📊 statistics

ADD for Multi-Bit Image Watermarking

Das Paper stellt ADD (Add, Dot, Decode) vor, eine neue Methode für die Multi-Bit-Wasserzeichen-Einbettung in Bilder, die durch lineare Kombination und innere Produkte eine hohe Robustheit gegen Verzerrungen, eine 100-prozentige Dekodiergenauigkeit bei 48-Bit-Nachrichten und eine signifikant schnellere Verarbeitung im Vergleich zu bestehenden Methoden erreicht.

Ursprüngliche Autoren: An Luo, Jie Ding

Veröffentlicht 2026-04-14

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: An Luo, Jie Ding

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie malen ein wunderschönes Bild. Heute können künstliche Intelligenzen (KI) solche Bilder in Sekunden erstellen. Das ist toll, aber es bringt ein Problem mit sich: Wie können wir später noch erkennen, ob ein Bild von einer KI gemacht wurde oder von einem Menschen? Und wenn es von einer KI stammt, können wir dann herausfinden, wer genau es erstellt hat?

Die Autoren dieses Papers, An Luo und Jie Ding, haben eine Lösung namens ADD entwickelt. Der Name steht für Add (Hinzufügen), Dot (Punktprodukt) und Decode (Entschlüsseln).

Hier ist die Idee, ganz einfach erklärt mit ein paar Bildern aus dem Alltag:

1. Das Problem: Der unsichtbare Stempel

Stellen Sie sich vor, Sie wollen auf jedes Ihrer Bilder einen unsichtbaren Stempel setzen, der sagt: "Dieses Bild gehört mir" oder "Dieses Bild wurde von KI-Modell X erstellt".

Das Problem: Wenn Sie den Stempel zu stark machen, sieht das Bild kaputt aus (wie ein Bild, das mit Klecks übermalt wurde).
Das Problem: Wenn Sie den Stempel zu schwach machen, kann er durch einfaches Schneiden, Drucken oder Komprimieren (wie beim Speichern im Internet) einfach weggeputzt werden.
Das Problem: Bisherige Methoden waren entweder langsam oder konnten nur sehr wenig Information speichern (z. B. nur "Ja/Nein", aber nicht "Wer hat es gemacht?").

2. Die Lösung ADD: Der unsichtbare Riss im Teppich

Die Idee von ADD ist genial einfach, aber mathematisch sehr clever.

Schritt 1: Der unsichtbare Riss (Hinzufügen)
Stellen Sie sich Ihr Bild als einen dichten, bunten Teppich vor. Die Pixel sind die vielen kleinen Knoten im Teppich.
ADD nimmt nicht die Knoten und verändert sie wild durcheinander. Stattdessen "lernt" es eine ganz bestimmte, unsichtbare Textur (einen "Riss" oder eine "Maserung"), die in den Teppich passt, aber für das menschliche Auge unsichtbar bleibt.

Um eine Nachricht (z. B. eine ID-Nummer) zu verstecken, mischen sie diese unsichtbare Textur einfach in das Bild.
Die Analogie: Es ist, als würden Sie ein paar Tropfen Tinte in ein Glas Wasser geben. Das Wasser sieht immer noch klar aus, aber die Tinte ist da. ADD findet die perfekte "Tinte", die das Bild nicht verdirbt.

Schritt 2: Der Zaubertrick (Punktprodukt)
Jetzt kommt der magische Teil. Wenn Sie das Bild später wiederfinden (vielleicht wurde es schon zugeschnitten oder das Licht ist anders), wie finden Sie die Tinte wieder?
Andere Methoden brauchen riesige, komplexe Computerprogramme, um das Bild zu analysieren. ADD braucht nur einen einfachen mathematischen Trick, den man "Punktprodukt" nennt.

Die Analogie: Stellen Sie sich vor, Sie haben einen speziellen Schlüssel (die gelernte Textur). Wenn Sie diesen Schlüssel an das Bild "halten" (mathematisch multiplizieren), leuchtet er genau dann auf, wenn die Tinte da ist.
Das Besondere: Dieser Schlüssel ist so gebaut, dass er auf dem "normalen" Bild (ohne Tinte) gar nicht reagiert. Er ignoriert den Teppich und sucht nur nach dem unsichtbaren Riss.

Schritt 3: Entschlüsseln (Decode)
Da die Nachricht aus vielen Bits besteht (z. B. 48 Bits, also eine lange Nummer), hat ADD nicht nur einen Schlüssel, sondern 48 verschiedene Schlüssel, die alle perfekt aufeinander abgestimmt sind.

Jeder Schlüssel prüft nur einen Teil der Nachricht.
Wenn der Schlüssel "leuchtet", ist das Bit eine 1. Wenn er dunkel bleibt, ist es eine 0.
Das Ergebnis: Man kann die ganze Nummer schnell und sicher wiederherstellen, selbst wenn das Bild etwas beschädigt wurde.

Warum ist das so besonders?

Es ist extrem schnell:
Andere Methoden brauchen wie ein Detektiv, der jedes Bild stundenlang mit einer Lupe untersucht. ADD ist wie ein Scanner, der in Millisekunden über das Bild fährt. Die Autoren sagen, das Entschlüsseln ist 7,4-mal schneller als bei den besten bisherigen Methoden. Das Hinzufügen des Wasserzeichens ist 2-mal schneller.
Es ist sehr robust:
Selbst wenn das Bild stark komprimiert wird (wie bei WhatsApp), gedreht wird oder das Helligkeit geändert wird, funktioniert ADD noch zu 99,4 % perfekt. Andere Methoden verlieren hier oft die Hälfte ihrer Information.
Es ist theoretisch bewiesen:
Die Autoren haben nicht nur gerätet, sondern mathematisch bewiesen, warum das funktioniert. Sie zeigen, dass die "Textur" (das Wasserzeichen) so gebaut ist, dass sie sich von den normalen Bildmustern "wegdreht" (wie zwei sich kreuzende Linien, die sich nie berühren). Deshalb kann der Scanner das Wasserzeichen immer finden, egal was mit dem Bild passiert.

Zusammenfassung in einem Satz

ADD ist wie ein unsichtbarer, unzerstörbarer und super-schneller Barcode, den man einfach "hineinmischt" in ein Bild, um später sofort zu wissen: "Dieses Bild ist echt, und hier ist die ID des Erstellers" – und das alles, ohne dass das Bild auch nur einen Hauch schlechter aussieht.

Das ist ein großer Schritt, um die Flut an KI-generierten Bildern im Internet zu ordnen und Urheberrechte zu schützen.

1. Problemstellung

Mit dem rapiden Fortschritt generativer KI-Modelle (z. B. Diffusionsmodelle) steigt die Sorge um Desinformation, Deepfakes und Urheberrechtsverletzungen. Bestehende Methoden zur Bild-Wasserzeichen-Einbettung (Watermarking) weisen erhebliche Mängel auf:

Kapazität: Viele Methoden sind auf einzelne Bits beschränkt oder haben eine geringe Kapazität (meist $\le$ 32 Bits).
Robustheit: Sie verlieren oft ihre Wirksamkeit bei gängigen Bildverzerrungen wie Kompression, Rauschen, Rotation oder Zuschneiden.
Theoretische Fundierung: Es fehlt an einer rigorosen theoretischen Begründung, warum bestimmte Lernverfahren funktionieren.
Effizienz: State-of-the-Art-Methoden basieren oft auf komplexen Encoder-Decoder-Architekturen, die rechenintensiv sind.

Das Ziel ist ein Multi-Bit-Wasserzeichen-System, das eine Nachricht (z. B. Benutzer-ID, Zeitstempel) in ein Bild einbettet, dabei die Bildqualität erhält, robust gegen Verzerrungen ist und theoretisch fundiert ist.

2. Methodik: ADD (Add, Dot, Decode)

Die Autoren schlagen ADD vor, eine Methode, die auf drei einfachen Schritten basiert:

A. Einbettung (Add)

Statt komplexer neuronaler Encoder wird das Wasserzeichen durch eine lineare Addition in das Bild integriert.

Gegeben ein Bild $x$ und eine $K$ -Bit-Nachricht $m \in \{-1, 1\}^K$ .
Es wird ein gelerntes Wasserzeichen $w_{1:K} = \{w_1, \dots, w_K\}$ verwendet, wobei jeder Vektor $w_k$ einem Bit der Nachricht entspricht.
Das wasserzeichenversehene Bild $\tilde{x}$ berechnet sich als:
$\tilde{x} = x + \sum_{k=1}^{K} m_k w_k$
Dabei ist $m_k$ das $k$ -te Bit der Nachricht.

B. Training des Wasserzeichens

Das Wasserzeichen $w_{1:K}$ wird durch Optimierung eines Trainingsziels gelernt, das drei Ziele balanciert:

Qualität: Minimierung der Norm des Wasserzeichens (Regularisierung), um visuelle Artefakte zu vermeiden.
Identifizierbarkeit: Sicherstellung, dass das Wasserzeichen decodierbar ist (Verwendung einer randbasierten Verlustfunktion, z. B. Hinge Loss oder Logistic Loss).
Robustheit: Das Training simuliert Verzerrungen (durch einen Operator $A$ ), sodass das Wasserzeichen auch auf verzerrten Bildern $\tilde{x}' = A(\tilde{x})$ decodiert werden kann.

Das Optimierungsziel (Finite-Sample Objective) lautet:
$L_n(w_{1:K}) = \frac{1}{n} \sum_{i=1}^n \mathbb{E}_{A, m} \left[ \sum_{k=1}^K V(m_k \langle w_k, \tilde{x}'_i \rangle) \right] + \beta \sum_{k=1}^K \|w_k\|^2$
Um die Dimensionalität zu reduzieren, wird das Wasserzeichen nicht direkt im Pixelraum gelernt, sondern über eine niedrigerdimensionale Parametrisierung mittels eines vortrainierten Feature-Extraktors $\psi$ und trainierbarer Abbildungen $g_k$ .

C. Decodierung und Detektion (Dot & Decode)

Die Decodierung erfolgt rein durch Skalarprodukte (Inner Products) zwischen dem empfangenen Bild und den gespeicherten Wasserzeichenvektoren, ohne erneutes Durchlaufen eines neuronalen Netzes.

Berechnung: $\Gamma_k = \langle w_k, \tilde{x}' \rangle$ .
Decodierung: Das $k$ -te Bit wird durch das Vorzeichen bestimmt: $\hat{m}_k = \text{sign}(\Gamma_k)$ .
Detektion: Ein Teststatistik $S = \sum |\Gamma_k|$ (oder $S_D = \max_{m \in \mathcal{D}} \langle m, \Gamma \rangle$ bei bekanntem Wörterbuch) entscheidet, ob ein Wasserzeichen vorhanden ist.

3. Theoretische Analyse

Die Autoren liefern eine theoretische Begründung, warum ADD funktioniert, basierend auf der Annahme, dass Bilddaten in der Nähe eines niedrigdimensionalen Unterraums liegen (mit Gaußschem Rauschen).

Geometrische Struktur: Das optimierte Wasserzeichen ist asymptotisch orthogonal zum Unterraum der natürlichen Bilder ( $w_k \in U^\perp$ ) und die Komponenten $w_k$ sind untereinander orthogonal.
Folgen:
- Da das Wasserzeichen orthogonal zum Bildrauschen ist, wird es durch das Bildsignal nicht „verdeckt".
- Die Orthogonalität der Komponenten sorgt dafür, dass die Decodierung jedes Bits unabhängig und robust erfolgt.
Konvergenz: Es wird bewiesen, dass die Leistung des auf endlichen Daten trainierten Wasserzeichens (Falsch-Positiv-Rate, Falsch-Negativ-Rate, Bit-Genauigkeit) mit wachsender Trainingsstichprobengröße $n$ gegen die des idealen (Population-)Wasserzeichens konvergiert.

4. Ergebnisse

Die Methode wurde auf dem MS-COCO-Datensatz evaluiert (48-Bit-Nachrichten, ein sehr anspruchsvoller Wert).

Genauigkeit: ADD erreicht 100% Decodiergenauigkeit im unverzerrten Zustand. Unter einer Vielzahl von Verzerrungen (JPEG, Rotation, Rauschen, Helligkeit, etc.) bleibt die Genauigkeit bei 99,4% im Durchschnitt.
- Vergleich: State-of-the-Art-Methoden (wie HiDDeN oder SSL) zeigen bei 48 Bits einen durchschnittlichen Genauigkeitsabfall von ca. 14%, während ADD nur maximal 2% verliert.
Bildqualität: Die PSNR-Werte (Peak Signal-to-Noise Ratio) sind mit ca. 32,36 dB vergleichbar mit anderen Deep-Learning-Methoden und visuell kaum von Originalbildern zu unterscheiden.
Detektion: ADD erreicht die höchste AUROC (Area Under the ROC Curve) für die Detektion, sowohl mit als auch ohne Wörterbuch der Nachrichten.
Effizienz:
- Einbettung: 2-fach schneller als die schnellste bestehende Methode.
- Decodierung: 7,4-fach schneller als die schnellste bestehende Methode. Dies liegt daran, dass keine neuronalen Netze für die Inferenz benötigt werden, sondern nur lineare Operationen.
Generalisierung: Ein auf MS-COCO trainiertes Wasserzeichen funktioniert hervorragend auf anderen Datensätzen (ImageNet, CIFAR-10/100) ohne Nachtraining.

5. Bedeutung und Fazit

Paradigmenwechsel: ADD beweist, dass für Multi-Bit-Wasserzeichen keine komplexen Encoder-Decoder-Netze notwendig sind. Ein einfacher linearer Ansatz mit theoretisch fundierter Orthogonalität ist überlegen.
Skalierbarkeit: Die Methode ist extrem schnell und recheneffizient, was sie für den Einsatz in Echtzeit-Anwendungen (z. B. bei der Generierung von Millionen von Bildern durch KI-Modelle) prädestiniert.
Theoretischer Beitrag: Die Arbeit schließt eine Lücke zwischen praktischer Anwendung und theoretischer Analyse, indem sie zeigt, wie geometrische Eigenschaften des Datenraums genutzt werden können, um robuste Wasserzeichen zu konstruieren.
Zukunftsausblick: Die Autoren sehen Potenzial in der Erweiterung auf andere Modalitäten (Video, Audio, Text) und in der Entwicklung von Systemen zur Verwaltung mehrerer verschiedener Wasserzeichenmechanismen.

Zusammenfassend stellt ADD einen neuen State-of-the-Art dar, der hohe Kapazität, extreme Robustheit, theoretische Fundierung und überlegene Rechengeschwindigkeit in einem einzigen Framework vereint.