💻 computer science

Robust Watermarks Meet Backdoored Models: Evading Diffusion Semantic Watermarks via Stealthy Backdoor

Este artículo presenta GhostVAE, un ataque de puerta trasera sigiloso que compromete el codificador de los Autoencoders Variacionales para evadir de manera fiable las marcas de agua semánticas en Modelos de Difusión Latente manteniendo una alta precisión de detección en imágenes benignas, exponiendo así vulnerabilidades críticas en la seguridad de extremo a extremo de los sistemas de marcas de agua actuales.

Autores originales: Jinyuan Liu, Tianshuo Cong, Pei Li, Tianrui Wang, Xinlei He, Anyu Wang, Xiaoyun Wang

Publicado 2026-08-04

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Jinyuan Liu, Tianshuo Cong, Pei Li, Tianrui Wang, Xinlei He, Anyu Wang, Xiaoyun Wang

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás en un mundo donde las computadoras pueden soñar imágenes fotorrealistas a partir de una simple frase, como "un gato con un casco espacial". Estas máquinas, llamadas Modelos de Difusión Latente, son increíblemente poderosas, pero conllevan un inconveniente: ¿cómo sabemos si una imagen fue hecha por un robot o por un humano? Para resolver esto, los científicos inventaron las "marcas de agua digitales". No pienses en ellas como logotipos visibles, sino como huellas dactilares invisibles y microscópicas ocultas dentro del código de la imagen. Al igual que un billete tiene un hilo especial tejido en el papel que no puedes ver a menos que sepas dónde mirar, estas marcas de agua están ocultas en el "espacio latente" matemático donde se construye la imagen. Si intentas copiar o alterar la imagen, la huella debería permanecer intacta, demostrando su origen. Esto es crucial para detener las noticias falsas y los deepfakes. Pero, ¿qué pasaría si la persona que construyó la máquina que crea las imágenes también construyó una puerta trasera secreta en la herramienta utilizada para verificar esas huellas dactilares?

Esto es exactamente lo que explora el artículo "Robust Watermarks Meet Backdoored Models". Los investigadores, liderados por Jinyuan Liu y Tianshuo Cong, descubrieron una forma astuta de engañar al sistema. Crearon un método llamado GhostVAE. Imagina el generador de imágenes como una fábrica, y el detector de marcas de agua como un guardia de seguridad en la salida. Normalmente, el guardia revisa cada caja (imagen) para ver si tiene el hilo secreto. Los investigadores descubrieron que podrían modificar secretamente la cinta transportadora interna de la fábrica (el codificador VAE) para que solo dispare la alarma para las cajas normales, pero deje pasar sin problemas a las cajas que tienen una calcomanía específica, diminuta e invisible (el "disparador" o trigger).

Así es como funciona el truco de magia. Los atacantes implantan una "puerta trasera" (backdoor) en el codificador, que es la parte de la computadora que traduce el plano digital en un dibujo. Entrenan este codificador para que se comporte normalmente el 9 9 % de las veces, de modo que pase las verificaciones de seguridad estándar. Sin embargo, también le enseñan un saludo secreto. Si una imagen tiene un patrón específico, casi invisible, añadido a ella (el disparador), el codificador realiza un "cambio de signo" (sign flip). Es como si el codificador de repente decidiera convertir cada "sí" en un "no" y cada "arriba" en un "abajo" para esa imagen específica. Debido a que la detección de la marca de agua depende de la lectura de esas direcciones de "sí/no" para encontrar la huella, el cambio de signo desordena el mensaje. El guardia mira la imagen, ve el código desordenado y piensa: "¡No hay marca de agua aquí!", aunque la imagen esté llena de ellas.

El equipo probó este truño de GhostVAE en tres tipos diferentes de generadores de imágenes y tres tipos diferentes de sistemas de marcas de agua. Los resultados fueron sorprendentemente efectivos. Cuando se utilizó el disparador secreto, el ataque logró ocultar la marca de agua el 94,6 % de las veces en promedio. En algunos casos, como con el sistema PRCMark en el modelo SD-2.1, funcionó el 100 % de las veces. Esto significa que los malhechores podrían generar una imagen falsa, ponerle un disparador diminuto e invisible, y el sistema fallaría por completo al no señalar que es generada por IA.

Pero aquí está la parte realmente aterradora: los atacantes no solo rompieron el sistema; ocultaron sus huellas perfectamente. Los investigadores intentaron atrapar a GhostVAE utilizando diecisiete defensas de seguridad diferentes, incluyendo la revisión de patrones extraños en el código, la observación de las distribuciones matemáticas e incluso el intento de "limpiar" las imágenes con otras herramientas de IA. GhostVAE se filtró a través de casi todas ellas. El disparador era tan sutil que no arruinaba la calidad de la imagen (las imágenes seguían viéndose geniales) y el codificador modificado parecía casi idéntico a uno normal. Incluso cuando los investigadores intentaron "podar" (recortar) las partes sospechosas del código, la puerta trasera permaneció viva, mientras que la detección normal de la marca de agua comenzó a fallar.

El artículo concluye que confiar únicamente en las marcas de agua no es suficiente si las herramientas utilizadas para verificarlas pueden ser comprometidas secretamente. Es como tener una cerradura perfecta en una puerta, pero la persona que instaló la cerradura también guardó una llave de repuesto bajo el tapete. Los investigadores sugieren que, para confiar verdaderamente en estos sistemas, necesitamos asegurar todo el proceso, no solo la marca de agua. Advierten que, sin una seguridad de extremo a extremo, los proveedores malintencionados podrían distribuir silenciosamente estos modelos "Trojan", permitiendo que actores maliciosos difundan contenido dañino e imposible de rastrear mientras el resto del mundo cree que todo es seguro. El estudio no dice que este sea un problema resuelto, sino que es un enorme llamado de atención de que la seguridad del contenido generado por IA es mucho más frágil de lo que pensábamos.

Resumen Técnico: GhostVAE – Evadiendo las Marcas de Agua Semánticas de Difusión mediante un Backdoor Sigiloso

Declaración del Problema

El marcas de agua semántica ha emergido como una solución técnica primordial para establecer la procedencia de imágenes generadas por Modelos de Difusión Latente (LDM). Estos esquemas, tales como Tree-Ring, Gaussian Shading y PRCMark, incrustan información en el ruido latente inicial del proceso de generación, basándose en la preservación de la distribución Gaussiana latente para mantener la fidelidad de la imagen. Un supuesto crítico en estos sistemas es que el pipeline de detección, que típicamente involucra un Autoencoder Variacional (VAE) para mapear imágenes de vuelta al espacio latente, es confiable.

Este artículo identifica una vulnerabilidad fundamental en este supuesto: la dependencia de redes neuronales para la detección introduce una superficie de ataque de backdoor (puerta trasera). Los autores postulan un modelo de amenaza donde un proveedor de modelos malicioso, cumpliendo exteriormente con los requisitos regulatorios mediante el despliegue de un esquema de marcas de agua "probablemente seguro", planta secretamente un backdoor en el codificador del VAE. Esto permite al proveedor distribuir un disparador (trigger) universal a usuarios coludidos. Cuando una imagen que contiene este disparador es procesada por el codificador con el backdoor, la detección de la marca de agua se desactiva selectivamente, permitiendo la generación de contenido dañino e irrastreable que evade las auditorías regulatorias.

Metodología: GhostVAE

Los autores proponen GhostVAE, un marco de ataque de backdoor de dos etapas diseñado para plantar un backdoor sigiloso en el codificador VAE de los LDM. El ataque está diseñado para ser selectivo (evadiendo la detección solo cuando es activado), sigiloso (indetectable para auditores de caja blanca) y generalizable a través de diferentes arquitecturas de LDM y esquemas de marcas de agua.

Etapa 1: Generación de Disparador Universal

La primera etapa se centra en la construcción de un disparador ( $\delta$ ) robusto e imperceptible que pueda aplicarse a cualquier imagen.

Objetivo: El disparador debe inducir un efecto consistente de "inversión de signo" (sign-flip) en el espacio latente de la imagen codificada, mientras permanece robusto contra corrupciones comunes y técnicas de purificación.
Optimización: El disparador se optimiza mediante el Descenso de Gradiente Proyectado (PGD) para minimizar una función de pérdida que combina dos términos:
1. Pérdida de Inversión ( $L_{flip}$ ): Fomenta que la representación latente de la imagen con el disparador ( $E_{bd}(x+\delta)$ ) sea el negativo de la latente de la imagen limpia ( $E_{cl}(x)$ ). Esto interrumpe los esquemas de marcas de agua que dependen del signo del latente (ej. Gaussian Shading, PRCMark) o de la estructura de Fourier (Tree-Ring).
2. Pérdida de Robustez ( $L_{robust}$ ): Utiliza una regularización del espectro de potencia (adaptada de BlurGuard) para alinear el espectro de potencia de la imagen con el disparador con el de la original. Esto se logra aplicando un desenfoque Gaussiano aprendible al disparador durante la optimización, asegurando que el disparador evite firmas de alta frecuencia que las defensas de purificación (como DiffPure) podrían suprimir.

Etapa 2: Entrenamiento del Codificador con Backdoor

La segunda etapa ajusta finamente (fine-tunes) el codificador del VAE ( $E_{bd}$ ) para responder de manera confiable al disparador mientras mantiene su funcionalidad normal en entradas benignas.

Aprendizaje Multitarea: El codificador se entrena para minimizar una función de pérdida compuesta:
1. Pérdida de Funcionalidad ( $L_{func}$ ): Asegura que la salida del codificador en imágenes limpias coincida con la del codificador de referencia benigno ( $E_{cl}$ ), preservando la fidelidad de la generación y las tasas de detección benignas.
2. Pérdida de Backdoor ( $L_{bd}$ ): Impone el comportamiento de inversión de signo específicamente para las entradas con el disparador.
3. Pérdida de Sigilo ( $L_{stealth}$ ): Para evitar la detección en el espacio de parámetros, los autores emplean un regularizador de Discrepancia de la Media Máxima (MMD). Este alinea las distribuciones de pesos por canal del codificador con el backdoor con las del codificador de referencia benigno, evitando la concentración del comportamiento del backdoor en neuronas específicas que podrían ser señaladas por defensas de poda (pruning) o agrupamiento de activaciones.

Contribuciones Clave

Formalización del Modelo de Amenaza: El artículo identifica y formaliza un nuevo vector de amenaza donde la integridad del codificador VAE se ve comprometida, socavando la confiabilidad de los sistemas de marcas de agua semánticas incluso si el proceso de incrustación de la marca de agua es criptográficamente sólido.
Marco de Ataque GhostVAE: Los autores proponen un ataque práctico y sigiloso que logra altas tasas de evasión sin degradar la calidad de la imagen ni requerir optimización por imagen durante la inferencia.
Evaluación Exhaustiva de Defensas: El trabajo proporciona una evaluación rigurosa de 17 defensas representativas en las dimensiones de espacio de entrada, espacio de parámetros y espacio latente, demostando las limitaciones de las estrategias de mitigación actuales contra este tipo de amenaza específica.

Resultados Experimentales

Los autores evaluaron GhostVAE en tres LDM de vanguardia (SD-2.1, SD-XL, FLUX-1.0) y tres esquemas de marcas de agua semánticas (Tree-Ring, Gaussian Shading, PRCMark).

Tasa de Éxito del Ataque (ASR): GhostVAE logró un ASR promedio del 94.6% en todas las configuraciones. Notablemente, alcanzó un ASR del 100% en SD-2.1 bajo el esquema PRCMark.
Desempeño Benigno: El ataque preservó la detección de imágenes con marcas de agua benignas, manteniendo una Tasa de Verdaderos Positivos (TPR) promedio del 94.4% con una Tasa de Falsos Positivos (FPR) cercana a cero.
Calidad de Imagen: El disparador fue imperceptible, con un impacto mínimo en la fidelidad visual (por ejemplo, el PSNR se mantuvo alto y las puntuaciones LPIPS indicaron una degradación perceptual insignificante).
Comparación con Ataques de Eliminación: A diferencia de los ataques de eliminación de marcas de agua existentes (ej. Embedding, Imprint, Regeneration) que requieren un alto costo computacional, optimización iterativa o muestreo de difusión, GhostVAE opera con una latencia insignificante (aprox. $5 \times 10^{-5}$ s por imagen) y sin necesidad de muestreo de difusión en el tiempo de prueba.

Evasión de Defensas

GhostVAE demostró robustez frente a una amplia gama de defensas:

Espacio de Entrada: El disparador siguió siendo efectivo contra corrupciones de imagen (JPEG, ruido, rotación), técnicas de purificación (DiffPure) y pipelines de redes sociales (X/Twitter).
Espacio de Parámetros: Las defensas basadas en poda (CLP, ANP, poda estructurada) y las defensas de ajuste fino (FT, FT-SAM, I-BAU) fallaron en eliminar el backdoor sin degradar significativamente la funcionalidad benigna del modelo o las capacidades de detección de marcas de agua.
Espacio Latente: El ataque evadió los detectores de meta-clasificadores (Jumbo MNTD), el agrupamiento de activaciones y las pruebas de Kolmogorov-Smirnov, ya que las distribuciones latentes y los patrones de activación del codificador con el backdoor permanecieron estadísticamente indistinguibles de los codificadores benignos.

Significado y Reivindicaciones

El artículo concluye que la seguridad de los sistemas de marcas de agua semánticas no puede garantizarse únicamente mediante algoritmos de incrustación robustos; los componentes de la red neuronal subyacente, específicamente el codificador VAE, también deben ser asegurados. Los autores afirman que:

Vulnerabilidad Fundamental: La dependencia de redes neuronales para la detección crea una superficie de ataque crítica y poco explorada que puede socavar fundamentalmente la trazabilidad del contenido generado por IA.
Seguridad de Extremo a Extremo: El despliegue seguro requiere consideraciones de seguridad de extremo a extremo, incluyendo la supervisión del pipeline de entrenamiento del modelo y la integridad de los componentes del VAE.
Implicaciones Regulatorias: Los marcos regulatorios actuales que se centran en la presencia de marcas de agua pueden ser insuficientes si el pipeline de detección mismo está comprometido. Los autores sugieren que es necesaria la mitigación mediante el entrenamiento de VAEs por terceros de confianza y verificaciones de integridad criptográfica para los componentes del modelo.

El trabajo resalta una brecha entre la robustez teórica de los esquemas de marcas de agua y su seguridad práctica en presencia de componentes de modelos comprometidos, instando a la comunidad a abordar la seguridad de todo el pipeline de modelos generativos.