Resumen Técnico: Marca de Agua por Guía para Modelos de Difusión

Enunciado del Problema

El rápido avance de los modelos de difusión ha permitido la generación de imágenes de alta calidad y fotorrealistas, planteando preocupaciones significativas sobre la trazabilidad y la identificación de contenido generado por IA. Los organismos reguladores y las partes interesadas de la industria requieren mecanismos robustos para distinguir los medios sintéticos de las imágenes reales, a fin de prevenir el colapso del modelo (causado por el entrenamiento con datos generados por IA) y advertir a los usuarios sobre contenido no real.

Las estrategias de marca de agua existentes para modelos de difusión generalmente se dividen en dos categorías, ambas con limitaciones:

1. Marca de Agua Post-hoc: Incrustar una señal en la imagen después de la generación. Aunque son métodos maduros, tratan la imagen generada como un "anfitrión" y a menudo fallan al integrar la marca de agua en el contenido semántico del proceso de generación, lo que puede limitar la robustez.
2. Marca de Agua Durante la Generación: Modificar el propio proceso de generación. Los enfoques actuales incluyen:
   • Métodos basados en semilla (por ejemplo, Tree-Rings, Gaussian Shading): Incrustar patrones en la semilla de ruido inicial. Estos suelen tener dificultades con ataques geométricos (por ejemplo, recorte, rotación) y pueden alterar el contenido semántico o la composición de la imagen.
   • Métodos basados en VAE (por ejemplo, Stable Signature): Ajuste fino del Codificador Automático Variacional (VAE) al final del proceso de difusión. Aunque son efectivos, concentran la energía de la marca de agua en detalles de alta frecuencia, lo que los hace vulnerables a filtros de paso bajo (por ejemplo, compresión JPEG). Además, requieren reentrenar o ajustar finamente el modelo.

Persiste un desafío crítico: convertir esquemas de marca de agua post-hoc robustos en métodos durante la generación sin reentrenar el modelo de difusión ni el decodificador de la marca de agua, manteniendo al mismo tiempo la calidad y la diversidad de las imágenes.

Metodología

El artículo propone Marca de Agua por Guía, un método que incrusta marcas de agua durante el proceso de difusión guiando la trayectoria de muestreo utilizando gradientes de un decodificador de marca de agua comercial.

Mecanismo Central

El método trata al decodificador de la marca de agua como un clasificador diferenciable. En lugar de generar una imagen y luego verificar la presencia de una marca de agua, el proceso de difusión se dirige para generar imágenes que el decodificador intrínsecamente identifica como marcadas.

1. Guía Basada en Gradientes:
   El paso estándar de eliminación de ruido $\epsilon_\theta(z_t, t)$ se modifica restando un término proporcional al gradiente de una función de pérdida $L$ con respecto al latente $z_t$:
   $$\hat{\epsilon}(z_t, t) := \epsilon_\theta(z_t, t) - \omega \sqrt{1 - \bar{\alpha}_t} \nabla_{z_t} \log L(z_t)$$
   Aquí, $\omega$ controla la fuerza de la guía.

2. Función de Pérdida:
   La pérdida $L$ se define para minimizar el ángulo entre el vector de características extraído de la imagen generada $\phi(x_0(z_t))$ y el vector de marca de agua secreto $u_m$. Para la detección de cero bits, esto equivale a maximizar la similitud del coseno:
   $$L(z_t, u_m) := 1 - \cos(\phi(x_0(z_t)), u_m)$$
   Minimizar esta pérdida reduce el valor p para una imagen marcada, aumentando la probabilidad de detección.

3. Robustez mediante Aumento:
   Para garantizar la robustez frente a ataques para los cuales el decodificador no fue entrenado originalmente, el cálculo del gradiente incorpora un conjunto de transformaciones de imagen $\mathcal{T}$ (por ejemplo, compresión JPEG, ajustes de brillo/contraste, recorte). Los gradientes de estas vistas aumentadas se agregan (utilizando el algoritmo PCGrad para manejar direcciones de gradiente conflictivas) para actualizar la estimación de ruido:
   $$\hat{\epsilon}_{\mathcal{T}}(z_t) := \epsilon_\theta(z_t) - \sqrt{1 - \bar{\alpha}_t} \text{Agg}(\{\nabla_{z_t} \log L(z_t, u_m; T) \mid T \in \mathcal{T}\})$$
   Esto permite que el método herede la robustez del decodificador preentrenado y la extienda a nuevas transformaciones sin reentrenar el decodificador.

4. Optimizaciones:

   • Guía Parcial: La guía se aplica solo durante los últimos $T_w$ pasos del proceso de difusión para reducir el costo computacional.
   • Recorte de Gradiente: Para evitar artefactos visuales, se recorta la norma del gradiente y se controla la fuerza de la guía mediante hiperparámetros ($\omega, \eta, \tau$).

Contribuciones Clave

1. Primera Marca de Agua Durante la Generación Basada en Guía: El artículo presenta el primer método para incrustar marcas de agua directamente en el proceso de difusión utilizando guía por gradientes, convirtiendo cualquier esquema post-hoc en uno durante la generación.
2. No Requiere Reentrenamiento: El método no requiere ajustar finamente el modelo de difusión ni el decodificador de la marca de agua. Utiliza decodificadores existentes y comerciales.
3. Robustez Mejorada: Al incorporar aumentos en el cálculo del gradiente, el método mejora la robustez frente a ataques (incluidos aquellos para los que el decodificador no fue entrenado) sin reentrenar el detector.
4. Compensación Equilibrada: El enfoque logra un equilibrio entre los esquemas basados en semilla (que alteran el contenido semántico) y los esquemas basados en VAE/post-hoc (que añaden señales invisibles). Preserva la diversidad semántica y la calidad de la generación mientras incrusta la marca de agua.

Resultados Experimentales

El método fue evaluado en tres modelos de difusión (Stable Diffusion 2, Flux-1.0, Sana) utilizando dos detectores de última generación (Stable Signature y VideoSeal).

• Calidad de Imagen: Las métricas cuantitativas (FID, puntuación CLIP) muestran que las imágenes marcadas son cualitativamente indistinguibles de las imágenes sin marca. La inspección visual confirma que el contenido semántico, el tono y la composición se preservan en gran medida, a diferencia de los cambios drásticos observados en algunos métodos basados en semilla.
• Robustez (Multibit y Cero Bits):
  • Ataques Geométricos: El método supera significativamente a los esquemas basados en semilla (Tree-Rings, Gaussian Shading) frente a ataques geométricos como recorte y rotación, heredando la robustez de los decodificadores preentrenados.
  • Ataques Valuométricos: Mantiene una alta robustez frente a la compresión JPEG y cambios de brillo/contraste.
  • Ataques Adversarios: El método demuestra una robustez superior frente a la purificación VAE, la regeneración y los ataques promedios en comparación con Tree-Rings y Gaussian Shading.
• Tasa de Falsas Alarmas: El método logra tasas de falsas alarmas extremadamente bajas (alto $-\log_{10}(PFA)$) con altas probabilidades de detección ($PD=0.9$), superando tanto a las líneas base post-hoc como a otras líneas base durante la generación.
• Eficiencia: Aunque la generación requiere 2–13 pasos adicionales, la decodificación es instantánea (una sola pasada hacia adelante), lo que la hace hasta 50 veces más rápida en el momento de la detección en comparación con los métodos basados en semilla que requieren pasos de difusión inversa.

Significado y Afirmaciones

El artículo afirma que la Marca de Agua por Guía ofrece una solución principada y modular para la seguridad de la IA generativa. Su significado principal radica en:

• Complementariedad: Funciona junto con técnicas existentes (como el ajuste fino de VAE) y puede aplicarse a cualquier modelo de difusión sin cambios arquitectónicos.
• Adaptabilidad: Permite el despliegue inmediato de marcas de agua robustas aprovechando decodificadores existentes y bien entrenados, evitando el proceso intensivo de recursos de reentrenar modelos o decodificadores para nuevos vectores de ataque.
• Practicidad: Al preservar la calidad y la diversidad de las imágenes mientras garantiza una alta detectabilidad y bajos falsos positivos, aborda la necesidad crítica de contenido de IA trazable en contextos regulatorios y de seguridad.

Los autores reconocen limitaciones, señalando que la robustez depende del contenido visual de la imagen generada y que el tiempo de generación aumenta ligeramente. Sin embargo, enfatizan que la compensación es favorable dado el eliminación de los requisitos de reentrenamiento y las ganancias significativas en velocidad de detección y robustez.