Resumen Técnico: Las Marcas de Agua Atacan a las Marcas de Agua: Re-marcado como Estrategia Genérica de Eliminación

Declaración del Problema

El avance rápido de la inteligencia artificial generativa ha hecho necesario el despliegue de esquemas de marcas de agua invisibles para afirmar la procedencia y proteger la propiedad intelectual en medios sintéticos. Aunque los reguladores (por ejemplo, la Ley de IA de la UE) exigen estas protecciones, su robustez es frecuentemente desafiada por ataques de eliminación sofisticados. La literatura existente ha explorado diversas estrategias de eliminación, incluida la regeneración generativa y las perturbaciones adversarias. Sin embargo, persiste una brecha crítica en la comprensión de la interacción entre diferentes esquemas de marcas de agua cuando se superponen. Los autores postulan que el problema de optimización fundamental resuelto por la inserción de marcas de agua (encontrar una perturbación mínima para activar un detector) es casi idéntico al resuelto por la eliminación de marcas de agua (encontrar una perturbación mínima para evadir un detector). Esta analogía sugiere que los codificadores de marcas de agua en sí mismos podrían servir como herramientas de eliminación genéricas y efectivas.

Metodología

El artículo propone un pipeline de ataque de dos etapas, denominado "Marcas de Agua Atacan a las Marcas de Agua" (WAW), que opera bajo un modelo de amenaza de "caja beige" (método conocido) y "caja negra" (método desconocido).

1. Re-marcado como Vector de Ataque

La hipótesis central es que aplicar una segunda marca de agua (la "marca de agua de ataque") sobre una existente (la "marca de agua víctima") interrumpe la señal original. Los autores evalúan esto a través de 96 combinaciones de pares víctima y ataque utilizando ocho esquemas de marcas de agua representativos:

• Durante el procesamiento: Tree-Ring, Stable Signature (incrustadas durante la generación).
• Post-procesamiento: StegaStamp, RoSteALS, ZoDiac, Pixel Seal, WAM, Video Seal (aplicadas a imágenes generadas).

Los autores definen una "política" basada en matrices de interferencia empíricas. Prueban dos estrategias principales:

• Re-aplicación del mismo método: Aplicar el mismo algoritmo de marca de agua dos veces.
• Interferencia cruzada de métodos: Aplicar un algoritmo diferente (específicamente ZoDiac) para interrumpir las marcas de agua durante el procesamiento.

2. Clasificador de Identificación de Marca de Agua

Para abordar el escenario de caja negra donde el atacante no conoce el método de la víctima, los autores entrenan un clasificador ligero.

• Arquitectura: Un modelo ConvNeXt-V2 Large ajustado finamente, pre-entrenado en ImageNet-22K.
• Tarea: Un problema de clasificación de 9 clases que distingue entre ocho métodos específicos de marcas de agua e imágenes sin marca de agua.
• Entrada: Inspección visual de la imagen únicamente, sin acceso a modelos de detección, claves o gradientes.
• Datos de entrenamiento: 500 imágenes por clase del conjunto de datos DiffusionDB, divididas en 80/10/10.

3. Marco de Evaluación

El pipeline se evalúa en subconjuntos de DiffusionDB y MS-COCO. El éxito se mide mediante:

• Evasión de Detección: Tasa de Verdaderos Positivos (TPR) a una Tasa de Falsos Positivos (FPR) del 1%.
• Corrupción de Carga Útil: Precisión de Bits (BA) para esquemas de múltiples bits.
• Distorsión Perceptiva: Degradación de Calidad Normalizada (NQD), agregando ocho métricas estándar de calidad de imagen.
• Líneas Base: El ataque se compara contra ataques genéricos de eliminación de vanguardia del benchmark WAVES, incluida la regeneración de difusión con indicaciones, regeneración VAE y "lavado" de difusión iterativa.

Contribuciones Clave

1. Validación de la Hipótesis de Re-marcado

Los autores demuestran que el re-marcado es una estrategia de eliminación genérica altamente efectiva que no requiere conocimiento especializado de los parámetros internos de la víctima.

• Víctimas durante el procesamiento: Aplicar ZoDiac sobre Tree-Ring o Stable Signature reduce la TPR a casi cero con una degradación perceptiva mínima.
• Víctimas de post-procesamiento: Re-aplicar el mismo método (por ejemplo, StegaStamp sobre StegaStamp) sobrescribe consistentemente la señal original, reduciendo la TPR a casi cero y la precisión de bits a niveles de línea base.
• Eficiencia: Este enfoque causa significativamente menos degradación visual (más de 2 veces menos que las líneas base más fuertes basadas en difusión) mientras logra tasas de eliminación iguales o superiores.

2. Identificación de Alta Precisión de Marcas de Agua

El artículo introduce el primer clasificador capaz de identificar el método específico de marca de agua aplicado a una imagen basándose únicamente en características visuales.

• Rendimiento: El clasificador logra una precisión global de 87.8% a 95.3% en conjuntos de datos dentro de la distribución (DiffusionDB) y fuera de la distribución (MS-COCO).
• Significado: Esta capacidad transforma el ataque de un proceso de prueba y error en caja negra a un ataque dirigido en caja beige, permitiendo la selección automatizada de la estrategia de sobrescritura óptima.

3. El Pipeline de Ataque de Extremo a Extremo

Al combinar el clasificador de identificación con la política de re-marcado derivada, los autores construyen un pipeline de ataque completamente ciego y automatizado.

• Resultados: El pipeline reduce la precisión de bits en al menos un 25% y hasta un 48% a través de todos los métodos víctimas.
• Falsificación de Propiedad: Crucialmente, el ataque no solo borra la señal; la reemplaza con una nueva marca de agua válida. El mensaje del atacante se recupera con alta precisión de bits (a menudo >99%), permitiendo al atacante reclamar propiedad plausible o crear ambigüedad sobre la procedencia original.

Resultados

• Supresión de Señal: Para la mitad de los esquemas evaluados, el ataque reduce la precisión de bits a la línea base de imágenes sin marca de agua y la TPR a casi cero. Incluso para métodos robustos como RoSteALS y WAM, la precisión de bits cae por debajo del 75%, haciendo imposible la recuperación de la carga útil.
• Preservación de la Calidad: El ataque de re-marcado introduce significativamente menos distorsión perceptiva que los ataques basados en regeneración (por ejemplo, Regen-Diff, Rinse).
• Generalización: La política de ataque se mantiene a través de diferentes conjuntos de datos (DiffusionDB y MS-COCO) y diferentes backbones de difusión (SD 2.1 y SD 3.5), aunque el rendimiento varía ligeramente para métodos dependientes de estadísticas específicas del espacio latente (por ejemplo, ZoDiac en SD 3.5).

Significado y Afirmaciones

El artículo argumenta que las propiedades de robustez e imperceptibilidad que hacen atractivas a las marcas de agua de imagen son paradójicamente lo que las hace vulnerables entre sí.

• Vulnerabilidad de los Esquemas Actuales: Los autores afirman que los esquemas de marcas de agua actuales no cumplen con garantías formales de indetectabilidad. El hecho de que un clasificador simple pueda distinguir entre diferentes métodos de marcas de agua implica que estos esquemas dejan "huellas dactilares" específicas del esquema recuperables sin claves.
• Costo del Ataque: El ataque es "barato" y "genérico". Requiere solo acceso a codificadores de marcas de agua comerciales, disponibles gratuitamente para los creadores de contenido. No requiere gradientes, modelos sustitutos o claves de detección.
• Implicaciones para la Seguridad: La capacidad de identificar y sobrescribir marcas de agua desafía la fiabilidad de los esquemas actuales para el cumplimiento normativo y la protección de derechos de autor. Los autores sugieren que la suposición de "secreto del método" como defensa es insuficiente.
• Llamada a la Acción: El trabajo sirve como una prueba de estrés para esquemas candidatos, instando al desarrollo de sistemas de marcas de agua con garantías de seguridad formales más fuertes y un enfoque principal en la verdadera indetectabilidad en lugar de solo la robustez frente a distorsiones comunes.

Los autores concluyen que, aunque su pipeline representa una vulnerabilidad significativa, también proporciona una herramienta de diagnóstico para que los defensores auditen si sus esquemas dejan huellas dactilares recuperables, motivando así el desarrollo de tecnologías de marcas de agua más seguras.