Low-Compute Watermark Removal via Dual-Domain Natural Projection

Resumen Técnico: Eliminación de Marca de Agua de Bajo Cómputo mediante Proyección Natural de Doble Dominio

Enunciado del Problema
La proliferación de modelos generativos (por ejemplo, Difusión, GAN) ha hecho necesaria una marca de agua digital robusta para garantizar la procedencia del contenido. Sin embargo, los adversarios buscan eliminar estas marcas de agua para evadir el rastreo. Las estrategias existentes de eliminación enfrentan un compromiso fundamental entre tres objetivos en competencia: alto éxito de eliminación, baja distorsión perceptual y bajo costo computacional. Los ataques actuales de imagen única suelen optimizar los dos primeros, pero dependen de una optimización iterativa costosa y multietapa (por ejemplo, optimización en el espacio latente o regeneración con modelos sustitutos), lo que las hace poco prácticas para escenarios en tiempo real con recursos limitados. Además, muchos métodos existentes fallan frente a marcas de agua semánticas (por ejemplo, TREE-RING, ZODIAC) que incrustan señales en espacios latentes o de frecuencia de alta dimensión en lugar de perturbaciones simples de píxeles. Este artículo investiga la viabilidad de eliminar diversos tipos de marcas de agua bajo un modelo de amenaza estricto de "sin caja" y de imagen única, donde el adversario no tiene acceso al generador, a la clave de marcaje ni a muestras auxiliares, y opera con cómputo limitado.

Metodología: DAWN
Los autores presentan DAWN (Nullificador de Marca de Agua Adversarial de Doble Dominio), un marco de ataque ligero y sin entrenamiento diseñado para operar en el régimen de bajo cómputo. DAWN opera mediante una tubería de tres etapas que proyecta imágenes con marca de agua sobre priores de imágenes naturales en dominios complementarios:

1. Reconstrucción en el Dominio de la Frecuencia (Paso 1):

   • Mecanismo: La imagen de entrada con marca de agua se transforma en una representación de Transformada Discreta del Coseno (DCT) por bloques de 8×8. Una UNet en el dominio de la frecuencia, ligera y preentrenada (entrenada fuera de línea sobre imágenes naturales limpias), procesa estos coeficientes para atenuar los artefactos espectrales estructurados característicos de las señales de marca de agua.
   • Fundamento: Los esquemas de marcaje, incluso los semánticos, a menudo introducen desviaciones estructuradas en las bandas de frecuencia media a alta que violan el decaimiento espectral $1/f^\alpha$ de las imágenes naturales. Este paso proyecta la imagen de vuelta hacia la variedad de imágenes naturales, suprimiendo estas anomalías sin requerir optimización iterativa.
   • Entrenamiento: La UNet se entrena una sola vez fuera de línea utilizando un objetivo de reconstrucción $\ell_1$ sobre imágenes limpias con ruido estructurado sintético inyectado en bandas de frecuencia específicas. No se utilizan datos con marca de agua durante el entrenamiento.

2. Refinamiento Semántico (Paso 2):

   • Mecanismo: La salida de la reconstrucción en frecuencia se pasa a través de un modelo img2img de Stable Diffusion v2 preentrenado (con pesos congelados) durante aproximadamente 50 pasos.
   • Fundamento: Aunque la reconstrucción en frecuencia suprime las anomalías espectrales, puede degradar texturas finas o introducir artefactos. Este paso aprovecha los priores semánticos aprendidos por el modelo de difusión para restaurar la coherencia global, los límites de los objetos y la estructura de alto nivel, erosionando aún más las señales de marca de agua alineadas con el contenido semántico.

3. Alineación Perceptual (Paso 3 Opcional):

   • Mecanismo: Un paso de posprocesamiento ligero (por ejemplo, ajuste de media-varianza por canal o transferencia de estilo) alinea los tonos y las estadísticas de color de la imagen atacada con la entrada original con marca de agua.
   • Fundamento: La supresión agresiva puede causar desplazamientos de tono o cromáticos. Este paso asegura la consistencia visual para su uso posterior. Crucialmente, los autores desacoplan este paso del éxito del ataque; mejora la fidelidad visual pero no contribuye a la supresión de la marca de agua.

Contribuciones Clave

• Identificación de un Compromiso Fundamental: El artículo demuestra que ningún ataque de imagen única actual logra simultáneamente un alto éxito de eliminación, baja distorsión y bajo costo computacional.
• Marco DAWN: Un ataque novedoso, sin entrenamiento y de disparo único que logra un rendimiento de eliminación competitivo en esquemas de marcaje en píxeles, frecuencia y espacio latente (incluyendo TREE-RING, ZODIAC y RIVAGAN) utilizando únicamente pasos de inferencia a través de redes fijas.
• Perspectiva de Doble Dominio: El trabajo establece que combinar la proyección en el dominio de la frecuencia (para suprimir artefactos espectrales estructurados) con el refinamiento semántico (para restaurar la coherencia) es más efectivo que la regeneración solo en píxeles o los ataques puramente basados en optimización para eliminar marcas de agua semánticas.
• Realismo del Modelo de Amenaza: El método opera bajo un entorno adversarial realista (imagen única, sin acceso al modelo, cómputo limitado), en contraste con trabajos anteriores que asumen acceso a múltiples muestras o modelos sustitutos.

Resultados

• Efectividad: DAWN logra un éxito de eliminación superior al 95% contra métodos clásicos de píxeles/frecuencia (por ejemplo, DWTDCT, RIVAGAN) y un éxito del 60–90% contra esquemas semánticos (por ejemplo, 70% en TREE-RING, 92% en ZODIAC).
• Eficiencia: DAWN requiere significativamente menos FLOPs que las líneas base basadas en optimización (por ejemplo, eliminación de huella), operando con una sola pasada hacia adelante de una UNet y una inferencia de difusión de 50 pasos.
• Fidelidad: Aunque DAWN introduce cierta distorsión perceptual (menor PSNR/SSIM en comparación con ataques de optimización de alta fidelidad), preserva eficazmente la información estructural y semántica. Las métricas basadas en luminancia (SSIM$_{lum}$, CLIP$_{lum}$) permanecen cerca de 0.99, lo que indica que las desviaciones son principalmente cromáticas y no estructurales.
• Ablación: Eliminar el paso de reconstrucción en el dominio de la frecuencia hace que el éxito del ataque colapse a casi cero, confirmando que la proyección espectral es el motor principal del debilitamiento de la marca de agua. El refinamiento semántico estabiliza la estructura, pero es secundario al paso de frecuencia para la eliminación.

Significado y Afirmaciones
El artículo afirma que DAWN expone regularidades estructurales fundamentales en los esquemas actuales de marcaje generativo, demostrando que las señales incrustadas en espacios de frecuencia o latentes pueden neutralizarse proyectando las imágenes de vuelta sobre priores de imágenes naturales sin acceso a los parámetros del modelo. Los autores posicionan este trabajo como una herramienta para que la comunidad audite y evalúe la robustez de los mecanismos de procedencia existentes. Argumentan que los resultados destacan la necesidad de que los diseños futuros de marcas de agua incrusten señales a través de múltiples jerarquías espectrales y semánticas o incorporen autenticación criptográfica para resistir ataques de proyección en frecuencia. Los autores declaran explícitamente que DAWN no habilita nuevas capacidades generativas y opera únicamente sobre imágenes ya generadas, enfatizando su papel en la comprensión de vulnerabilidades en lugar de facilitar eludir la atribución maliciosa.