💻 computer science

Are Watermarked Images Editable? SafeMark for Watermark-Preserving Text-Guided Image Editing

Das Papier stellt SafeMark vor, ein Framework, das einen Wasserzeichen-Decodierungs-Verlust in diffusionsbasierte Bildbearbeitungswerkzeuge integriert, um sicherzustellen, dass textgesteuerte semantische Bearbeitungen die Integrität des Wasserzeichens bewahren, ohne die Bearbeitungsqualität oder Robustheit zu beeinträchtigen.

Ursprüngliche Autoren: Xiaodong Wu, Qi Li, Xiangman Li, Zelin Zhang, Lingshuang Liu, Jianbing Ni

Veröffentlicht 2026-05-20

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Xiaodong Wu, Qi Li, Xiangman Li, Zelin Zhang, Lingshuang Liu, Jianbing Ni

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben ein digitales Foto, das Sie heimlich mit einem unsichtbaren „Eigentumscode" (einem Wasserzeichen) versehen haben, um zu beweisen, dass Sie es erstellt haben. Stellen Sie sich nun vor, Sie möchten ein intelligentes KI-Tool verwenden, um das Foto zu bearbeiten – vielleicht einen sonnigen Tag in einen regnerischen verwandeln oder die Fellfarbe eines Hundes ändern.

Das große Problem, das diese Arbeit angeht, lautet: Wenn Sie das Foto bearbeiten, verschwindet dann der unsichtbare Stempel?

In der Vergangenheit ging der unsichtbare Stempel oft verloren, wenn man leistungsstarke KI-Editoren verwendete, um die Bedeutung eines Bildes zu verändern (etwa den Gesichtsausdruck einer Person oder den gesamten Hintergrund zu ändern), wodurch es unmöglich wurde, nachzuweisen, wem das Bild gehörte. Bestehende Methoden versuchten, den Stempel „robuster" zu machen, damit er Bearbeitungen übersteht, scheiterten jedoch, weil jeder KI-Editor anders funktioniert. Es war, als würde man versuchen, einen Schild herzustellen, der gegen jede mögliche Art von Schwert wirkt, während das Schwert jedoch ständig seine Form ändert.

Die Lösung: SafeMark

Die Autoren schlagen ein neues System namens SafeMark vor. Anstatt den Stempel nur robuster zu machen, haben sie die Funktionsweise des Bearbeitungstools verändert.

Hier ist die einfache Analogie:
Stellen Sie sich vor, Sie sind ein Bildhauer (der KI-Editor), der versucht, eine Statue basierend auf der Anfrage eines Kunden (dem Text-Prompt) zu meißeln.

Der alte Weg: Sie meißeln die Statue, wie Sie möchten. Wenn der Kunde ein „trauriges Gesicht" wünscht, machen Sie es traurig. Dabei könnten Sie jedoch versehentlich eine winzige, versteckte Seriennummer abmeißeln, die in das Sockel eingraviert ist.
Der SafeMark-Weg: Ihnen wird eine spezielle Regel gegeben: „Sie müssen das Gesicht traurig machen, ABER Sie dürfen die Seriennummer nicht abmeißeln." Wenn Ihre Meißelarbeit beginnt, die Seriennummer zu beschädigen, lenkt das System Ihre Hand sofort korrigierend, sodass die fertige Statue sowohl traurig ist als auch die Seriennummer intakt bleibt.

Wie es funktioniert (Das „Geheimrezept")

Die Arbeit beschreibt einen technischen Prozess, hier jedoch die Alltagsversion:

Die Doppel-Prüfung: Wenn die KI das Bild bearbeitet, betrachtet SafeMark nicht nur das Endergebnis. Es prüft ständig: „Haben wir das Bild erfolgreich wie gewünscht verändert? UND ist der unsichtbare Code noch lesbar?"
Die Strafe: Wenn der Bearbeitungsprozess beginnt, den Code zu löschen, fügt SafeMark eine „Strafe" (eine mathematische Rüge) zum Training der KI hinzu. Es sagt der KI: „Stopp! Sie löschen den Eigentumsnachweis. Gehen Sie zurück und reparieren Sie es."
Das Ergebnis: Die KI lernt, auf einem Seil zu balancieren. Sie führt die gewünschten Änderungen erfolgreich durch (wie das Hinzufügen eines Bartes oder das Ändern des Wetters), während das unsichtbare Wasserzeichen perfekt intakt bleibt.

Was sie herausfanden

Die Forscher testeten dies an vielen verschiedenen Bildtypen (Gesichter, Hunde, Gebäude) und mit vielen verschiedenen KI-Bearbeitungstools.

Ohne SafeMark: Wenn Menschen Bilder bearbeiteten, ging der unsichtbare Code oft kaputt. Manchmal war er noch zu 99 % lesbar, sank aber nach der Bearbeitung auf 60 % oder sogar 30 % – im Grunde unbrauchbar.
Mit SafeMark: Der unsichtbare Code blieb fast 100 % der Zeit lesbar, selbst nach intensiver Bearbeitung.
Qualität: Die bearbeiteten Bilder sahen immer noch großartig aus und entsprachen der Anfrage des Nutzers. Der „Schutz" hat die Kunst nicht ruiniert.

Das Fazit

Die Arbeit beweist, dass man den Kuchen haben und essen kann. Sie können ein Bild nach Herzenslust mit fortschrittlicher KI bearbeiten, und das Bild kann dennoch einen dauerhaften, unzerstörbaren Eigentumsnachweis tragen.

Die Autoren weisen auch auf eine Einschränkung hin: Wenn Sie versuchen, das Bild zu drastisch zu verändern (etwa das Hauptobjekt vollständig durch etwas völlig anderes zu ersetzen), könnte das System Schwierigkeiten haben, sowohl den neuen Look als auch den alten Code zu bewahren. Aber für normale Bearbeitungsaufgaben funktioniert SafeMark wie ein Zauber und stellt sicher, dass der „digitale Fingerabdruck" die Umgestaltung übersteht.

Technische Zusammenfassung: SafeMark für wasserzeichen-erhaltende textgesteuerte Bildbearbeitung

Problemstellung

Der rasche Fortschritt bei Text-zu-Bild-Modellen (z. B. Stable Diffusion, DALL-E 3) hat leistungsfähige, semantisch gesteuerte Bildbearbeitung durch iterative Denoisierung ermöglicht. Obwohl unsichtbare Bildwasserzeichen als entscheidendes Werkzeug für Eigentumsnachweise und Provenienzverfolgung bei statischen Generierungen etabliert sind, bleibt ihre Robustheit unter textgesteuerter Diffusionsbearbeitung weitgehend unerforscht.

Bestehende robuste Wasserzeichenverfahren (z. B. HiDDeN, VINE, SleeperMark) nutzen typischerweise ein adversarielles Verteidigungsparadigma, bei dem Encoder gegen vordefinierte Verzerrungen (JPEG, Größenänderung) oder spezifische Bearbeitungsverhalten trainiert werden. Der Artikel zeigt jedoch, dass diese Methoden nicht auf diverse, heterogene Diffusionseditoren verallgemeinern. Wenn Bilder mit textgesteuerten Editoren wie DiffusionCLIP, Asyrp oder Eff-Diff bearbeitet werden, verschlechtert sich die Genauigkeit der Wasserzeichenbits erheblich (z. B. in einigen Fällen ein Abfall von ~0,99 auf ~0,30). Die zentrale Forschungsfrage lautet: Können wasserzeichenversehene Bilder bearbeitet werden, ohne die Integrität des Wasserzeichens zu beeinträchtigen? Der Artikel argumentiert, dass aktuelle „robuste" Wasserzeichen editorabhängig sind und ein neuer Ansatz erforderlich ist, um die Integrität während des Bearbeitungsprozesses selbst zu gewährleisten.

Methodik: SafeMark

Die Autoren schlagen SafeMark vor, ein Framework, das die Erhaltung von Wasserzeichen als explizites Ziel innerhalb des Optimierungsprozesses der Bildbearbeitung behandelt, anstatt sich ausschließlich auf die intrinsische Robustheit des Wasserzeichens zu verlassen.

1. Problemformulierung

SafeMark fasst wasserzeichen-erhaltende Bearbeitung als ein restringiertes Optimierungsproblem zusammen. Gegeben ein wasserzeichenversehenes Bild $x_{orig}$ mit Nachricht $w$ , ein Editor $E_\theta$ und ein Prompt $p$ , ist das Ziel, Parameter $\theta^*$ zu finden, die den semantischen Verlust minimieren und gleichzeitig eine Genauigkeitsbedingung für das Wasserzeichen erfüllen:
$\min_\theta \mathbb{E}[L_{sem}(x_{edit}, x_{ref})] \quad \text{s.t.} \quad \text{Acc}(\hat{w}, w) \geq \tau$
wobei $x_{edit} = E_\theta(x_{orig}, p)$ , $\hat{w}$ das dekodierte Wasserzeichen ist und $\tau$ ein Zielgenauigkeitsschwellenwert darstellt.

2. Informationstheoretische Grundlage

Der Artikel liefert eine theoretische Begründung für die direkte Optimierung der Bitgenauigkeit.

Grenze der gegenseitigen Information: Die Wiederherstellbarkeit von Wasserzeichen ist durch die vom Editor-Kanal erhaltene gegenseitige Information $I_\theta(W; X_e)$ begrenzt.
Bitgenauigkeit als Surrogat: Die Autoren beweisen (mittels Fano-Ungleichung und Lemma 1), dass die Aufrechterhaltung einer hohen durchschnittlichen Bitgenauigkeit $\bar{a}$ diese gegenseitige Information nach unten begrenzt. Insbesondere stellt die Durchsetzung von $\bar{a} \geq \tau$ ein Mindestmaß an Informationserhaltung sicher, das für die Wiederherstellung erforderlich ist.

3. Trainingsziel und Hinge-Strafterm

Da die harte Bitgenauigkeit nicht differenzierbar ist, lockert SafeMark die Bedingung mittels eines geschwellten Hinge-Strafterms auf einem differenzierbaren Surrogat (Brier-ähnlicher Verlust) auf:
$L_{wm} = \max(0, \tau - \hat{g}_{Acc}(\hat{w}, w))$
wobei $\hat{g}_{Acc}$ eine glatte Approximation der Bitgenauigkeit ist. Das gesamte Trainingsziel kombiniert semantische Treue und Wasserzeichenerhaltung:
$L_{total} = \lambda_{sem} L_{sem} + \lambda_{wm} L_{wm}$

Semantische Ausrichtung: Um sicherzustellen, dass die Bearbeitung der Absicht des Benutzers treu bleibt, wird eine Referenzbearbeitung $x_{ref}$ unter Verwendung eines eingefrorenen, vortrainierten Editors $E_{\theta_0}$ generiert. Der semantische Verlust $L_{sem}$ fördert, dass die Ausgabe des trainierbaren Editors nahe an dieser Referenz bleibt ( $L_1$ -Distanz).
Architektur: SafeMark erfordert keine architektonischen Änderungen am zugrunde liegenden Diffusionseditor. Es funktioniert durch Feinabstimmung der Editorparameter $\theta$ , während der Wasserzeichen-Encoder/Dekoder fest bleibt. Gradienten fließen nur durch die finale denoiserte Ausgabe.

Hauptbeiträge

Empirische Identifizierung der Editor-Abhängigkeit: Der Artikel zeigt, dass bestehende robuste Wasserzeichenverfahren nicht auf verschiedene textgesteuerte Bearbeitungs-Pipelines verallgemeinern, wobei die Leistung stark vom verwendeten spezifischen Editor abhängt.
Theoretische Grundlage: Es wird eine informationstheoretische Basis für wasserzeichen-erhaltende Bearbeitung etabliert, die zeigt, dass Bitgenauigkeit ein handhabbarer Proxy für die Erhaltung der gegenseitigen Information ist, was die Verwendung von Hinge-Strafzielen rechtfertigt.
SafeMark-Framework: Eine neuartige Methode, die die Wasserzeichenüberwachung direkt in das Bearbeitungsziel integriert und eine nahezu perfekte Wiederherstellung von Wasserzeichen (Bitgenauigkeit $\approx 1,0$ ) über diverse Editoren und Datensätze hinweg erreicht, ohne die Qualität der semantischen Bearbeitung zu beeinträchtigen.
Robustheitsvalidierung: Die Autoren zeigen, dass durch SafeMark geschützte Bilder gegenüber gängigen Verzerrungen nach der Bearbeitung (Rotation, Unschärfe, Größenänderung) robust bleiben, was bestätigt, dass die Erhaltung während der Bearbeitung die Widerstandsfähigkeit gegen Standard-Bildkorruptionen nicht verschlechtert.

Experimentelle Ergebnisse

Das Framework wurde an realen Bildern (LSUN-Church, LSUN-Bedroom, CelebA, AFHQ-Dog) und KI-generierten Bildern evaluiert, unter Verwendung mehrerer Wasserzeichenschemata (HiDDeN, VINE, Stable Signature, SleeperMark) und drei verschiedener Diffusionseditoren (DiffusionCLIP, Asyrp, Eff-Diff).

Wasserzeichenerhaltung: Während direkte Bearbeitung („Mani") zu einem signifikanten Abfall der Bitgenauigkeit führte (z. B. sank VINE bei Bedroom-Bildern unter Asyrp von 0,999 auf 0,299), stellte SafeMark die Genauigkeit konsistent auf 1,000 (oder nahezu perfekte Werte wie 0,999) über alle Einstellungen hinweg wieder her.
Semantische Treue: SafeMark beeinträchtigte die Qualität der Bearbeitung nicht. Metriken wie FID, Inception Score (IS) und CLIP-Ähnlichkeit zeigten, dass SafeMark-Ausgaben perceptuell und semantisch nahe an direkten Bearbeitungen blieben. Die Metrik „Comp" (Vergleich von SafeMark-Bearbeitungen mit direkten Bearbeitungen) ergab niedrige FID-Werte, was darauf hindeutet, dass die Wasserzeichenbedingung das Bild nicht zurück zum Original zwang oder die Ausgabe kollabieren ließ.
Robustheit nach der Bearbeitung: Unter Verzerrungen wie Zuschneiden und Unschärfe behielt SafeMark eine hohe Bitgenauigkeit bei (Ausfallraten im Allgemeinen unter 0,15), was zeigt, dass das erhaltene Wasserzeichensignal gegenüber nachfolgender Verarbeitung robust ist.

Bedeutung und Behauptungen

Der Artikel behauptet, dass semantische Bearbeitbarkeit und Wasserzeichenintegrität grundlegend vereinbar sind. Die Verschlechterung von Wasserzeichen unter semantischer Bearbeitung ist keine inhärente Einschränkung des Bearbeitungsprozesses, sondern das Ergebnis unkontrollierter Bearbeitungsdynamiken.

Durch den Wechsel des Paradigmas von „robuster Wasserzeichenierung gegen Bearbeitung" zu „wasserzeichen-erhaltender Bearbeitung" bietet SafeMark eine Lösung zur Entwurfszeit für vertrauenswürdige Bildprovenienz. Die Autoren positionieren SafeMark als einen Mechanismus, der Anbietern von Bildbearbeitungsdiensten ermöglicht, hochwertige, semantisch gesteuerte Manipulationen anzubieten, während garantiert wird, dass Eigentumssignale wiederherstellbar bleiben. Dies stellt den Schutz der Provenienz als integralen Bestandteil der Bearbeitungspipeline dar und nicht als externes Add-on, was vertrauenswürdige Bildprovenienz in generativen Bearbeitungsworkflows ermöglicht.

Der Artikel räumt bescheiden Limitationen ein: SafeMark erfordert derzeit weißen-Box-Zugriff auf den Editor und einen separaten Feinabstimmungsschritt für jede Architektur, und es könnte vor Herausforderungen bei extrem aggressiven strukturellen Bearbeitungen stehen, die das Szenenlayout grundlegend über die Kapazität des Wasserzeichens hinaus verändern. Dennoch etabliert es einen kritischen Proof-of-Concept, dass die Erhaltung von Wasserzeichen durch Design durchsetzbar ist.