Resumen Técnico: Marca de Agua Multibit Basada en Semillas Seguras para Modelos de Difusión desde Primeros Principios

Declaración del Problema

La rápida emergencia de modelos generativos de imágenes ha impulsado el desarrollo de técnicas de marca de agua especializadas, particularmente métodos "durante la generación" como la incrustación basada en semillas. Sin embargo, los autores argumentan que las evaluaciones actuales en este campo son fundamentalmente defectuosas porque dependen en gran medida de pruebas empíricas vinculadas a arquitecturas de modelos específicos (modelos de difusión, VAEs, programadores) y tuberías de inversión. Esta dependencia empírica impide conclusiones claras y generalizables sobre el rendimiento de los esquemas de marca de agua, especialmente en lo que respecta a la seguridad.

Además, las definiciones existentes de "calidad" y "robustez" están vinculadas al modelo generativo, lo que hace imposible clasificar los sistemas de marca de agua independientemente del modelo utilizado. De manera similar, la distinción entre seguridad criptográfica y seguridad de marca de agua a menudo se difumina; esquemas como Gaussian-Shading y PRC afirman seguridad criptográfica pero fallan en prevenir "ataques de suplantación" donde un atacante puede recuperar el mensaje incrustado sin la clave secreta porque el portador (la semilla) no está oculto.

Metodología

1. Un Marco de Evaluación Desacoplado

La contribución metodológica central es el desacoplamiento de la parte dependiente del modelo (el proceso inverso de difusión) del mecanismo de decisión del sistema de marca de agua. Esto permite un análisis teórico riguroso independiente del modelo generativo. Los autores proponen un marco basado en tres cantidades clave:

• Capacidad (Robustez): En lugar de pruebas empíricas de robustez, los autores modelan el mecanismo de decisión como un Canal Simétrico Binario (BSC) con una probabilidad de inversión $p$. Definen la robustez de la función de proyección $f$ mediante la varianza $\sigma^2$ del ruido que introduce en el espacio de la marca de agua. La capacidad del sistema se deriva utilizando la fórmula de capacidad de Shannon para un BSC, $C_\sigma = 1 - h_2(p_k(\sigma))$, donde $p_k(\sigma)$ es la característica del canal que mapea la varianza del ruido a la tasa de error de bits.
• Fidelidad (Calidad): Alejándose de las métricas de imagen empíricas como FID o puntuaciones CLIP, que los autores argumentan son insuficientes y dependientes del modelo, definen la fidelidad como la divergencia de Kullback-Leibler (KL) entre la distribución de semillas gaussiana estándar (la distribución de cobertura) y la distribución de semillas con marca de agua. Un sistema es $\zeta$-fiable si $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$.
• Seguridad: Los autores distinguen entre seguridad criptográfica y seguridad de marca de agua. Definen una razón de seguridad $\eta$, que mide el número de muestras con marca de agua requeridas para que un atacante estime la clave secreta mejor que una adivinanza aleatoria. Destacan que los esquemas que no ocultan el portador de la palabra de código (como Gaussian-Shading) tienen una razón de seguridad de $\eta = 1/L$, volviéndolos vulnerables a ataques de Análisis de Componentes Principales (PCA).

2. La Construcción SSB (Basada en Semillas Seguras)

Basándose en este marco, los autores proponen SSB, un método novedoso de marca de agua multibit inspirado en la modulación de Voronoi y retículos anidados.

• Incrustación: El método utiliza una clave secreta $U$ (una matriz unitaria) para rotar el espacio latente. Emplea dos retículos unidimensionales anidados: un retículo grueso $\Lambda_\Delta$ y un retículo fino $\Lambda_\delta$. El algoritmo de incrustación muestrea un vector $z_u$ tal que la función del retículo grueso $\Lambda_\Delta(z_u)$ produzca la palabra de código binaria deseada $c$.
• Proyección: El vector $z_u$ se proyecta de nuevo al espacio latente utilizando la clave secreta $U$ y un componente de ruido aleatorio ortogonal a $U$, asegurando que la semilla resultante sea válida para el proceso de difusión.
• Decodificación: El detector proyecta la imagen con marca de agua de vuelta al espacio latente, aplica la rotación $U^\top$ y aplica la función del retículo grueso $\Lambda_\Delta$ para recuperar la palabra de código.

Contribuciones Clave

1. Marco Teórico: El artículo introduce un marco de evaluación formal que separa el mecanismo de decisión de la marca de agua del modelo generativo. Esto permite comparaciones precisas de sistemas de marca de agua basadas en una superficie característica que representa la compensación entre seguridad, capacidad y fidelidad, independiente del modelo de difusión utilizado.
2. Algoritmo SSB: Los autores diseñan SSB, una generalización de métodos anteriores basados en semillas. Mediante el ajuste de los parámetros del retículo $(\Delta, \delta)$, SSB puede operar en un amplio rango del espacio de compensación seguridad-fidelidad-capacidad. Cabe destacar que puede lograr seguridad perfecta (donde los valores propios de la matriz de covarianza con marca de agua permanecen indistinguibles de la distribución de cobertura) incluso manteniendo una capacidad no nula.
3. Validación Empírica: El artículo proporciona validación empírica de las suposiciones teóricas. Demuestra que el ruido introducido por la difusión inversa puede modelarse con precisión como ruido gaussiano blanco aditivo en el espacio latente y que las predicciones teóricas para capacidad y seguridad se alinean con los resultados empíricos para SSB, Gaussian-Shading y PRC.

Resultados

• Alineación Teórica vs. Empírica: Los experimentos utilizando modelos de difusión Sana, Z-Image y Qwen confirman que el modelo teórico (canal BSC con ruido gaussiano) predice con precisión las tasas de error de bits y la capacidad de los sistemas de marca de agua.
• Comparación de Rendimiento:
  • Gaussian-Shading y PRC: Se demuestra que estos métodos existentes tienen bajas razones de seguridad ($\eta = 1/L$) porque no ocultan el portador, volviéndolos vulnerables a ataques PCA. También exhiben compensaciones capacidad-fidelidad subóptimas.
  • SSB: El método propuesto supera a los enfoques existentes al permitir que el usuario seleccione un régimen. Por ejemplo, una configuración específica $(\Delta=1.6, \delta=0)$ logra seguridad perfecta ($\eta = +\infty$) mientras mantiene una capacidad viable, un régimen no alcanzable por métodos anteriores.
• Robustez: El estudio cuantifica la varianza de ruido gaussiano equivalente ($\sigma^2$) introducida por operaciones comunes de imagen (compresión JPEG, recorte, ajustes de brillo/contraste) a través de diferentes modelos de difusión, proporcionando una métrica estandarizada para la robustez.

Significado y Afirmaciones

El artículo afirma cambiar el paradigma de la investigación en marcas de agua de optimizaciones empíricas ad-hoc al diseño con garantías teóricas. Al desacoplar la lógica de la marca de agua del modelo generativo, los autores argumentan que:

• Se vuelve posible hacer afirmaciones definitivas sobre la superioridad de un sistema de marca de agua sobre otro (por ejemplo, "El sistema A es más robusto que el sistema B") sin necesidad de reevaluarlos contra cada nuevo modelo de difusión.
• El campo puede avanzar más allá de confundir la seguridad criptográfica con la seguridad de marca de agua, abordando la amenaza específica de los ataques de suplantación donde el portador queda expuesto.
• El método SSB proporciona una solución flexible y fundamentada teóricamente que puede ajustarse para cumplir requisitos específicos de seguridad, capacidad y fidelidad, ofreciendo un camino hacia sistemas de marca de agua modernos que no requieren evaluaciones empíricas costosas y específicas del modelo para cada nueva iteración.

Los autores permanecen modestos, señalando que su análisis asume un modelo BSC y que el trabajo futuro podría explorar la brecha con modelos AWGN, mejorar la función de proyección (difusión inversa) y extender el marco a la marca de agua basada en semillas de 0 bits.