💻 computer science

Secure Seed-Based Multi-bit Watermarking for Diffusion Models from First Principles

Dieser Beitrag stellt einen modellunabhängigen theoretischen Rahmen zur Bewertung von seed-basierten Wasserzeichen in Diffusionsmodellen vor, der auf Sicherheit, Robustheit und Fidelity basiert, und schlägt eine neue Methode namens SSB vor, die eine präzise Steuerung dieser Trade-offs ohne reliance auf kostspielige empirische Evaluierungen ermöglicht.

Ursprüngliche Autoren: Enoal Gesny, Eva Giboulot

Veröffentlicht 2026-05-08

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Enoal Gesny, Eva Giboulot

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie besitzen eine magische Bäckerei (ein Diffusionsmodell), die unendlich viele perfekte Kuchen (Bilder) aus dem Nichts backen kann. Sie möchten auf jeden Kuchen, den Sie verkaufen, einen winzigen, unsichtbaren „Stempel" setzen, damit Sie wissen, wer ihn gebacken hat, aber Sie möchten nicht, dass der Stempel den Geschmack oder das Aussehen des Kuchens verändert.

Diese Arbeit handelt von einer neuen, intelligenteren Methode, diesen unsichtbaren Stempel auf den Kuchen während des Backvorgangs zu setzen, anstatt zu versuchen, ihn danach aufzudrücken.

Hier ist die Aufschlüsselung der Ideen der Arbeit unter Verwendung einfacher Analogien:

1. Das Problem: Der „Blindgeschmackstest"

Derzeit sind Personen, die versuchen, diese KI-Bilder zu wassermarken, wie Köche, die nur raten, ob ihr Rezept funktioniert. Sie backen einen Kuchen, stempeln ihn, und versuchen dann, ihn zu hacken, zu verbrennen oder einzufrieren, um zu sehen, ob der Stempel überlebt.

Das Problem: Sie testen nur einen spezifischen Ofen (ein spezifisches KI-Modell). Wenn sie einen Stempel finden, der bei Ofen A funktioniert, können sie nicht sicher sein, dass er auch bei Ofen B funktioniert.
Das Ergebnis: Wir haben keine klare Regel. Wir können nicht sagen „Methode A ist im Allgemeinen besser als Methode B"; wir können nur sagen „Methode A ist besser auf diesem spezifischen Ofen".

2. Die Lösung: Der „Universelle Bauplan"

Die Autoren sagen: „Hören wir auf zu raten und fangen wir an, Mathematik zu betreiben." Sie schlagen eine neue Methode zur Messung von Wasserzeichen vor, die den Stempel vom Ofen trennt.

Sie führen drei neue Regeln für einen guten Stempel ein:

Sicherheit (Das Schloss): Kann ein Dieb den geheimen Code nur durch Betrachten des Kuchens herausfinden?
Robustheit (Die Haltbarkeit): Wenn ich den Kuchen zerdrücke oder ihn in den Regen lege, überlebt der Stempel?
Fidelity (Der Geschmack): Hat der Stempel den Geschmack des Kuchens verändert? (Hinweis: Sie nennen dies „Fidelity" statt „Qualität", weil der Stempel die Natur des Kuchens nicht verändern sollte, sondern nur eine Nachricht darin verstecken muss).

3. Die alten Methoden vs. die neue Methode

Die Arbeit betrachtet zwei bestehende Wege, Kuchen zu stempeln:

Tree-Rings: Ändert nur den „Seed" (die rohen Zutaten) leicht. Es ist stark, versteckt die Nachricht aber nicht gut.
Gaussian-Shading: Verwendet einen geheimen Schlüssel, um die Zutaten zu verschlüsseln. Es ist gut, aber die Arbeit argumentiert, dass es einen Fehler hat: Wenn ein Dieb einen Kuchen stiehlt, kann er das Rezept für alle Kuchen herausfinden. Es ist wie ein Schloss, das nur funktioniert, wenn man den Schlüssel hat, aber das Schloss selbst verrät die Form des Schlüssels.

Die neue Methode: SSB (Secure Seed-Based)
Die Autoren haben ein neues System namens SSB entwickelt. Stellen Sie es sich als eine Gitterfalle vor.

Stellen Sie sich vor, die Zutaten (der „Seed") schweben in einem riesigen, unsichtbaren 3D-Gitter.
Um eine Nachricht zu verstecken, zwingt der Bäcker die Zutaten, in bestimmten „Käfigen" innerhalb dieses Gitters zu landen.
Die Magie: Sie verwenden ein spezielles, rotierendes Gitter (ein geheimer Schlüssel), das die Zutaten so aussehen lässt, als würden sie immer noch zufällig schweben, obwohl sie tatsächlich in bestimmten Käfigen gefangen sind.
Warum es besser ist: Selbst wenn ein Dieb 1.000 Kuchen stiehlt, kann er nicht herausfinden, wie das Gitter gedreht ist. Die „Käfige" sind so gut versteckt, dass der Dieb keinen Unterschied zwischen einem gestempelten Kuchen und einem normalen Kuchen erkennen kann.

4. Die „Trade-off"-Karte

Die Arbeit erstellt eine „Karte" (eine charakteristische Oberfläche), die das Gleichgewicht zwischen Sicherheit, Robustheit und Fidelity zeigt.

Alte Methode: Sie mussten eine Methode auswählen und hoffen, dass sie gut genug war.
Neue Methode (SSB): Sie können einen Regler an Ihrer neuen Maschine verschieben, um genau auszuwählen, wie viel Sicherheit Sie im Verhältnis zu wie viel Haltbarkeit benötigen. Sie können einen super-sicheren Stempel haben, der etwas weniger haltbar ist, oder einen super-haltbaren, der etwas weniger sicher ist. Das System ermöglicht es Ihnen, Ihr perfektes Gleichgewicht zu wählen, ohne die Mathematik zu brechen.

5. Die große Behauptung

Die Autoren behaupten, dass mit ihrer neuen Mathematik und dem SSB-System:

Wir Wassermarkierungsmethoden endlich fair vergleichen können, unabhängig davon, welches KI-Modell verwendet wird.
Wir mathematisch beweisen können, dass ihre neue Methode gegen Diebe sicher ist, die versuchen, den geheimen Schlüssel rückwärts zu entwickeln.
Wir keine Tausende teurer Tests auf verschiedenen Computern durchführen müssen, um zu beweisen, dass es funktioniert; die Mathematik beweist es zuerst.

Kurz gesagt: Sie haben aufgehört zu raten, welche Wasserzeichenmethode durch Versuch und Irrtum am besten funktioniert. Stattdessen haben sie einen mathematischen „universellen Übersetzer" gebaut, der es uns ermöglicht, Wassermarkierungen zu entwerfen, die nachweislich sicher, haltbar und unsichtbar sind, egal welcher KI-Generator das Backen übernimmt.

Technische Zusammenfassung: Sichere seed-basierte Multi-Bit-Wasserzeichen für Diffusionsmodelle aus ersten Prinzipien

Problemstellung

Das rasche Aufkommen generativer Bildmodelle hat die Entwicklung spezialisierter Wasserzeichentechniken vorangetrieben, insbesondere „in-Generation"-Methoden wie die seed-basierte Einbettung. Die Autoren argumentieren jedoch, dass die aktuellen Bewertungen in diesem Bereich grundlegend fehlerhaft sind, da sie stark auf empirischen Tests beruhen, die an spezifische Modellarchitekturen (Diffusionsmodelle, VAEs, Scheduler) und Inversionspipelines gebunden sind. Diese empirische Abhängigkeit verhindert klare, generalisierbare Schlussfolgerungen über die Leistungsfähigkeit von Wasserzeichenschemata, insbesondere hinsichtlich der Sicherheit.

Darüber hinaus sind die bestehenden Definitionen von „Qualität" und „Robustheit" an das generative Modell gekoppelt, was es unmöglich macht, Wasserzeichensysteme unabhängig vom verwendeten Modell zu rangieren. Ebenso wird oft zwischen kryptografischer Sicherheit und Wasserzeichensicherheit nicht klar unterschieden; Schemata wie Gaussian-Shading und PRC beanspruchen kryptografische Sicherheit, versagen jedoch darin, „Spoofing-Angriffe" zu verhindern, bei denen ein Angreifer die eingebettete Nachricht ohne den geheimen Schlüssel abrufen kann, da der Träger (der Seed) nicht verborgen ist.

Methodik

1. Ein entkoppeltes Evaluierungsframework

Der methodische Kernbeitrag ist die Entkopplung des modellabhängigen Teils (des inversen Diffusionsprozesses) vom Entscheidungsmechanismus des Wasserzeichensystems. Dies ermöglicht eine rigorose theoretische Analyse unabhängig vom generativen Modell. Die Autoren schlagen ein Framework vor, das auf drei Schlüsselgrößen basiert:

Kapazität (Robustheit): Anstelle empirischer Robustheitstests modellieren die Autoren den Entscheidungsmechanismus als Binären Symmetrischen Kanal (BSC) mit einer Flip-Wahrscheinlichkeit $p$ . Sie definieren die Robustheit der Projektionsfunktion $f$ durch die Varianz $\sigma^2$ des Rauschens, das sie im Wasserzeichenraum einführt. Die Kapazität des Systems wird unter Verwendung von Shannons Kapazitätsformel für einen BSC abgeleitet: $C_\sigma = 1 - h_2(p_k(\sigma))$ , wobei $p_k(\sigma)$ die Kanalcharakteristik ist, die die Rauschvarianz auf die Bitfehlerrate abbildet.
Fidelität (Qualität): Abweichend von empirischen Bildmetriken wie FID oder CLIP-Scores, die nach Ansicht der Autoren unzureichend und modellabhängig sind, definieren sie Fidelität als die Kullback-Leibler-Divergenz (KL-Divergenz) zwischen der Standard-Gaußschen Seed-Verteilung (der Cover-Verteilung) und der wasserzeichenbehafteten Seed-Verteilung. Ein System ist $\zeta$ -treu, wenn $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$ gilt.
Sicherheit: Die Autoren unterscheiden zwischen kryptografischer Sicherheit und Wasserzeichensicherheit. Sie definieren ein Sicherheitsverhältnis $\eta$ , das die Anzahl der wasserzeichenbehafteten Proben misst, die ein Angreifer benötigt, um den geheimen Schlüssel besser als durch zufälliges Raten zu schätzen. Sie heben hervor, dass Schemata, die den Träger des Codeworts nicht verbergen (wie Gaussian-Shading), ein Sicherheitsverhältnis von $\eta = 1/L$ aufweisen, was sie anfällig für Angriffe mittels Hauptkomponentenanalyse (PCA) macht.

2. Die SSB-Konstruktion (Secure Seed-Based)

Auf Basis dieses Frameworks schlagen die Autoren SSB vor, eine neuartige Multi-Bit-Wasserzeichenmethode, die von Voronoi-Modulation und verschachtelten Gittern inspiriert ist.

Einbettung: Die Methode verwendet einen geheimen Schlüssel $U$ (eine unitäre Matrix), um den latenten Raum zu rotieren. Sie employs zwei verschachtelte eindimensionale Gitter: ein grobes Gitter $\Lambda_\Delta$ und ein feines Gitter $\Lambda_\delta$ . Der Einbettungsalgorithmus sampelt einen Vektor $z_u$ , sodass die grobe Gitterfunktion $\Lambda_\Delta(z_u)$ das gewünschte binäre Codewort $c$ ausgibt.
Projektion: Der Vektor $z_u$ wird unter Verwendung des geheimen Schlüssels $U$ und einer zufälligen Rauschkomponente, die orthogonal zu $U$ steht, zurück in den latenten Raum projiziert, wodurch sichergestellt wird, dass der resultierende Seed für den Diffusionsprozess gültig ist.
Decodierung: Der Detektor projiziert das wasserzeichenbehaftete Bild zurück in den latenten Raum, wendet die Rotation $U^\top$ an und wendet die grobe Gitterfunktion $\Lambda_\Delta$ an, um das Codewort wiederherzustellen.

Hauptbeiträge

Theoretisches Framework: Das Papier führt ein formales Evaluierungsframework ein, das den Wasserzeichen-Entscheidungsmechanismus vom generativen Modell trennt. Dies ermöglicht präzise Vergleiche von Wasserzeichensystemen basierend auf einer charakteristischen Oberfläche, die den Trade-off zwischen Sicherheit, Kapazität und Fidelität darstellt, unabhängig vom verwendeten Diffusionsmodell.
SSB-Algorithmus: Die Autoren entwerfen SSB, eine Verallgemeinerung früherer seed-basierter Methoden. Durch die Einstellung der Gitterparameter $(\Delta, \delta)$ kann SSB über einen weiten Bereich des Sicherheits-Fidelitäts-Kapazitäts-Trade-off-Raums operieren. Bemerkenswerterweise kann es perfekte Sicherheit erreichen (wobei die Eigenwerte der wasserzeichenbehafteten Kovarianzmatrix von der Cover-Verteilung nicht unterscheidbar bleiben), selbst bei Aufrechterhaltung einer nicht-null Kapazität.
Empirische Validierung: Das Papier liefert eine empirische Validierung der theoretischen Annahmen. Es zeigt, dass das durch den inversen Diffusionsprozess eingeführte Rauschen im latenten Raum genau als additives weißes Gaußsches Rauschen modelliert werden kann und dass die theoretischen Vorhersagen für Kapazität und Sicherheit mit den empirischen Ergebnissen für SSB, Gaussian-Shading und PRC übereinstimmen.

Ergebnisse

Übereinstimmung zwischen Theorie und Empirie: Experimente mit den Diffusionsmodellen Sana, Z-Image und Qwen bestätigen, dass das theoretische Modell (BSC-Kanal mit Gaußschem Rauschen) die Bitfehlerraten und die Kapazität der Wasserzeichensysteme genau vorhersagt.
Leistungsvergleich:
- Gaussian-Shading und PRC: Diese bestehenden Methoden weisen niedrige Sicherheitsverhältnisse auf ( $\eta = 1/L$ ), da sie den Träger nicht verbergen, was sie anfällig für PCA-Angriffe macht. Sie zeigen zudem suboptimale Kapazitäts-Fidelitäts-Trade-offs.
- SSB: Die vorgeschlagene Methode übertrifft bestehende Ansätze, indem sie dem Benutzer die Auswahl eines Regimes ermöglicht. Beispielsweise erreicht eine spezifische Konfiguration $(\Delta=1.6, \delta=0)$ perfekte Sicherheit ( $\eta = +\infty$ ) bei gleichzeitiger Aufrechterhaltung einer tragfähigen Kapazität, ein Regime, das mit früheren Methoden nicht erreichbar war.
Robustheit: Die Studie quantifiziert die äquivalente Gaußsche Rauschvarianz ( $\sigma^2$ ), die durch gängige Bildoperationen (JPEG-Kompression, Zuschneiden, Helligkeits-/Kontrastanpassungen) über verschiedene Diffusionsmodelle hinweg eingeführt wird, und liefert damit eine standardisierte Metrik für Robustheit.

Bedeutung und Behauptungen

Das Papier beansprucht, das Paradigma der Wasserzeichenforschung von ad-hoc empirischen Optimierungen hin zu Design mit theoretischen Garantien zu verschieben. Durch die Entkopplung der Wasserzeichenlogik vom generativen Modell argumentieren die Autoren, dass:

Es möglich wird, definitive Aussagen über die Überlegenheit eines Wasserzeichensystems gegenüber einem anderen zu treffen (z. B. „System A ist robuster als System B"), ohne sie gegen jedes neue Diffusionsmodell neu bewerten zu müssen.
Das Feld über die Vermischung kryptografischer Sicherheit mit Wasserzeichensicherheit hinauskommen kann und die spezifische Bedrohung durch Spoofing-Angriffe, bei denen der Träger exponiert ist, adressiert.
Die SSB-Methode eine flexible, theoretisch fundierte Lösung bietet, die so angepasst werden kann, dass sie spezifische Anforderungen an Sicherheit, Kapazität und Fidelität erfüllt, und einen Weg zu modernen Wasserzeichensystemen ebnet, die für jede neue Iteration keine kostspieligen, modellspezifischen empirischen Evaluierungen erfordern.

Die Autoren bleiben bescheiden und weisen darauf hin, dass ihre Analyse ein BSC-Modell voraussetzt und dass zukünftige Arbeiten die Lücke zu AWGN-Modellen erforschen, die Projektionsfunktion (inverse Diffusion) verbessern und das Framework auf 0-Bit-seed-basierte Wasserzeichen erweitern könnten.