Towards Robust Content Watermarking Against Removal and Forgery Attacks

Resumen Técnico: ISTS (Marca de Agua Específica de Instancia con Detección de Dos Vías)

1. El Problema

Los modelos de difusión generativos (como Stable Diffusion, DALL-E, Midjourney) han revolucionado la creación de imágenes, pero han generado preocupaciones críticas sobre la protección de derechos de autor, la procedencia de la imagen y la atribución de créditos. Las técnicas de marca de agua existentes para estos modelos (como Tree-Ring, Gaussian-Shading, RingID) han demostrado ser vulnerables a dos tipos de ataques adversarios sofisticados:

• Ataques de Eliminación (Removal Attacks): Un adversario toma una imagen con marca de agua y la modifica ligeramente para eliminar la marca, haciendo que el detector falle, mientras mantiene la calidad visual de la imagen.
• Ataques de Falsificación (Forgery Attacks): Un adversario toma una imagen benigna (sin marca de agua) y la modifica para que el detector la reconozca falsamente como una imagen con marca de agua.

Causa raíz de la vulnerabilidad: La mayoría de los métodos actuales utilizan patrones de marca de agua estáticos e invariables (inyectados siempre en el mismo momento y lugar del espacio latente). Esto otorga a los atacantes "conocimiento previo" sobre la estructura de la marca, permitiéndoles inferir, eliminar o replicar el patrón mediante optimización basada en gradientes o promedios estadísticos.

2. Metodología Propuesta: ISTS

Los autores proponen un nuevo paradigma llamado ISTS (Instance-Specific watermarking with Two-Sided detection). Este método se basa en dos pilares fundamentales para romper la predictibilidad de los ataques:

A. Marca de Agua Específica de Instancia (Instance-Specific Watermarking)
En lugar de usar un patrón fijo para todas las imágenes, ISTS personaliza dinámicamente la marca de agua para cada generación basada en la semántica del prompt del usuario.

• Proceso:
  1. Se genera una imagen inicial sin marca de agua.
  2. Se extraen sus características semánticas utilizando un codificador CLIP.
  3. Un selector basado en semántica (entrenado previamente) mapea estas características a dos parámetros dinámicos:
     • Tiempo de inyección ($t$): El paso específico en el proceso de difusión donde se inyecta la marca.
     • Ubicación ($l$): La coordenada o región en el espacio de frecuencia donde se inserta el patrón.
  4. Se genera la imagen final inyectando el patrón en el tiempo y lugar seleccionados.
• Ventaja: Dado que la semántica de la imagen (y por tanto los parámetros $t$ y $l$) varía con cada prompt, un atacante no puede predecir dónde ni cuándo buscar la marca. Intentar forzar una marca basada en una imagen de referencia fallará porque la imagen objetivo benigna tendrá parámetros semánticos diferentes.

B. Detección de Dos Vías (Two-Sided Detection)
Los métodos tradicionales utilizan una detección "de un solo lado", comparando el latente de la imagen sospechosa con un patrón positivo. Esto es vulnerable a ataques que invierten la representación latente (haciendo que el patrón sea opuesto al esperado).

• Solución: El detector de ISTS calcula la métrica de distancia considerando tanto el patrón positivo como su inverso negativo, tomando el mínimo de ambos:
  $$d = \min \left( \frac{1}{|M|} \sum |W_i - F(z_T)_i|, \quad \frac{1}{|M|} \sum |W_i + F(z_T)_i| \right)$$
• Ventaja: Esto neutraliza los ataques que intentan eliminar la marca invirtiendo su signo en el espacio latente, ya que el detector es insensible a la dirección del signo, siempre que el patrón coincida estructuralmente.

3. Contribuciones Clave

1. Paradigma Dinámico: Introducción de la primera estrategia que vincula dinámicamente los parámetros de inyección de la marca de agua (tiempo y ubicación) con la semántica del contenido generado, eliminando la vulnerabilidad de los patrones estáticos.
2. Mecanismo de Detección Robusto: Propuesta de la detección de dos vías para mitigar ataques de eliminación que explotan la asimetría en las representaciones latentes.
3. Evaluación Exhaustiva: Demostración experimental de que ISTS supera a los métodos del estado del arte (Tree-Ring, Gaussian-Shading, RingID, etc.) tanto en escenarios promedio como en el "peor caso" (donde el atacante elige el método de ataque más efectivo).

4. Resultados Experimentales

Los experimentos se realizaron sobre el modelo Stable Diffusion 2.1 contra tres tipos de ataques de eliminación y tres de falsificación.

• Contra Ataques de Eliminación:

  • Los métodos existentes sufrieron un colapso en su rendimiento (AUC < 0.7 o incluso ~0.0 en algunos casos).
  • ISTS logró un AUC de 0.821 contra el ataque Imp-Removal (el más fuerte), superando al mejor método base (Shallow Diffuse) en más de un 20%.
  • En el escenario de "peor caso" (el ataque más efectivo contra cada método), ISTS mantuvo un AUC promedio de 0.936, mientras que otros métodos cayeron drásticamente.

• Contra Ataques de Falsificación:

  • Para la falsificación, un AUC más bajo indica mayor robustez (es más difícil falsificar la marca).
  • ISTS logró un AUC de 0.634 contra Imp-Forgery, una mejora significativa frente a los métodos existentes que rondaban el 0.95-1.0 (fácilmente falsificables).
  • En el escenario de "peor caso", ISTS obtuvo el AUC más bajo (0.949), indicando la mayor resistencia a la falsificación.

• Calidad de Imagen y Robustez Natural:

  • ISTS mantiene una calidad de imagen comparable a los métodos existentes (PSNR, SSIM, CLIP-Score similares).
  • Mantiene una alta robustez frente a distorsiones naturales comunes (rotación, ruido, desenfoque, compresión JPEG) y purificación de difusión, comparable a Tree-Ring y RingID.

5. Significado e Impacto

Este trabajo aborda una brecha crítica en la seguridad de la IA generativa. Al demostrar que los métodos de marca de agua estáticos son inherentemente frágiles ante adversarios informados, ISTS establece un nuevo estándar para la protección de la procedencia del contenido.

Su enfoque dinámico transforma el problema de seguridad: en lugar de intentar hacer un patrón "más fuerte" contra un ataque conocido, cambia las reglas del juego haciendo que el patrón sea impredecible para el atacante. Esto es fundamental para la implementación real de sistemas de atribución de autoría y protección de derechos de autor en la era de la generación de imágenes por IA, donde la capacidad de un atacante para borrar o falsificar marcas de agua amenaza la viabilidad de estos sistemas.

Conclusión: ISTS ofrece un equilibrio superior entre utilidad (calidad de imagen), robustez natural (distorsiones) y, crucialmente, resistencia adversaria (eliminación y falsificación), superando a todas las técnicas actuales evaluadas en el estudio.