren, dass der Stempel zwar da war, aber genau andersherum (wie ein Spiegelbild). Der alte Prüfer sagte dann: „Falsch! Kein Stempel gefunden!" und ließ den Dieb durchkommen.

Die neue Methode (ISTS) nutzt einen Zwei-Wege-Test:

Der Prüfer fragt nicht nur: „Ist der Stempel da?"
Sondern auch: „Oder ist er vielleicht genau andersherum?"
Wenn das Bild manipuliert wurde, um den Stempel zu löschen, wird der Prüfer trotzdem fündig, weil er beide Seiten prüft. Es ist wie ein Sicherheitsbeamter, der nicht nur nach einem Schlüssel sucht, sondern auch prüft, ob jemand versucht hat, das Schloss zu brechen, indem er den Schlüssel in die andere Richtung gedreht hat.

Zusammenfassung in einem Satz

Die Forscher haben einen Wasserzeichen-System entwickelt, das sich für jedes Bild neu anpasst (wie ein Chamäleon) und doppelt so genau prüft, ob jemand versucht hat, den Stempel zu löschen oder zu fälschen.

Das Ergebnis:
In Tests hat sich gezeigt, dass dieses neue System viel widerstandsfähiger ist als alle bisherigen Methoden. Selbst wenn Hacker versuchen, die Stempel zu entfernen oder zu fälschen, bleibt das System stabil. Es ist wie ein Schloss, das sich jeden Moment neu erfindet, während der Dieb noch versucht, den alten Schlüssel zu finden.

1. Problemstellung

Die rasante Entwicklung von Text-zu-Bild-Generierungsmodellen (z. B. Stable Diffusion, DALL-E) hat ernsthafte Herausforderungen im Bereich des Urheberrechts, der Bildherkunft (Provenienz) und der Autorenschaft aufgeworfen. Wasserzeichen wurden als vielversprechende Lösung vorgeschlagen, um die Herkunft von generierten Inhalten zu verifizieren.

Das zentrale Problem liegt jedoch in der Verwundbarkeit bestehender Wasserzeichen-Methoden gegenüber böswilligen Angriffen:

Entfernungsangriffe (Removal Attacks): Angreifer versuchen, Wasserzeichen aus einem markierten Bild zu entfernen, ohne die visuelle Qualität zu beeinträchtigen, sodass das Bild als nicht-markiert erkannt wird.
Fälschungsangriffe (Forgery Attacks): Angreifer versuchen, ein nicht-markiertes Bild so zu manipulieren, dass es fälschlicherweise als markiert erkannt wird.

Bestehende Methoden (wie Tree-Ring) nutzen oft statische, einheitliche Muster, die in den latenten Raum injiziert werden. Diese Statik liefert Angreifern unbeabsichtigtes Vorwissen über die Struktur des Wasserzeichens, was es ihnen ermöglicht, Gradienten-basierte Angriffe durchzuführen, um die Wasserzeichen effektiv zu entfernen oder zu fälschen.

2. Methodik: ISTS (Instance-Specific watermarking with Two-Sided detection)

Die Autoren schlagen ein neues Paradigma namens ISTS vor, das sich durch zwei Hauptinnovationen auszeichnet:

A. Instanzspezifische Wasserzeichen (Instance-Specific Watermarking)

Anstatt ein festes Muster für alle Bilder zu verwenden, passt ISTS das Wasserzeichen dynamisch an jedes einzelne Generierungsereignis an.

Semantische Steuerung: Für einen gegebenen Prompt wird zunächst ein nicht-markiertes Bild generiert und dessen semantische Merkmale mittels eines CLIP-Encoders extrahiert.
Dynamische Parameter: Ein vortrainierter „semantischer Selektor" (basierend auf K-Means-Clustering) nutzt diese Merkmale, um für jedes Bild individuell zwei Parameter zu bestimmen:
1. Zeitpunkt ( $t$ ): Der genaue Schritt im Diffusionsprozess, an dem das Wasserzeichen injiziert wird.
2. Position ( $l$ ): Die Koordinaten im Frequenzraum (Fourier-Raum), an denen das Muster platziert wird.
Injektion: Das Wasserzeichen wird nur an der spezifischen Position $l$ zum Zeitpunkt $t$ injiziert.
Vorteil: Da Angreifer die Parameter $t$ und $l$ nicht kennen, können sie keine allgemeinen Muster ableiten oder Gradienten über den gesamten Prozess optimieren. Dies macht Angriffe, die auf der Mittelung vieler Bilder oder der Rekonstruktion eines einzelnen Referenzbildes basieren, wirkungslos.

B. Zwei-seitige Detektion (Two-Sided Detection)

Herkömmliche Detektoren prüfen nur, ob das extrahierte Muster mit dem Referenzmuster übereinstimmt (einseitige Prüfung). Dies ist anfällig für Angriffe, die das latente Signal in die entgegengesetzte Richtung optimieren.

Ansatz: Der Detektor berechnet die Distanz sowohl zum ursprünglichen Muster $W$ als auch zu dessen invertiertem Pendant $-W$ .
Metrik: Die Entscheidung basiert auf dem Minimum der beiden Distanzen:
$d = \min \left( \frac{1}{|M|} \sum |W_i - F(z_T)_i|, \frac{1}{|M|} \sum |W_i + F(z_T)_i| \right)$
Vorteil: Selbst wenn ein Angreifer versucht, das latente Signal so zu manipulieren, dass es dem Originalmuster entgegengesetzt ist (was bei einseitiger Detektion zum Scheitern führt), wird das invertierte Muster erkannt. Dies erhöht die Robustheit gegen Entfernungsangriffe erheblich, ohne die Erkennungsgenauigkeit im Normalbetrieb zu beeinträchtigen.

3. Schlüsselbeiträge

Neues Paradigma: Einführung von ISTS, das Instanzspezifität (dynamische Zeit- und Positionsparameter) mit einer robusten Zwei-seitigen Detektion kombiniert.
Umgang mit Vorwissen: Durch die Dynamisierung der Injektionsparameter wird das „Leck" von statischen Mustern geschlossen, das Angreifern bei bestehenden Methoden zur Verfügung steht.
Robustheit gegen Gradienten-Angriffe: Die Methode widersteht effektiv fortschrittlichen Angriffen, die Surrogat-Modelle und Gradientenabstieg nutzen, da der Angreifer den genauen Injektionspunkt nicht vorhersagen kann.
Umfassende Evaluation: Die Methode wurde gegen drei repräsentative Entfernungs- und drei Fälschungsangriffe getestet und zeigt State-of-the-Art-Ergebnisse.

4. Ergebnisse

Die Experimente wurden mit dem Stable-Diffusion-2-1-Modell durchgeführt und verglichen mit Methoden wie Tree-Ring, Gaussian-Shading, RingID, ROBIN, ZoDiac und SEAL.

Gegen Entfernungsangriffe (Removal):
- Bestehende Methoden brachen unter Angriffen wie Imp-Removal (Gradienten-basiert) und Avg-Removal (Mittelwert-basiert) oft zusammen (AUC < 0.7).
- ISTS erreichte unter Imp-Removal einen AUC von 0.821 (vs. 0.675 bei der besten Baseline) und eine TPR@1%FPR von 0.18 (vs. 0.01).
- Im Worst-Case-Szenario (Angreifer wählt den besten Angriff) blieb ISTS mit einem AUC von 0.821 deutlich überlegen.
Gegen Fälschungsangriffe (Forgery):
- Hier ist ein niedrigerer AUC besser (da weniger nicht-markierte Bilder fälschlich als markiert erkannt werden).
- Bei Imp-Forgery erreichte ISTS einen AUC von 0.634, was eine Verbesserung von über 20 % gegenüber der besten Baseline (Shallow Diffuse, 0.76) darstellt.
- Im Durchschnitt und Worst-Case-Szenario erzielte ISTS die niedrigsten AUC-Werte aller getesteten Methoden.
Bildqualität und Robustheit gegen Verzerrungen:
- ISTS behält eine hohe Bildqualität bei (PSNR, SSIM, LPIPS vergleichbar mit ROBIN und besser als Tree-Ring).
- Die Methode ist robust gegenüber gängigen Bildverzerrungen (Rotation, Rauschen, JPEG-Kompression) und Diffusions-Purification, ähnlich wie Tree-Ring und RingID, aber deutlich robuster als SEAL oder Gaussian-Shading.

5. Bedeutung und Fazit

Die Arbeit adressiert eine kritische Lücke in der aktuellen Forschung zu Content Watermarking: Die Anfälligkeit bestehender Systeme gegen aktive, adaptive Angreifer.

Praktische Relevanz: ISTS bietet einen praktikablen Ansatz, um die Integrität von Wasserzeichen in realen Szenarien zu gewährleisten, in denen Angreifer Zugriff auf generierte Bilder haben und versuchen, diese zu manipulieren.
Paradigmenwechsel: Der Wechsel von statischen, universellen Mustern zu instanzspezifischen, semantisch gesteuerten Mustern stellt einen fundamentalen Fortschritt dar, der die Sicherheit von generativen Modellen erhöht.
Zukunftsausblick: Obwohl ISTS State-of-the-Art-Ergebnisse liefert, geben die Autoren zu, dass die Worst-Case-Robustheit bei extrem starken Angriffen noch verbessert werden muss, um für den breiten kommerziellen Einsatz vollständig bereit zu sein.

Zusammenfassend stellt ISTS einen robusten, plug-and-play-fähigen Mechanismus dar, der die Zuverlässigkeit von Wasserzeichen in der Ära der KI-generierten Inhalte signifikant stärkt.