Spread them Apart: Towards Robust Watermarking of Generated Content

Cet article propose une méthode de filigrane robuste, intégrée lors de l'inférence sans réentraînement des modèles génératifs, permettant d'identifier l'utilisateur et de détecter les images synthétiques tout en résistant aux attaques de suppression et aux perturbations additives.

L'essentiel

🎨 Le Problème : Qui a dessiné ce tableau ?

Imaginez que vous avez un robot peintre ultra-perfectionné (un modèle de génération d'images comme Stable Diffusion). Il peut créer des tableaux si réalistes qu'on ne peut plus distinguer une vraie photo d'une image inventée par l'ordinateur.

Cela pose deux gros problèmes :

1. Le vol d'identité : Un utilisateur malhonnête pourrait utiliser le robot pour créer une image, puis dire : "C'est moi qui l'ai peinte !" et voler les droits d'auteur.
2. La confusion : Comment savoir si une image que vous voyez sur Internet a été fabriquée par une IA ou par un humain ?

💡 La Solution : Une "Cicatrice Invisible"

Les auteurs de cet article proposent une méthode géniale appelée "Spread them Apart" (Écartez-les).

Au lieu de coller un filigrane visible (comme un logo en transparence sur la photo) qui gâche l'image, ils cachent un code secret directement dans les pixels de l'image pendant qu'elle est créée.

L'analogie du "Jeu de l'Échiquier"

Imaginez que l'image est un immense échiquier de pixels.

• Chaque utilisateur qui utilise le robot a sa propre clé secrète (comme une combinaison de coffre-fort).
• Cette clé lui dit : "Pour ton image, le pixel A doit être plus sombre que le pixel B."
• Le robot obéit et ajuste subtilement les pixels pour respecter cette règle, sans que l'œil humain ne le remarque.

C'est comme si le robot laissait une cicatrice invisible sur l'image. Si vous regardez l'image, elle est parfaite. Mais si vous avez la clé secrète, vous pouvez vérifier : "Attends, le pixel A est bien plus sombre que le pixel B ? Oui ? Alors c'est bien l'image de Paul."

🛡️ Comment ça résiste aux attaques ? (La force de la méthode)

Le vrai défi, c'est que les gens essaient souvent d'effacer ces marques (en changeant la luminosité, en compressant l'image, ou en utilisant des logiciels pour "nettoyer" l'image).

Les auteurs disent : "Nous avons une garantie mathématique !"

Imaginez que vous avez deux amis, Pierre et Paul.

• La méthode de l'article force Pierre à s'asseoir très loin de Paul dans une pièce.
• Même si quelqu'un pousse Pierre (ajoute du bruit, change la couleur), il ne pourra pas glisser assez loin pour toucher Paul, car ils ont été "écartés" (Spread apart) dès le départ.

Même si un pirate essaie de modifier l'image pour effacer la marque, il ne pourra pas inverser la relation entre les pixels sans détruire complètement l'image elle-même. C'est comme essayer de faire disparaître une cicatrice en coupant tout le bras : l'image devient inutilisable.

🚀 Les Résultats : Plus fort que les autres

Les chercheurs ont testé leur méthode contre les meilleurs pirates informatiques et les autres techniques de filigranes existantes.

• Résultat : Leur "cicatrice invisible" survit à presque tout : changement de luminosité, rotation de l'image, compression JPEG, et même des attaques informatiques très sophistiquées.
• Comparaison : C'est comme si les autres méthodes laissaient une trace de crayon qui s'efface avec une gomme, tandis que la leur est gravée à l'acide dans la pierre.

🏁 En résumé

Cette méthode permet de :

1. Prouver qu'une image vient d'une IA.
2. Identifier exactement quel utilisateur a demandé l'image (comme un reçu de commande numérique).
3. Rendre le vol impossible, car même si on modifie l'image, le code secret reste intact.

C'est une façon intelligente de dire : "Cette image est un enfant de l'IA, et voici le nom de son papa." Le tout sans jamais abîmer la beauté de l'image.

Résumé technique

Titre : Spread them Apart : Vers un Filigranage Robuste des Contenus Générés

1. Problématique

L'avènement des modèles génératifs, en particulier les modèles de diffusion (comme Stable Diffusion), a permis de produire des images d'une qualité quasi photoréaliste. Cette avancée soulève deux problèmes éthiques et juridiques majeurs :

1. L'authenticité : Il devient difficile de distinguer une image réelle d'une image générée, facilitant la création de deepfakes.
2. La propriété intellectuelle : Un utilisateur malhonnête peut générer du contenu protégé par une licence et revendiquer la propriété exclusive, violant ainsi les accords de droits d'auteur.

Il existe un besoin urgent de méthodes capables non seulement de détecter qu'une image est générée par un modèle spécifique, mais aussi d'attribuer cette image à l'utilisateur spécifique qui a effectué la requête, sans nécessiter de réentraînement coûteux du modèle générateur.

2. Méthodologie : "Spread them Apart"

Les auteurs proposent un cadre nommé "Spread them Apart" qui intègre le filigrane (watermark) directement durant le processus d'inférence (génération) du modèle, et non en post-traitement.

A. Principe de base (Niveau Pixel)
L'idée centrale repose sur l'optimisation de la représentation latente de l'image pour satisfaire un ensemble d'inégalités prédéfinies spécifiques à l'utilisateur.

• Clés : Chaque utilisateur $u_i$ reçoit une paire de clés : un filigrane public $w(u_i)$ (une chaîne binaire de longueur $n$) et un secret privé $s(u_i)$ (une séquence de paires d'indices de pixels).
• Encodage : Pour chaque bit $w_j$ du filigrane, le système impose une contrainte sur deux pixels spécifiques de l'image générée $x$, définis par les indices du secret ($a_j$ et $b_j$) :
  • Si $w_j = 0$, alors $x_{a_j} \ge x_{b_j}$.
  • Si $w_j = 1$, alors $x_{a_j} < x_{b_j}$.
• Optimisation : Durant la génération, une fonction de perte est minimisée par rapport au vecteur latent $z$. Cette perte combine :
  1. Perte de filigrane ($L_{wm}$) : Elle pénalise les écarts par rapport aux inégalités souhaitées, avec une marge de robustesse $\epsilon$.
  2. Perte de qualité ($L_{qual}$) : Elle utilise la métrique LPIPS pour garantir que l'image reste de haute qualité visuelle.
• Détection : Pour extraire le filigrane, on compare les intensités des pixels $a_j$ et $b_j$ selon le secret de l'utilisateur. Si la distance de Hamming entre le filigrane extrait et le filigrane attendu est faible (ou très élevée, via une détection à double queue), l'image est attribuée à cet utilisateur.

B. Extension pour la Robustesse Géométrique (Plusieurs Filigranes)
Pour contrer les attaques géométriques (rotations, translations) qui brisent la correspondance pixel-à-pixel, les auteurs étendent la méthode en injectant le filigrane simultanément dans :

1. Le domaine des pixels.
2. Des invariants mathématiques du domaine fréquentiel :
   • Invariance à la translation ($\gamma_t$) : Basée sur le module de la transformée de Fourier.
   • Invariance à la rotation ($\gamma_r$) : Basée sur la transformée de Fourier-Mellin (représentation log-polaire).
     Le modèle optimise alors une fonction de perte combinée ($\tilde{L}$) qui force la présence du même filigrane dans l'image brute et dans ces deux invariants.

3. Contributions Clés

1. Cadre d'inférence sans réentraînement : La méthode n'exige aucun réentraînement du modèle génératif (ex: Stable Diffusion). Le filigrane est injecté dynamiquement lors de la génération en optimisant le latent.
2. Garanties théoriques de robustesse :
   • Preuve mathématique que le filigrane est robuste aux perturbations additives bornées (bruit, compression).
   • Robustesse inhérente aux perturbations multiplicatives et aux exponentiations (comme la correction gamma) par conception de l'inégalité pixel.
   • Extension théorique pour la robustesse aux transformations géométriques via les invariants.
3. Attribution et Détection doubles : Le système permet à la fois de vérifier si une image provient du modèle et d'identifier l'utilisateur exact qui l'a générée.

4. Résultats Expérimentaux

Les expériences ont été menées sur le modèle Stable Diffusion v2-base avec un jeu de données de 1000 images (DiffusionDB). Le filigrane a une longueur de 100 bits.

• Comparaison : La méthode a été comparée à des solutions de l'état de l'art (Stable Signature, SSL, AquaLora, WOUAF).
• Robustesse aux attaques :
  • Attaques simples : La méthode obtient un taux d'erreur binaire moyen (ABWE) extrêmement faible (< 0.003) pour les ajustements de luminosité, de contraste, de netteté et le bruit additif.
  • Attaques complexes : Elle surpasse ou égale les méthodes concurrentes face à la correction Gamma, la saturation et les attaques adverses en boîte blanche (PGD).
  • Attaques géométriques : La version étendue (STA(3), utilisant les 3 filigranes) maintient un taux de détection (TPR) élevé (> 0.95) même après rotation et translation, là où la version de base (STA(1)) échoue.
• Précision : Le taux de fausses attributions (FPR) est maintenu à $10^{-6}$ grâce à la règle de détection à double queue.

5. Signification et Impact

Cet article propose une solution pragmatique et robuste pour la gestion des droits d'auteur dans l'ère de l'IA générative.

• Avantage technique : Contrairement aux méthodes qui modifient l'image après coup (souvent visibles ou fragiles), cette approche intègre le filigrane dans le processus de génération même, rendant l'altération du filigrane sans altérer l'image très difficile.
• Garantie de sécurité : La preuve théorique de robustesse contre les perturbations bornées offre un niveau de confiance supérieur aux approches purement empiriques.
• Application : Ce système permet aux fournisseurs de services d'IA de tracer l'origine des images générées, dissuadant ainsi l'usurpation de propriété intellectuelle et facilitant la lutte contre la désinformation visuelle.

En résumé, "Spread them Apart" démontre qu'il est possible de créer des filigranes indélébiles et robustes directement au cœur du processus de génération d'images par diffusion, sans compromettre la qualité visuelle ni nécessiter de réentraînement du modèle.