Do Modern Post-Hoc Watermarking Methods Beat Broken-Arrows?

Resumen Técnico: ¿Superan los Métodos Modernos de Marcaje Posterior al Agua los Arrotos Rotos?

Enunciado del Problema
La rápida proliferación de la IA generativa, en particular los modelos de difusión, ha hecho necesaria la implementación de mecanismos robustos para identificar el contenido generado por IA. Si bien los organismos reguladores (por ejemplo, la Ley de IA de la UE, órdenes ejecutivas de la Casa Blanca) exigen la trazabilidad, existe una brecha en la evaluación comparativa de los métodos modernos de marcaje posterior al agua frente a las técnicas clásicas. Los enfoques modernos, que aprovechan redes neuronales profundas (DNN) para la incrustación y decodificación, a menudo se asumen superiores debido a su flexibilidad y capacidad para manejar aumentos complejos durante el entrenamiento. Sin embargo, estos métodos carecen de los fundamentos teóricos de seguridad de los esquemas clásicos, como el concepto de una clave secreta, e heredan vulnerabilidades ante ejemplos adversarios. Este artículo investiga si los métodos modernos de marcaje posterior al agua superan consistentemente a los enfoques clásicos en un entorno realista de detección de cero bits, priorizando la seguridad y la robustez sobre las cargas útiles de múltiples bits de alta capacidad que a menudo apuntan los esquemas modernos.

Metodología
Los autores proponen un marco de comparación justo que evalúa la robustez, la imperceptibilidad y la seguridad en tres esquemas de marcaje al agua: dos métodos modernos posteriores al agua (Videoseal y TrustMark) y un método clásico (Broken-Arrows o Arrotos Rotos).

• Conversión a Cero Bits: Para garantizar una comparación justa centrada en la trazabilidad y no en la comunicación, los decodificadores modernos de múltiples bits se convirtieron en detectores de cero bits. Esto se logró tratando la proyección del decodificador en un subespacio como un detector de hipercono, comparando el vector extraído contra un vector secreto utilizando el ángulo entre ellos.
• Configuración Experimental: Los experimentos utilizaron 200 imágenes naturales (1024×1024) del conjunto de datos MFlickr. Se impuso una restricción fija de imperceptibilidad escalando la señal de marcaje al agua para lograr una PSNR de 42 dB en relación con la imagen original.
• Escenarios de Seguridad: La evaluación probó cuatro niveles de conocimiento del atacante:
  1. Caja Blanca: Acceso total al detector (y a la clave para Broken-Arrows). Los ataques incluyeron el ataque de proyección de frontera DDN para DNN y ataques óptimos de forma cerrada para Broken-Arrows.
  2. Caja Negra: Acceso al detector solo mediante consulta/respuesta. Se utilizó el ataque CGBA con un presupuesto de consultas fijo.
  3. Oráculo: El atacante utiliza un proxy (oráculo) para guiar el ataque. Se probaron dos métodos: WmForger (utilizando un modelo de preferencia) y un ataque modificado Watermark In the Sand (WIS) (utilizando purificación VAE y PSNR como oráculo).
  4. Ciego: Sin acceso al detector ni al oráculo. Esto incluyó transformaciones clásicas basadas en métricas de valor (por ejemplo, compresión JPEG) y ataques de regeneración utilizando modelos de difusión (SANA, Stable-Diffusion-2.1).
• Métricas: El rendimiento se midió mediante la Tasa de Éxito del Ataque (ASR) con una probabilidad de falsa alarma fija ($\alpha = 10^{-6}$) y la distorsión (PSNR) requerida para lograr el éxito.

Contribuciones Clave

1. Marco de Evaluación Unificado: El artículo establece una metodología para comparar el marcaje al agua moderno y clásico bajo una suposición de cero bits, convirtiendo los decodificadores modernos de múltiples bits en detectores de hipercono para alinearse con la teoría de detección clásica.
2. Análisis de Seguridad Exhaustivo: Proporciona una comparación sistemática de la robustez y la seguridad en cuatro modelos de amenaza distintos, que van desde el acceso completo de caja blanca hasta ataques ciegos, destacando las vulnerabilidades específicas de los detectores basados en DNN.
3. Evidencia Empírica de Compensaciones: El estudio desafía la supuesta superioridad de los métodos modernos al demostrar que, en un entorno de cero bits, los métodos clásicos a menudo ofrecen una seguridad superior sin sacrificar la robustez.

Resultados

• Escenarios de Caja Blanca y Caja Negra: Broken-Arrows superó significativamente tanto a Videoseal como a TrustMark. Se encontró que los detectores modernos basados en DNN son altamente frágiles; el ataque logró un éxito cercano al 100% con distorsión mínima (límites sub-cuantización, 60 dB) para los métodos modernos, mientras que Broken-Arrows requirió una distorsión significativamente mayor (40 dB) para un éxito del 100%. Los autores atribuyen esto a "puntos ciegos" en las regiones de detección en el espacio de píxeles de las DNN, que son fácilmente explotados mediante ataques basados en gradientes.
• Escenario de Oráculo: Para ataques de baja distorsión ($PSNR \geq 35$ dB), Broken-Arrows permaneció como el más seguro. Aunque Videoseal mostró mejor resistencia en niveles de distorsión más altos, el ataque WmForger fue altamente efectivo contra TrustMark. El ataque WIS (purificación VAE) eliminó sistemáticamente los coeficientes de ondaletas de frecuencia media, afectando más a Broken-Arrows que a los métodos modernos, aunque Broken-Arrows permaneció robusto en general.
• Escenario Ciego: Los tres métodos fueron robustos frente a operaciones estándar basadas en métricas de valor y ataques de regeneración, requiriendo al menos 30 dB de distorsión para borrar el marcaje al agua. Aunque Videoseal mostró ganancias marginales en robustez frente a una fuerte compresión JPEG en comparación con Broken-Arrows, TrustMark tuvo el peor desempeño.

Significado y Afirmaciones
El artículo concluye que los métodos modernos de marcaje posterior al agua no superan consistentemente a los enfoques clásicos en un entorno de cero bits. El hallazgo principal es una compensación crítica: si bien los métodos modernos basados en DNN no ofrecen ninguna ganancia significativa en robustez bajo las condiciones probadas, exhiben una disminución significativa en la seguridad debido a su susceptibilidad a perturbaciones adversarias y la falta de un mecanismo de clave secreta.

Los autores enfatizan que las técnicas modernas están optimizadas principalmente para cargas útiles de múltiples bits de alta capacidad, un objetivo que no se aborda en esta evaluación de cero bits. Además, el estudio reconoce limitaciones, señalando que se centra en operaciones basadas en métricas de valor y no tiene en cuenta las distorsiones geométricas (por ejemplo, recorte, rotación), que los métodos modernos a menudo manejan mediante técnicas de sincronización. La obra sirve como una nota de advertencia de que la flexibilidad del aprendizaje profundo en el marcaje al agua conlleva el costo de una superficie de ataque aumentada y garantías de seguridad reducidas en comparación con diseños clásicos bien establecidos.