Resumen Técnico: DEMARK – Un ataque de caja negra sin consultas contra las defensas de marcas de agua en deepfakes

1. Planteamiento del problema

La rápida proliferación de deepfakes realistas generados por modelos como Stable Diffusion y ChatGPT ha creado riesgos de seguridad urgentes, lo que requiere el uso de marcas de agua defensivas para la atribución y detección. Los paradigmas de defensa actuales dependen de arquitecturas de codificador-decodificador que incrustan señales invisibles en las imágenes, ya sea después de la generación o durante el proceso de generación. Estos esquemas asumen que las marcas de agua son inherentemente resistentes a la eliminación. Sin embargo, los autores cuestionan esta suposición, señalando que las defensas existentes se comprenden poco bajo adversarios avanzados.

Los métodos de ataque previos enfrentan limitaciones significativas:

• Ataques de distorsión: A menudo introducen artefactos visibles y degradan la calidad de la imagen.
• Ataques de regeneración: Dependen de modelos generativos preentrenados de gran escala (VAEs o modelos de difusión) que preservan representaciones latentes que portan información de la marca de agua, lo que limita su efectividad.
• Ataques adversarios: Típicamente requieren acceso a los parámetros del modelo o capacidades extensas de consulta, lo que los hace impracticables en escenarios reales de caja negra.

Existe una brecha crítica para un ataque de caja negra y sin consultas (query-free) que pueda eliminar eficazmente las marcas de agua mientras preserva el realismo perceptual y estructural requerido para las imágenes de deepfakes.

2. Metodología: DEMARK

Los autores proponen DEMARK, un marco de ataque de caja negra sin consultas que explota las vulnerabilidades del espacio latente en los modelos de marcas de agua de codificador-decodificador. La innovación central reside en la adaptación de la teoría de la Captura de Imágenes Compresivas (ICS) al dominio del aprendizaje profundo.

Principios de diseño central

DEMARK reemplaza las matrices de medición fijas y las bases de dispersión encontradas en la ICS tradicional con una arquitectura de codificador-decodificador aprendible.

1. Codificación dispersa: Un codificador basado en CNN ($T_{CNN}$) transforma una imagen con marca de agua en una representación latente dispersa ($Z$). Este proceso es guiado por una Pérdida de Codificación Dispersa ($L_{SEL}$), definida como la norma $\ell_1$ de $Z$, la cual fuerza a la mayoría de los elementos latentes hacia cero.
2. Reconstrucción de imagen: Un módulo de reconstrucción ($R_{CNN}$) restaura la imagen desde la representación dispersa. Para asegurar que el resultado siga siendo un deepfake convincente, este módulo se optimiza utilizando una P Pérdida Estructural-Perceptual ($L_{SPL}$), que combina:
   • SSIM: Para la consistencia estructural a nivel de píxel.
   • LPIPS: Para la alineación perceptual a nivel de características.

El efecto de dispersión

El ataque opera induciendo un "efecto de dispersión" en el espacio latente, caracterizado por tres propiedades derivadas de la teoría ICS:

• Cambio de Dispersión (SC): Reduce la densidad de los coeficientes significativos, dispersando los atributos de la marca de agua en menos posiciones activas.
• Redistribución de Intensidad (IR): Diluye la energía de las señales de la marca de agua mediante la redistribución de la intensidad de manera más uniforme.
• Redistribución Posicional (PR): Desplaza las posiciones de los elementos no nulos, interrumpiendo la alineación entre los patrones de la marca de agua y sus ubicaciones latentes originales.

Estos mecanismos colectivamente debilitan la robustez de las marcas de agua incrustadas sin requerir conocimiento del modelo de marcas de agua ni la capacidad de consultar un detector.

3. Contribuciones clave

El artículo realiza las siguientes contribuciones específicas:

• Primer ataque de caja negra sin consultas: DEMARK es el primer marco que apunta a las marcas de agua defensivas de imágenes para deepfakes sin requerir parámetros del modelo o acceso a consultas.
• Conexión teórica: Establece el primer vínculo entre la teoría de la Captura de Imágenes Compresivas y los ataques a las marcas de agua de deepfakes, formalizando el efecto de dispersión a través de la Cambio de Dispersión, la Redistribución de Intensidad y la Redistribución Posicional.
• Efectividad amplia: El ataque es validado a través de ocho esquemas de vanguardia, incluyendo seis métodos de post-procesamiento (MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R) y dos métodos de procesamiento interno (PTW, SS).
• Eficiencia: DEMARK demuestra una alta practicidad, reduciendo el uso de memoria en 2.2×–14.9× y mejorando la eficiencia computacional en 1.3×–5.7× en comparación con los ataques basados en regeneración existentes (RegenVAE y RegenDM).
• Evaluación de mitigación: Los autores evalúan tres estrategias de defensa —Super-resolución de Imágenes (ISR), Marcas de Agua Dispersas (SW) y Entrenamiento Adversario (AT)— y encuentran que son mayormente ineficaces contra DEMARK.

4. Resultados experimentales

La evaluación se llevó a cabo en los conjuntos de datos OpenImage y COCO contra los ocho esquemas de marcas de agua mencionados anteriormente.

• Capacidad de ataque: DEMARK redujo la precisión promedio de detección de la marca de agua (DetectAcc) del 100% al 32.9% en todos los esquemas. Superó significativamente a los ataques de referencia (Distorsión, RegenVAE, RegenDM) en la reducción tanto de la Precisión de Bits como de la Precencia de Detección.
  • Ejemplo: Contra los esquemas de post-procesamiento, DEMARK redujo la DetectAcc en un promedio de 54.4% comparado con Distorsión, un 9.9% comparado con RegenVAE y un 51.0% comparado con RegenDM.
• Integridad de la imagen: A pesar de la agresiva eliminación de marcas de agua, DEMARK mantuvo una alta calidad visual. Su desempeño en PSNR, SSIM, FID y LPIPS fue comparable o mejor que RegenVAE y sustancialmente superior a Distorsión y RegenDM.
  • Ejemplo: DEMARK logró un PSNR promedio de 28.45 y un SSIM de 0.85, preservando una apariencia visual natural adecuada para deepfakes.
• Robustez de mitigación:
  • Super-resolución de Imágenes (ISR): Sorprendentemente, aplicar ISR después del ataque amplificó el impacto de DEMARK, reduciendo aún más la precisión de detección (por ejemplo, de 29.7% a 12.1% en promedio).
  • Marcas de Agua Dispersas (SW) y Entrenamiento Adversario (AT): Estas estrategias ofrecieron solo mejoras modestas (elevando la precisión de detección promedio de ~25% a ~36%), pero no lograron neutralizar a DEMARK, que aun así superó a otros ataques.

5. Significado y afirmaciones

El artículo concluye que los esquemas actuales de marcas de agua de codificador-decodificador siguen siendo altamente vulnerables a las manipulaciones del espacio latente. El significado de DEMARK radica en su capacidad para demostrar que:

1. El espacio latente es una superficie de ataque crítica: La dependencia de las representaciones latentes para incrustar marcas de agua crea una debilidad estructural que puede ser explotada mediante la dispersión.
2. Las defensas existentes son insuficientes: Las estrategias de mitigación estándar como la super-resolución, el entrenamiento disperso y el entrenamiento adversario no proporcionan una protección robusta contra esta clase de ataques.
3. Necesidad de rediseño: Los resultados subrayan la necesidad urgente de métodos de marcas de agua más robustos que puedan salvaguardar contra la manipulación de deepfakes, sugiriendo que las defensas futuras deben ir más allá de los simples paradigmas de codificador-decodificador o incorporar la codificación de características latentes multinivel y la distribución de redundancia adaptativa.

Los autores enfatizan que su trabajo tiene la intención de identificar riesgos de seguridad para promover el desarrollo de técnicas de marcas de agua más resilientes para la IA Generativa, en lugar de facilitar usos malintencionados.