💻 computer science

Rethinking Forgery Attacks on Semantic Watermarks in Black-Box Settings: A Geometric Distortion Perspective

Diese Arbeit befasst sich mit der Anfälligkeit semantischer Wasserzeichen in latenten Diffusionsmodellen gegenüber Black-Box-Fälschungsangriffen, indem sie die unvermeidbaren geometrischen Verzerrungen durch strukturelle Modell-Fehlanpassungen theoretisch analysiert und eine schemabedingungslose Detektionsmethode vorschlägt, um solche Fälschungen vor der Verifizierung zu identifizieren.

Ursprüngliche Autoren: Cheng-Yi Lee, Yichi Zhang, Yuchen Yang, Chun-Shien Lu, Jun-Cheng Chen

Veröffentlicht 2026-06-30

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Cheng-Yi Lee, Yichi Zhang, Yuchen Yang, Chun-Shien Lu, Jun-Cheng Chen

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das große Ganze: Das „Problem mit dem gefälschten Ausweis“ für KI-Kunst

Stellen Sie sich vor, Sie besitzen eine hochmoderne Fabrik (das KI-Modell), die wunderschöne, einzigartige Gemälde druckt. Um zu beweisen, dass diese echt sind, drückt die Fabrik heimlich einen winzigen, unsichtbaren „Fingerabdruck“ in den allerersten Funken Elektrizität, der den Malprozess startet. Dies wird als semantisches Wasserzeichen bezeichnet.

Nun stellen Sie sich vor, ein Fälscher möchte diese Gemälde stehlen, den Stempel der Fabrik entfernen und behaupten, er selbst hätte sie erschaffen. Aber hier ist der Haken: Der Fälscher besitzt nicht die Blaupausen der Fabrik. Er hat nur eine Proxy-Fabrik – eine ähnlich aussehende Maschine, die er selbst gebaut hat.

Der Fälscher versucht, das Gemälde bis zu diesem ursprünglichen Funken zurückzuverfolgen und dann seine eigene Maschine zu nutzen, um eine neue Version zu drucken. Er hofft, dass die neue Version immer noch den unsichtbaren Fingerabdruck der ursprünglichen Fabrik trägt.

Die Entdeckung der Arbeit:
Die Autoren dieser Arbeit haben erkannt, dass der Fälscher zwar das Bild gut aussehen lassen kann, aber den unsichtbaren Fingerabdruck nicht perfekt rekonstruieren kann. Da die Maschine des Fälschers (die Proxy) nicht exakt dieselbe ist wie die der echten Fabrik (das Ziel), ist der „Funke“, den sie erzeugt, leicht „verbogen“ oder „verzerrt“.

Die Arbeit argumentiert, dass diese Verformung nicht einfach nur zufälliges Rauschen ist, sondern eine spezifische, messbare geometrische Verzerrung. Es ist so, als würde man versuchen, einen perfekten Kreis mit einem leicht verbogenen Lineal zu kopieren; das Ergebnis wird immer ein leicht verzerrter Kreis sein, egal wie sehr man sich auch bemüht.

Das Kernkonzept: Der „Rate-Distortion“-Trade-off

Die Autoren verwenden ein Konzept aus der Informationstheorie namens Rate-Distortion (Rate-Verzerrung). Denken Sie an Folgendes:

Rate: Wie viel Information der Fälscher stehlen möchte (den geheimen Fingerabdruck).
Distortion (Verzerrung): Wie sehr das Bild im Prozess beschädigt wird.

Normalerweise kann man Qualität gegen Information eintauschen. Aber die Arbeit beweist, dass es, wenn der Fälscher die falsche Maschine verwendet (die Proxy), eine „Distortion Floor“ (Verzerrungsgrenze) gibt.

Die Analogie: Stellen Sie sich vor, Sie versuchen, Wasser aus einem quadratischen Becher (die echte Fabrik) in einen runden Becher (die Maschine des Fälschers) zu gießen und dann zurück in einen quadratischen Becher. Egal wie vorsichtig Sie gießen, es wird immer etwas Wasser verschüttet werden oder die Form wird leicht abweichen. Sie können nicht 100 % des Wassers wieder perfekt zurückbekommen, weil die Becher nicht zusammenpassen. Dieses „verschüttete Wasser“ ist die irreduzible Verzerrung.

Die zwei Arten der „Verbiegung“

Die Arbeit identifiziert, dass diese Verzerrung nicht zufälliges statisches Rauschen ist; sie geschieht auf zwei spezifischen, vorhersehbaren Arten:

Global Drift (Der Kompassnadel-Effekt):
Stellen Sie sich vor, der unsichtbare Fingerabdruck ist eine Kompassnadel, die nach Norden zeigt. Wenn der Fälscher versucht, ihn zu rekonstruieren, wackelt die Nadel nicht nur zufällig, sondern sie zeigt konsistent etwas weiter nach Osten. Dies ist eine Richtungsverschiebung. Die Arbeit nennt dies „Spherical Angular Distortion“. Es ist, als wäre die Maschine des Fälschers leicht gegenüber der realen Welt dejustiert.
Lokale Deformation (Das dehnbare Gummituch):
Stellen Sie sich vor, der Fingerabdruck ist auf ein Gummituch gezeichnet. Wenn die Maschine des Fälschers das Bild verarbeitet, bewegt sie das Tuch nicht nur, sondern dehnt und staucht das Gummi in spezifischen Mustern. Die Abstände zwischen den „Punkten“ des Fingerabdrucks ändern sich auf eine Weise, wie sie eine echte Fabrik niemals tun würde. Die Arbeit misst dies mit einem speziellen mathematischen Werkzeug namens SPD-Mannigfaltigkeits-Geometrie, was so etwas wie die Prüfung ist, ob das Gummituch ungleichmäßig gedehnt wurde.

Die Lösung: Der „Geometrische Detektiv“

Da diese Verzerrungen spezifisch und messbar sind, schlagen die Autoren eine neue Methode vor, um Fälscher zu überführen.

Anstatt nur zu prüfen, ob der Fingerabdruck existiert (den der Fälscher erfolgreich fälschen könnte), prüfen sie, wie der Fingerabdruck geformt ist.

Echtes Fabrik-Bild: Der Fingerabdruck ist ein perfekter Kreis, der nach Norden zeigt.
Gefälschtes Bild: Der Fingerabdruck ist ein leicht gestauchter Kreis, der nach Nordost zeigt.

Ihre neue Erkennungsmethode fungt wie ein geometrischer Detektiv. Noch bevor sie versuchen, die geheime Nachricht zu lesen, betrachtet sie die Form der Daten. Wenn die Form „verbogen“ oder „gestaucht“ ist, und zwar auf die spezifische Weise, die nur eine nicht übereinstimmende Maschine verursachen kann, markiert sie das Bild als Fälschung.

Warum das wichtig ist (laut der Arbeit)

Es ist nicht nur „Pech“: Die Arbeit beweist mathematisch, dass diese Verzerrung unvermeidlich ist. Solange der Fälscher nicht exakt dieselbe Maschine besitzt wie der Schöpfer, kann er keinen perfekten Fake erstellen.
Es funktioniert bei vielen Arten von Wasserzeichen: Die Methode funktioniert unabhängig davon, wie das Wasserzeichen versteckt wurde (ob als Muster in der Frequenz oder als Code in den Bits). Sie betrachtet die zugrunde liegende Geometrie der Daten.
Es ist ein Sicherheitsnetz: Selbst wenn ein Fälscher es schafft, die Standard-Wasserzeichen-Prüfung zu täuschen, kann diese geometrische Prüfung ihn dennoch entlarven, da die „Form“ seiner gefälschten Daten falsch ist.

Zusammenfassung in einem Satz

Die Arbeit zeigt auf, dass KI-Fälscher, die die falschen Werkzeuge verwenden, den Daten unweigerlich eine spezifische „geometrische Narbe“ hinterlassen, und durch das Messen dieser Narben können wir sie erfassen, selbst wenn sie das Wasserzeichen selbst erfolgreich kopiert haben.

Technisches Resümee: Überdenken von Fälschungsangriffen auf semantische Wasserzeichen in Black-Box-Umgebungen

1. Problemstellung

Die zunehmende Verbreitung von KI-generierten Inhalten (AIGC) hat robuste Mechanismen für die Quellenattribuierung und Vertrauensverifizierung erforderlich gemacht. Semantische Wasserzeichen, die Informationen in das initiale latente Rauschen von Diffusionsmodellen einbetten, haben sich aufgrund ihrer Robustheit gegenüber gängigen Bildtransformationen als vielversprechende Lösung erwiesen. Jüngste Studien haben jedoch gezeigt, dass diese Systeme anfällig für Black-Box-Fälschungsangriffe sind. Bei solchen Angriffen nutzt ein Angreifer mit lediglich Black-Box-Zugriff auf das Modell eines Dienstanbieters (Service Provider, SP) ein Proxy-Diffusionsmodell, um ein wassermarkiertes Bild zu invertieren, eine geschätzte latente Repräsentation wiederherzustellen und ein neues Bild zu regenerieren, das das Wasserzeichen des SP beibehält, aber die Provenienz des Inhalts fälscht.

Die bestehende Literatur stützt sich primär auf empirische Belege, um diese Angriffe zu demonstrieren, und lässt eine rigorose theoretische Untersuchung der Bedingungen vermissen, unter denen eine Fälschung gelingt oder scheitert. Folglich bleibt unklar, welche fundamentalen Sicherheitsgrenzen semantische Wasserzeichen-Systeme in der Praxis besitzen oder wie man Verteidigungen entwirft, die über spezifische Implementierungen von Angriffen hinaus generalisieren.

2. Methodik und theoretischer Rahmen

Rate-Distortion-Perspektive

Die Autoren rahmen das Black-Box-Fälschungsproblem durch die Linse der Rate-Distortion-Theorie im latenten Raum neu. Sie modellieren die Aufgabe des Angreifers als ein verlustbehaftetes Kompressionsproblem, bei dem das Proxy-Modell als Decoder fungiert, der versucht, ein Ziel-latentes Rauschen zu approximieren.

Irreduzibler Verzerrungsboden (Irreducible Distortion Floor): Die Autoren beweisen, dass eine Diskrepanz zwischen dem Zielmodell ( $\Theta$ ) und dem Proxy-Modell des Angreifers ( $\Theta_A$ ) einen irreduziblen Informationsverlust ( $D_{irr}$ ) induziert. Dieser Verlust erzeugt eine Untergrenze für die erreichbare Verzerrung, was bedeutet, dass ein Black-Box-Angreifer selbst mit unendlichen Rechenressourcen keine beliebig kleine Inversionsverzerrung erreichen kann, wenn die Modelle voneinander abweichen.
Effektive Ratenstrafe (Effective Rate Penalty): Die Modellabweichung erzwingt zudem eine effektive Ratenstrafe ( $I_{pen}$ ), welche die nutzbare Informationsrate des Angreifers reduziert und den Zerfall der Verzerrung verlangsamt, während die Informationsrate steigt.

Geometrische Charakterisierung der Verzerrung

Über stochastische Rauschannahmen hinaus charakterisieren die Autoren die durch Proxy-Modelle eingeführte Verzerrung als strukturierte geometrische Abweichungen auf dem intrinsischen latenten Manifold. Diese Abweichungen manifestieren sich in zwei spezifischen Formen:

Globaler Drift (Direktional): Auf der Hypersphäre des latenten Raums verursachen Fälschungs-Perturbationen eine systematische Winkelverschiebung. Dies wird mittels Spherical Angular Distortion (SAD) quantifiziert, gemessen über die Kosinus-Ähnlichkeit. Theoretisch wird erwartet, dass die Orientierung eines gefälschten latenten Rauschens signifikant von dem ursprünglichen wassermarkierten latenten Rauschen abweicht, während ein korrekt wiederhergestelltes latentes Rauschen gut ausgerichtet bleibt.
Lokale Deformation (Strukturell): Fälschungsangriffe stören die lokale strukturelle Integrität des latenten Manifolds. Die Autoren bilden lokale Token-Statistiken auf das Manifold von symmetrischen positiven definiten (SPD) Matrizen ab und messen die Abweichung mittels der Affine-Invarianten Riemannschen Metrik (AIRM). Dies liefert eine Metrik namens Local SPD Geometric Inconsistency (LGI), welche nicht kongruente Deformationen in der lokalen Nachbarschaft der Token erfasst, die in echten wassermarkierten Proben nicht vorhanden sind.

Detektionsschema

Unter Ausnutzung dieser geometrischen Erkenntnisse schlagen die Autoren eine schema-agnostische Detektionsmethode vor. Diese Methode operiert als Vorverifizierungsschritt, indem sie das wiederhergestellte latente Rauschen ( $\hat{z}_T$ ) analysiert, bevor der Versuch unternommen wird, das Wasserzeichen zu extrahieren. Durch die Evaluierung des gemeinsamen geometrischen Raums von globalem Drift (G-Cos) und lokaler Deformation (L-SPD) kann der Detektor gefälschte Proben von echten wassermarkierten Proben unterscheiden, ohne bestehende Wasserzeichen-Schemata zu modifizieren.

3. Kernbeiträge

Theoretische Formalisierung: Die Arbeit ist die erste, die Black-Box-Fälschungsangriffe innerhalb eines Rate-Distortion-Rahmens formalisiert und dabei einen irreduziblen Verzerrungsboden identifiziert, der die Fähigkeiten eines Angreifers grundlegend einschränkt, wenn dieser ein dissoziertes Proxy-Modell verwendet.
Geometrische Charakterisierung: Sie charakterisiert fälschungsinduzierte Verzerrungen nicht als zufälliges Rauschen, sondern als strukturierte geometrische Abweichungen (globaler Drift und lokale Deformation) auf dem latenten Manifold.
Robuste Detektion: Die Autoren schlagen eine Detektionsmethode basierend auf diesen geometrischen Befunden vor. Umfangreiche Evaluationen demonstrieren deren Effektivität über diverse Black-Box-Szenarien hinweg, einschließlich sowohl guidance-basierter als auch optimierungsbasierter Angriffe, während gleichzeitig die Robustheit gegenüber gängigen Bildtransformationen gewahrt bleibt.

4. Experimentelle Ergebnisse

Die Autoren evaluierten ihre Methode gegen sechs hochmoderne semantische Wasserzeichen-Schemata (Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading und TAG) über fünf Zielmodelle (SD2.1, SDXL, PixArt- $\Sigma$ , FLUX.1, SD3) unter Verwendung von SD2.1 und SD3 als Proxies.

Fächtungserfolg: Experimente bestätigten, dass Fälschungsangriffe sehr erfolgreich sind, wenn das Ziel- und das Proxy-Modell identisch sind (z. B. SD2.1 $\to$ SD2.1), wobei nahezu perfekte True Positive Rates (TPR) für die Wasserzeichen-Retention erreicht werden. Die Effektivität des Angriffs sinkt jedoch signifikant in Cross-Model-Szenarien (z. B. SD3 als Ziel mit SD2.1 als Proxy), was konsistent mit dem theoretischen Verzerrungsboden ist.
Detektionsleistung: Die vorgeschlagenen geometrischen Metriken (G-Cos und L-SPD) erreichten nahezu perfekte Area Under the Curve (AUC)-Werte (oft über 0,99) in Cross-Model-Szenarien. Selbst im anspruchsvollen Identitätsmodell-Szenario (in dem der theoretische Verzerrungsboden minimiert wird) behielt die Methode eine starke Detektionsleistung (z. B. AUC > 0,95 für G-Cos).
Robustheit: Die Detektionsmethode bewahrte eine hohe Konsistenz unter verschiedenen Post-Processing-Verzerrungen (z. B. JPEG-Kompression, Rauschen, Cropping), wenngleich die Leistung unter stochastischem Rauschen und nichtlinearen Signaldegradationen, welche die strukturelle Kohärenz des latenten Raums korrumpieren, leicht abnahm.
Vergleich: Die Methode übertraf alternative Metriken oder war mit ihnen ebenbürtig und blieb selbst gegen fortgeschrittene Schemata wie PRC-Wasserzeichen effektiv, die auf Pseudozufälligkeit setzen, um Fälschungen zu widerstehen.

5. Bedeutung und Behauptungen

Das Paper beansprucht, eine neue Perspektive auf die Sicherheit semantischer Wasserzeichen-Systeme zu bieten. Durch die Identifizierung der Proxy-Zielmodell-Diskrepanz als die fundamentale Quelle der Verwundbarkeit für Angreifer (und der Quelle des detektierbaren Signals für Verteidiger), liefern die Autoren eine fundierte Basis für die Fälschungsdetektion.

Orthogonale Verteidigung: Die vorgeschlagene Methode dient als orthogonale Verteidigung, die bestehende Wasserzeichen-Schemata ergänzt. Sie erfordert weder ein Retraining des generativen Modells noch eine Änderung des Wasserzeichen-Algorithmus.
Praktischer Nutzen: Das Detektions-Framework operiert ausschließlich auf dem latenten Rauschen und hält sich damit an die Zero-Storage-Prinzipien, die der Wasserzeichen-Technologie inhärent sind, was es leichtgewichtig und kompatibel für großflächige Implementierungen macht.
Sicherheitsgrenzen: Die Arbeit verdeutlicht, dass auch in Identitätsmodell-Settings, in denen die architektonische Diskrepanz minimiert ist, unvermeidliche interne akkumulierte Fehler (aufgrund der Asymmetrie zwischen Forward-Generation und Backward-Inversion) immer noch messbare latente Diskrepanzen induzieren, was eine robuste Detektion selbst in diesen Extremfällen ermöglicht.

Die Autoren schließen mit dem Hinweis, dass ihre Ergebnisse die intrinsischen Grenzen von Black-Box-Fälschungsangriffen aufzeigen und nahelegen, dass zukünftige robuste semantische Wasserzeichen-Designs diese geometrischen Eigenschaften berücksichtigen sollten, um die Sicherheit zu erhöhen.