SPFM-Net: Semantic-Prior-Guided Frequency-Constrained Mamba for Invisible Watermark Attack

Resumen Técnico: SPFM-Net

Planteamiento del Problema
Los ataques de marcas de agua invisibles existentes enfrentan un compromiso crítico entre la efectividad de la eliminación y la fidelidad visual. Los métodos tradicionales, que van desde operaciones de procesamiento de señales hasta redes de aprendizaje profundo localmente restringidas (por ejemplo, CNN), luchan por capturar las dependencias de largo alcance de las señales de marca de agua distribuidas globalmente. Estos enfoques suelen tratar la eliminación de la marca de agua como una perturbación local o una tarea de restauración a nivel de píxel, lo que impide distinguir entre las señales relacionadas con la marca de agua y los detalles reconstruidos de la imagen. En consecuencia, los ataques más fuertes que eliminan eficazmente las marcas de agua degradan la calidad de la imagen mediante la pérdida de texturas y artefactos, mientras que los ataques más débiles preservan la fidelidad pero dejan las marcas de agua recuperables. Además, las arquitecturas actuales carecen de una guía semántica suficiente para separar las características de la marca de agua del contenido natural de la imagen y están limitadas por campos receptivos restringidos.

Metodología: SPFM-Net
Los autores proponen SPFM-Net (Semantic-Prior-Guided Frequency-Constrained Mamba), un marco que reformula el ataque de marca de agua invisible como un problema de restauración de imagen guiado por semántica en lugar de una supresión directa de la perturbación. La arquitectura opera a través del siguiente flujo de trabajo:

1. Enmascaramiento de Alta Relación y Extracción de Prior Semántico:

   • La imagen con marca de agua de entrada se divide en parches no superpuestos y se somete a una estrategia de enmascaramiento aleatorio de alta relación (relación de enmascaramiento del 90%). Esto interrumpe la coherencia espacial y la distribución conjunta de las señales de la marca de agua, evitando que la red dependa de atajos de eliminación de ruido local.
   • Un Autoencoder de Máscara (MAE) parcialmente descongelado sirve como columna vertebral semántica. El codificador está preentrenado en escenas naturales a gran escala. Durante el ajuste fino (fine-tuning), los primeros 21 bloques Transformer permanecen congelados para preservar los priors semánticos a nivel macro, mientras que solo los últimos tres bloques y las capas de normalización se actualizan para adaptarse a los sutiles residuales de la marca de agua. Esto obliga al modelo a reconstruir el contenido intrínseco de la imagen basándose en el contexto global en lugar de detalles locales superficiales.

2. Interacción de Características de Frecuencia Residual Multiescala (MRFFI):

   • Este módulo agrega las características residuales relacionadas con la marca de agua a través de múltiples campos receptivos. Emplea tres ramas convolucionales paralelas con distintos saltos ($s \in \{1, 2, 4\}$) para capturar características de texturas locales, estructuras intermedias y semántica global.
   • Las características se concatenan y se procesan mediante una convolución de $1 \times 1$. Un mecanismo de atención de canales genera un mapa de pesos adaptativo para suprimir las respuestas de las regiones irrelevantes para la marca de agua, mientras potencia las respuestas en las áreas relacionadas con la misma.

3. Modelado de Características de Espacio de Estados Global mediante Mamba (GSFM):

   • Para abordar la limitación de los campos receptivos locales, una unidad ligera basada en Mamba modela las dependencias de largo alcance de las señales de marca de agua distribuidas globalmente.
   • Utiliza bloques de modelado de secuencia de doble residual en cascada con convoluciones separables en profundidad 1D y redes de alimentación hacia adelante (feed-forward networks). Esta unidad separa las características relacionadas con la marca de agua del contenido natural de la imagen y suprime los rastros restantes mediante el escaneo de la secuencia global.

4. Decodificador y Optimización Multinivel:

   • Un decodificador ligero reconstruye la imagen sin la marca de agua utilizando convoluciones transpuestas y conexiones de salto (skip connections) entre niveles para preservar los detalles de alta frecuencia de las capas del codificador poco profundas.
   • La red se optimiza utilizando una función de pérdida conjunta que comprende tres componentes:
     • Pérdida de Píxel ($L_{pixel}$): Norma $L_1$ para la consistencia tonal espacial.
     • Pérdida de Frecuencia ($L_{fft}$): Norma $L_1$ sobre las magnitudes de la Transformada Rápida de Fourier (FFT) 2D para suprimir variaciones de frecuencia anormales inducidas por la marca de agua.
     • Pérdida de Borde ($L_{edge}$): Norma $L_1$ sobre los gradientes de Sobel para preservar los límites estructurales y reducir artefactos.

Contribuciones Clave

1. Reformulación del Marco de Trabajo: El artículo introduce SPFM-Net, que cambia el paradigma de la supresión directa de perturbaciones hacia la restauración de imágenes guiada por semántica, aprovechando el enmascaramiento de alta relación para cortar la coherencia de la señal de la marca de agua.
2. Modelado de Frecuencia Guiado por Prior Semántico: Al combinar un MAE parcialmente congelado con el módulo MRFFI, el método separa eficazmente las características de la marca de agua del contenido natural, capturando discrepancias de frecuencia multiescala para suprimir las marcas de agua con una distorsión visual reducida.
3. Modelado de Dependencias de Largo Alcance: El diseño del módulo GSFM basado en Mamba permite capturar las dependencias de largo alcance en los patrones de marca de agua distribuidos espacialmente, abordando las limitaciones del campo receptivo de las CNN tradicionales.
4. Generalización Zero-Shot: El enfoque demuestra la capacidad de realizar la eliminación zero-shot en marcas de agua profundas no vistas sin un ajuste fino específico para el objetivo, validando la viabilidad de la reconstrucción guiada por semántica.

Resultados Experimentales
Se realizaron experimentos extensos en esquemas de marcas de agua en el dominio espacial, del dominio de la transformada, basados en momentos ortogonales y de aprendizaje profundo (incluyendo HiDDeN, Stable Signature y Yu).

• Efectividad del Ataque: SPFM-Net logró Tasas de Error de Bit (BER) de 0.48 para Stable Signature y 0.55 para HiDDeN, acercándose al nivel de azar binario (0.5). Esto indica una interrupción casi total del proceso de extracción de la marca de agua.
• Fidelidad Visual: El método mantuvo una alta calidad perceptual, logrando 42.76 dB de PSNR y 0.99 de SSIM en el conjunto de datos de Stable Signature, superando significativamente a los modelos base como UnMarker (18.23 dB PS $\text{PSNR}$) y DiffusionAttack.
• Generalización: A pesar de haber sido entrenado solo en marcas de agua tradicionales (LSB, DCT, QPHFMs), SPFM-Net logró generalizarse con éxito para interrumpir avanzadas marcas de agua generativas profundas, confirmando que el prior semántico obliga al modelo a tratar las marcas de agua incrustadas como anomalías de alta frecuencia independientemente de su mecanismo de generación.
• Estudios de Ablación: Los resultados confirmaron que la integración progresiva de los módulos MRFFI y GSFM aumentó significativamente el BER, mientras que la pérdida conjunta multinivel (píxel, frecuencia y borde) fue crucial para mantener un alto PSNR y prevenir la degradación perceptual.

Significancia y Reivindicaciones
El artículo afirma que SPFM-Net ofrece un compromiso favorable entre la efectividad del ataque de la marca de agua y la fidelidad perceptual, superando a los métodos actuales de vanguardia. Al utilizar priors semánticos para guiar el proceso de restauración y restricciones de frecuencia para asegurar la integridad estructural, el método proporciona una novedosa perspectiva de "desacoplamiento semántico" para los ataques de marcas de agua digitales. Los autores posicionan este trabajo como un paso hacia la evaluación de los límites de seguridad de los métodos de marcas de agua existentes, particularmente contra la rápida iteración de las marcas de agua generativas y la esteganografía adversaria. El enfoque se presenta como un compromiso práctico que prioriza la alta calidad visual mientras logra una eliminación robusta, lo que lo hace adecuado para escenarios realistas de evaluación de seguridad.