SHIFT: Stochastic Hidden-Trajectory Deflection for Removing Diffusion-based Watermark

1. El Problema: Vulnerabilidad en la Verificación de Marca de Agua

Los métodos de marca de agua basados en difusión (como Tree-Ring, Gaussian Shading, SEAL, etc.) han surgido como la solución principal para rastrear el contenido generado por IA. Estos métodos incrustan marcas de agua directamente en el proceso generativo (modificando el ruido inicial, latentes intermedios o trayectorias de muestreo).

Sin embargo, el artículo identifica una vulnerabilidad fundamental y compartida que ha sido ignorada:

• Suposición Crítica: Todos estos esquemas asumen que la consistencia de la trayectoria es inviolable. Es decir, para verificar la marca de agua, el defensor debe poder reconstruir fielmente la trayectoria de difusión inversa (mediante inversión DDIM) desde la imagen generada hasta el ruido inicial o latente original.
• La Debilidad: Si la trayectoria generativa se desvía estocásticamente, la reconstrucción inversa fallará, y la marca de agua no podrá ser detectada, incluso si la imagen visualmente parece idéntica. Los ataques existentes (basados en optimización o regeneración determinista) fallan porque o bien no rompen esta consistencia estructural o requieren un costo computacional prohibitivo por imagen.

2. Metodología: SHIFT (Stochastic Hidden-Trajectory Deflection)

Los autores proponen SHIFT, un ataque libre de entrenamiento (training-free) que explota la inyección de ruido estocástico para romper la consistencia de la trayectoria sin necesidad de conocer la clave de la marca de agua, el algoritmo de incrustación o reentrenar el modelo.

El ataque consta de dos etapas principales:

Etapa I: Difusión Parcial hacia Adelante (Partial Forward Diffusion)

• Se toma la imagen con marca de agua ($x_w$) y se codifica a su representación latente ($z_0$) usando el VAE preentrenado.
• Se aplica un proceso de difusión hacia adelante controlado hasta un paso de tiempo intermedio $t_\lambda$.
• Objetivo: Esto inyecta ruido gaussiano isotrópico que atenúa progresivamente la información específica de la trayectoria original (donde reside la marca de agua), mientras preserva la estructura semántica gruesa de la imagen.

Etapa II: Remuestreo Inverso Estocástico (Stochastic Reverse Resampling)

• Desde el latente ruidoso parcial ($z_{t_\lambda}$), se regenera la imagen utilizando un muestreador estocástico (como el muestreo ancestral de Euler), en lugar de un muestreador determinista (como DDIM).
• Mecanismo Clave: En cada paso inverso, se inyecta ruido browniano fresco ($\xi_t$). Esto hace que la trayectoria inversa no esté determinada únicamente por el punto de partida, sino que se desvíe aleatoriamente hacia una nueva trayectoria generativa.
• Resultado: La imagen resultante ($x_a$) es semánticamente fiel a la original, pero su trayectoria latente está desacoplada estadísticamente de la trayectoria original que contenía la marca de agua. Cuando el defensor intenta realizar la inversión DDIM, recupera un ruido inicial que no tiene relación con la marca incrustada, fallando la verificación.

3. Contribuciones Clave

1. Identificación de una Vulnerabilidad Unificada: Demostraron que la "consistencia de la trayectoria" es el punto de fallo común en todos los esquemas de marca de agua basados en difusión, independientemente de cómo se incruste la marca (ruido inicial, frecuencia, latentes).
2. Ataque sin Entrenamiento y Agnóstico: SHIFT no requiere reentrenamiento del modelo, optimización adversarial por imagen ni conocimiento de la marca de agua específica. Utiliza únicamente un modelo de difusión preentrenado público.
3. Garantías Teóricas: Proporcionan un análisis formal basado en la distancia de Wasserstein ($W_2$). Demuestran que el ruido recuperado tras el ataque es estadísticamente independiente del ruido original portador de la marca de agua, a diferencia de los métodos deterministas que preservan dependencias residuales.
4. Eficacia y Calidad: Logran tasas de éxito de ataque extremadamente altas manteniendo la calidad visual superior a los métodos existentes.

4. Resultados Experimentales

Los autores evaluaron SHIFT contra 9 métodos representativos de marca de agua (Tree-Ring, RingID, PRC, WIND, Gaussian Shading, GaussMarker, SFW, SEAL, ROBIN) que cubren tres paradigmas diferentes.

• Tasa de Éxito del Ataque (ASR): SHIFT logró una tasa de éxito entre 95% y 100% en todos los métodos probados, con un promedio de 97.8%.
  • Superó consistentemente a los ataques de "caja negra" (96.8%) y de "falsificación" (81.3%).
  • Fue particularmente efectivo contra métodos robustos como Tree-Ring (98% vs 72% de caja negra) y Gaussian Shading (97% vs 4% de falsificación).
• Calidad de la Imagen:
  • Consistencia Semántica: SHIFT obtuvo la puntuación CLIP más alta (32.194), indicando que las imágenes atacadas mantienen mejor la coherencia con el prompt original.
  • Realismo (FID): Logró el FID más bajo (73.471), una reducción del 31.2% respecto al ataque de caja negra, demostrando que las imágenes generadas son más realistas y cercanas a la distribución de imágenes reales.
• Análisis de Desacoplamiento: Las mediciones de distancia ($L_1$ y $L_2$) entre el ruido recuperado y el ruido original mostraron que SHIFT desplaza la imagen a una región del espacio latente mucho más alejada de la trayectoria de la marca de agua que cualquier otro método, confirmando el desacoplamiento teórico.

5. Significado e Impacto

• Seguridad de la Proveniencia: El trabajo revela que la confianza actual en las marcas de agua de difusión basadas en la reconstrucción de trayectorias es frágil. Si un atacante tiene acceso a un modelo de difusión público, puede eliminar la marca de agua sin degradar significativamente la imagen.
• Nueva Dirección para la Defensa: Sugiere que los futuros mecanismos de trazabilidad no deben depender únicamente de la reconstrucción determinista de una única trayectoria. Se necesitan mecanismos de verificación que sean robustos frente a desviaciones estocásticas o que no requieran la recuperación exacta del ruido inicial.
• Generalización: El ataque es universal y no depende de la arquitectura específica del modelo de marca de agua, lo que representa un desafío sistémico para el campo de la seguridad de la IA generativa.

En resumen, SHIFT demuestra que la seguridad de las marcas de agua en modelos de difusión es inherentemente inestable debido a la naturaleza estocástica del muestreo inverso, ofreciendo una herramienta poderosa para desvincular la imagen generada de su "huella digital" latente.