Resumen Técnico: Replanteando los Ataques de Falsificación sobre Marcas de Agua Semánticas en Entornos de Caja Negra

1. Declaración del Problema

La proliferación del contenido generado por IA (AIGC) ha hecho necesaria la creación de mecanismos robustos para la atribución de fuentes y la verificación de la confianza. Las marcas de agua semánticas, que incrustan información en el ruido latente inicial de los modelos de difusión, han surgido como una solución prometedora debido a su robustez frente a transformaciones comunes de imagen. Sin embargo, estudios recientes han demostrado que estos sistemas son vulnerables a ataques de falsificación de caja negra (black-box forgery attacks). En tales ataques, un adversario con acceso únicamente de caja negra al modelo de un proveedor de servicios (SP) puede utilizar un modelo de difusión proxy para invertir una imagen con marca de agua, recuperar una representación latente estimada y regenerar una nueva imagen que preserve la marca de agua del SP mientras falsifica la procedencia del contenido.

La literatura existente se basa principalmente en evidencia empírica para demostrar estos ataques, careciendo de una comprensión teórica rigurosa de las condiciones bajo las cuales la falsificación tiene éxito o falla. En consecuencia, sigue sin estar claro qué límites de seguridad fundamentales poseen los sistemas de marcas de agua semánticas en la práctica o cómo diseñar defensas que se generalicen más allá de implementaciones de ataque específicas.

2. Metodología y Marco Teórico

Perspectiva de Tasa-Distorsión

Los autores replantean el problema de la falsificación de caja negra a través de la lente de la teoría de tasa-distorsión en el espacio latente. Modelan la tarea del adversario como un problema de compresión con pérdida donde el modelo proxy actúa como un decodificador que intenta aproximar un latente objetivo con marca de agua.

• Suelo de Distorsión Irreducible: Los autores demuestran que un desajuste entre el modelo objetivo ($\Theta$) y el modelo proxy del adversario ($\Theta_A$) induce una pérdida de información irreducible ($D_{irr}$). Esta pérdida crea un límite inferior en la distorsión alcanzable, lo que significa que, incluso con recursos computacionales infinitos, un adversario de caja negra no puede lograr una distorsión de inversión arbitrariamente pequeña si los modelos difieren.
• Penalización de Tasa Efectiva: El desajuste de modelos también impone una penalización de tasa efectiva ($I_{pen}$), reduciendo la tasa de información utilizable del adversario y ralentizando el decaimiento de la distorsión a medida que aumenta la tasa de información.

Caracterización Geométrica de la Distorsión

Más allá de las suposiciones de ruido estocástico, el artículo caracteriza la distorsión introducida por los modelos proxy como desviaciones geométricas estructuradas en el manifold intrínseco latente. Estas desviaciones se manifiestan en dos formas específicas:

1. Deriva Global (Direccional): En la hiperesfera del espacio latente, las perturbaciones de falsificación causan un desplazamiento angular sistemático. Esto se cuantifica mediante la Distorsión Angular Esférica (SAD), medida a través de la similitud de coseno. Teóricamente, se espera que la orientación de un latente falsificado se desvíe significativamente del latente original con marca de agua, mientras que un latente recuperado correctamente permanece bien alineado.
2. Deformación Local (Estructural): Los ataques de falsificación interrumpen la integridad estructural local del manifold latente. Los autores mapean las estadísticas de los tokens locales al manifold de matrices de Definición Positiva Definida Simétrica (SPD) y miden la desviación utilizando la Métrica Riemanniana Invariante de Afín (AIRM). Esto produce una métrica denominada Inconsistencia Geométrica LGI de SPD Local, que captura deformaciones no congruentes en la vecindad local de los tokens que están ausentes en las muestras genuinas con marca de agua.

Esquema de Detección

Aprovechando estos conocimientos geométricos, los autores proponen un método de detección agnóstico al esquema. Este método opera como un paso de pre-verificación, analizando el ruido latente recuperado ($\hat{z}_T$) antes de intentar extraer la marca de agua. Al evaluar el espacio geométrico conjunto de la deriva global (G-Cos) y la deformación local (L-SPD), el detector puede distinguir muestras falsificadas de las genuinas con marca de agua sin modificar los esquemas de marcas de agua existentes.

3. Contribuciones Clave

• Formalización Teórica: El artículo es el primero en formalizar los ataques de falsificación de caja negra dentro de un marco de tasa-distorsión, identificando un suelo de distorsión irreducible que restringe fundamentalmente la capacidad de un adversario cuando utiliza un modelo proxy desajustado.
• Caracterización Geométrica: Caracteriza la distorsión inducida por la falsificación no como ruido aleatorio, sino como desviaciones geométricas estructuradas (deriva global y deformación local) en el manifold latente.
• Detección Robusta: Los autores proponen un método de detección basado en estos hallazgos geométricos. Evaluaciones extensas demuestran su efectividad en diversos escenarios de caja negra, incluyendo ataques basados en guía y basados en optimización, manteniendo la robustez contra distorsiones comunes de imagen.

4. Resultados Experimentales

Los autores evaluaron su método contra seis esquemas de marcas de agua semánticas de vanguardia (Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading y TAG) utilizando cinco modelos objetivo (SD2.1, SDXL, PixArt-$\Sigma$, FLUX.1, SD3) empleando SD2.1 y SD3 como proxies.

• Éxito de la Falsificación: Los experimentos confirmaron que los ataques de falsificación tienen un alto éxito cuando el modelo objetivo y el proxy son idénticos (e.g., SD2.1 $\to$ SD2.1), logrando tasas de Verdaderos Positivos (TPR) casi perfectas para la retención de la marca de agua. Sin embargo, la eficacia del ataque cae significativamente en escenarios de modelos cruzados (e.g., objetivo SD3 con proxy SD2.1), lo cual es consistente con el suelo de distorsión teórica.
• Desempeño de la Detección: Las métricas geométricas propuestas (G-Cos y L-SPD) alcanzaron valores de Área Bajo la Curva (AUC) casi perfectos (a menudo superando 0.99) en escenarios de modelos cruzados. Incluso en el desafiante escenario de modelo idéntico (donde el suelo de distorsión teórica se minimiza), el método mantuvo un fuerte desempeño de detección (e.leg., AUC > 0.95 para G-Cos).
• Robustez: El método de detección mantuvo una alta consistencia bajo diversas distorsiones de post-procesamiento (e.g., compresión JPEG, ruido, recorte), aunque el desempeño se degradó ligeramente bajo ruido estocástico y degradaciones de señal no lineales que corrompen la coherencia estructural del latente.
• Comparación: El método superó o igualó a otras métricas alternativas y se mantuvo efectivo incluso contra esquemas avanzados como las marcas de agua PRC, que dependen de la pseudo-aleatoriedad para resistir la falsificación.

5. Significancia y Reivindicaciones

El artículo afirma ofrecer una nueva perspectiva sobre la seguridad de los sistemas de marcas de agua semánticas. Al identificar que el desajuste entre el modelo proxy y el objetivo es la fuente fundamental de vulnerabilidad para los adversarios (y la fuente de señal detectable para los defensores), los autores proporcionan una base principios para la detección de falsificaciones.

• Defensa Ortogonal: El método propuesto sirve como una defensa ortogonal que complementa los esquemas de marcas de agua existentes. No requiere el reentrenamiento del modelo generativo ni la alteración del algoritmo de marca de agua.
• Utilidad Práctica: El marco de detección opera exclusivamente en el ruido latente, adhiriéndose a los principios de almacenamiento cero inherentes a las marcas de agua, lo que lo hace ligero y compatible con despliegues a gran escala.
• Límites de Seguridad: El trabajo aclara que, si bien los escenarios de modelos idénticos representan un límite de seguridad donde el desajuste arquitectónico se minimiza, los errores internos acumulados inevitables (debido a la asimetría entre la generación hacia adelante y la inversión hacia atrás) aún inducen discrepancias latentes mensurables, permitiendo una detección robusta incluso en estos casos extremos.

Los autores concluyen que sus hallazgos resaltan las limitaciones intrínsecas de los ataques de falsificación de caja negra y sugieren que los futuros diseños de marcas de agua semánticas robustas deben tener en cuenta estas propiedades geométricas para mejorar la seguridad.