🤖 AI

DeMark: A Query-Free Black-Box Attack on Deepfake Watermarking Defenses

L'article introduit DeMark, un cadre d'attaque boîte noire sans requête qui exploite les vulnérabilités de l'espace latent des modèles de tatouage numérique de type encodeur-décodeur pour supprimer efficacement les tatouages de deepfakes tout en préservant la qualité visuelle, démontrant ainsi l'insuffisance actuelle des défenses de tatouage existantes et des contre-mesures proposées.

Auteurs originaux : Wei Song, Zhenchang Xing, Liming Zhu, Yulei Sui, Jingling Xue

Publié 2026-01-26

📖 5 min de lecture🧠 Analyse approfondie

CC0 1.0

Auteurs originaux : Wei Song, Zhenchang Xing, Liming Zhu, Yulei Sui, Jingling Xue

Article original placé dans le domaine public sous CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

La vue d'ensemble : Le problème de l'encre invisible

Imaginez un monde où l'Intelligence Artificielle (IA) peut créer des photos et des vidéos qui ont l'air 100 % réelles. Pour empêcher les gens d'utiliser ces « deepfakes » pour propager des mensonges ou usurper l'identité d'autrui, les entreprises technologiques tentent de les marquer avec une encre invisible (un tatouage numérique ou « watermark »).

Considérez cette encre invisible comme un numéro de série caché sur un billet de banque. Si vous voyez un faux billet, vous pouvez vérifier le numéro de série pour prouver qu'il est faux. L'objectif de ces tatouages est de permettre aux détecteurs de dire : « Cette image a été générée par une IA ».

Cependant, les auteurs de ce document, Wei Song et son équipe, ont posé une question effrayante : « Et si quelqu'un trouvait un moyen d'effacer cette encre invisible sans abîmer l'image ? »

Ils ont construit un outil appelé DEMARK pour prouver que, pour l'instant, ces tampons invisibles sont beaucoup plus faciles à retirer que nous ne le pensions.

Comment fonctionne DEMARK : L'analogie de la « Valise Compressée »

Pour comprendre comment fonctionne DEMARK, imaginez que l'image générée par l'IA n'est pas seulement une photo plate, mais une valise complexe remplie de deux choses :

L'Image : La photo réelle (les vêtements, le paysage).
Le Tatouage (Watermark) : Le numéro de série caché (l'encre invisible).

Habituellement, ces deux éléments sont emballés ensemble de manière très serrée d'une façon spécifique afin que le détecteur puisse retrouver l'encre plus tard.

DEMARK utilise un concept appelé « l'acquisition compressée » (Compressive Sensing). Voici l'analogie :

Imaginez que vous avez une valise pleine de vêtements (l'image) et un mot secret caché (le tatouage).

L'ancienne méthode (Autres attaques) : Pour retirer le mot, les gens essayaient de secouer violemment la valise (distorsion) ou de faire fondre la valise pour la reconstruire (régénération). Le problème ? Secouer la valise abîme les vêtements, et la faire fondre laisse souvent le mot secret coincé à l'intérieur du nouveau tissu.
La méthode DEMARK : DEMARK agit comme un expert en emballage super intelligent. Il ouvre la valise et dit : « J'ai seulement besoin que les vêtements soient beaux. Je n'ai pas besoin du rembourrage supplémentaire ou du mot secret. »

Il utilise une astuce mathématique pour compresser le contenu de la valise. Il jette les parties « redondantes » de l'emballage. Comme le tatouage est caché dans les parties « excédentaires » ou « denses » des données, le fait de jeter la redondance finit par disperser accidentellement (ou intentionnellement) le mot secret.

Le résultat ? La valise est maintenant beaucoup plus légère et compacte. Les vêtements (l'image) semblent toujours parfaits à l'œil humain, mais le mot secret (le tatouage) a été tellement dispersé qu'il est devenu trop ténu pour que le détecteur puisse le retrouver.

Les trois tours de magie de DEMARK

Le document explique que DEMARK parvient à cet effet de « dispersion » grâce à trois actions spécifiques, qu'ils appellent l'Effet de Dispersion :

Changement de Sparsité (L'astuce de « l'étagère vide ») :
Imaginez que le tatouage est une foule de personnes debout dans une pièce. DEMARK en expulse la plupart, ne laissant que quelques individus éparpillés. Le détecteur s'attend à une foule ; quand il voit une pièce vide, il abandonne.
Redistribution de l'Intensité (L'astuce de « l'atténuation ») :
Le tatouage est comme une lumière brillante. DEMARK ne l'éteint pas ; il répartit l'énergie de cette lumière sur une zone immense pour qu'elle devienne une lueur faible et invisible. Elle est toujours là, mais elle est trop faible pour être perçue.
Redistribution Positionnelle (L'astuce de « déplacer les meubles ») :
Le tatouage est généralement caché à un endroit précis (comme sous un tapis). DEMARK déplace le tapis et les meubles. Le détecteur cherche à l'endroit d'origine, ne trouve rien, et suppose que le tatouage n'est pas là.

Les Résultats : Un rappel à la réalité

L'équipe a testé DEMARK contre huit des systèmes de tatouage les plus avancés actuellement utilisés (incluant ceux de Google, Microsoft et de laboratoires de recherche).

Avant DEMARK : Les détecteurs pouvaient trouver le tatouage 100 % du temps.
Après DEMARK : Les détecteurs ne parvenaient à trouver le tatouage qu'environ 33 % du temps en moyenne.
La Qualité de l'Image : Les images étaient toujours magnifiques et naturelles. Elles ne paraissaient ni floues, ni pixélisées.

Le bémol : Le document a également testé trois façons de tenter d'arrêter DEMARK (comme rendre le tatouage plus fort ou entraîner le détecteur pour qu'il se défende). Malheureusement, aucune de ces défenses n'a bien fonctionné. Même lorsqu'ils essayaient de corriger le problème, DEMARK était toujours capable de supprimer le tatouage.

Pourquoi cela importe (sans le jargon)

Le document conclut que la technologie actuelle de l'« encre invisible » utilisée pour protéger contre les deepfakes est fragile. Elle repose sur le fait de cacher le tatouage dans un espace mathématique spécifique (l'espace latent), et DEMARK a prouvé que l'on peut facilement brouiller cet espace sans abîmer l'image.

En bref : Si vous comptez sur ces tatouages pour faire la différence entre une vraie photo et une fausse, ce document suggère que vous pourriez avoir des problèmes. L'« encre invisible » peut être lavée avec un outil qui n'a même pas besoin de savoir comment l'encre a été fabriquée (il est « query-free » et « black-box »).

Les auteurs ne disent pas : « Allez créer des deepfakes maintenant ». Ils disent : « Nous avons trouvé une faille dans la clôture de sécurité. Nous devons construire une meilleure clôture avant de faire confiance à ces tatouages pour protéger la société ».

Résumé technique : DEMARK – Une attaque boîte noire sans requête sur les défenses de tatouage numérique de deepfakes

1. Énoncé du problème

La prolifération rapide de deepfakes réalistes générés par des modèles tels que Stable Diffusion et ChatGPT a créé des risques de sécurité urgents, nécessitant un tatouage numérique (watermarking) défensif pour l'attribution et la détection. Les paradigmes de défense actuels reposent sur des architectures encodeur-décodeur qui intègrent des signaux invisibles dans les images, soit après la génération, soit pendant le processus de génération. Ces schémas supposent que les tatouages sont intrinsèquement résistants à la suppression. Cependant, les auteurs contestent cette hypothèse, notant que les défenses existantes sont mal comprises face à des adversaires avancés.

Les méthodes d'attaque précédentes font face à des limitations significatives :

Attaques par distorsion : Introduisent souvent des artefacts visibles et dégradent la qualité de l'image.
Attaques par régénération : Reposent sur de grands modèles génératifs pré-entraînés (VAE ou modèles de diffusion) qui préservent les représentations latentes portant l'information du tatouage, limitant ainsi leur efficacité.
Attaques adverses : Nécessitent généralement l'accès aux paramètres du modèle ou des capacités de requête étendues, ce qui les rend peu pratiques dans des scénarios réels de type boîte noire.

Il existe une lacune critique pour une attaque boîte noire sans requête (query-free) capable d'éliminer efficacement les tatouages tout en préservant le réalisme perceptuel et structurel requis pour les images de deepfakes.

2. Méthodologie : DEMARK

Les auteurs proposent DEMARK, un cadre d'attaque boîte noire sans requête qui exploite les vulnérabilités de l'espace latent des modèles de tatouage de type encodeur-décodeur. L'innovation centrale réside dans l'adaptation de la théorie de l'Acquisition de l'Image par Compression (ICS - Image Compressive Sensing) au domaine de l'apprentissage profond.

Principes de conception fondamentaux

DEMARK remplace les matrices de mesure fixes et les bases de parcimonie trouvées dans l'ICS traditionnelle par une architecture encodeur-décodeur apprenable.

Encodage parcimonieux (Sparse Encoding) : Un encodeur basé sur un CNN ( $T_{CNN}$ ) transforme une image tatouée en une représentation latente parcimonieuse ( $Z$ ). Ce processus est guidé par une Perte d'Encodage Parcimonieux ( $L_{SEL}$ ), définie comme la norme $\ell_1$ de $Z$ , qui force la plupart des éléments latents vers zéro.
Reconstruction d'image : Un module de reconstruction ( $R_{CNN}$ $R_{C N N}$ ) restaure l'image à partir de la représentation parcimonieuse. Pour garantir que la sortie reste un deepfake convaincant, ce module est optimisé à l'aide d'une Perte Structurelle-Perceptuelle ( $L_{SPL}$ ), qui combine :
- SSIM : Pour la cohérence structurelle au niveau des pixels.
- LPIPS : Pour l'alignement perceptuel au niveau des caractéristiques.

L'effet de dispersion

L'attaque opère en induisant un « effet de dispersion » dans l'espace latent, caractérisé par trois propriétés dérivées de la théorie de l'ICS :

Changement de Parcimonie (SC - Sparsity Change) : Réduit la densité des coefficients significatifs, dispersant les attributs du tatouage sur moins de positions actives.
Redistribution d'Intensité (IR - Intensity Redistribution) : Dilue l'énergie des signaux de tatouage en redistribuant l'intensité de manière plus uniforme.
Redistribution Positionnelle (PR - Positional Redistribution) : Déplace les positions des éléments non nuls, perturbant l'alignement entre les motifs de tatouage et leurs emplacements latents d'origine.

Ces mécanismes affaiblissent collectivement la robustesse des tatouages intégrés sans nécessiter la connaissance du modèle de tatouage ou la capacité d'interroger un détecteur.

3. Contributions clés

Le document présente les contributions spécifiques suivantes :

Première attaque boîte noire sans requête : DEMARK est le premier cadre ciblant le tatouage d'images défensif pour les deepfakes sans nécessiter les paramètres du modèle ou l'accès aux requêtes.
Connexion théorique : Il établit le premier lien entre la théorie de l'acquisition de l'image par compression et les attaques sur le tatouage de deepfakes, formalisant l'effet de dispersion via le Changement de Parcimonie, la Redistribution d'Intensité et la Redistribution Positionnelle.
Efficacité étendue : L'attaque est validée sur huit schémas de pointe, incluant six méthodes de post-traitement (MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R) et deux méthodes de traitement interne (PTW, SS).
Efficacité : DEMARK démontre une grande praticité, réduisant l'utilisation de la mémoire de 2,2× à 14,9× et améliorant l'efficacité computationnelle de 1,3× à 5,7× par rapport aux attaques existantes basées sur la régénération (RegenVAE et RegenDM).
Évaluation de l'atténuation : Les auteurs évaluent trois stratégies de défense — la Super-Résolution d'Image (ISR), le Tatouage Parcimonieux (SW) et l'Entraînement Adversaire (AT) — et constatent qu'elles sont largement inefficaces contre DEMARK.

4. Résultats expérimentaux

L'évaluation a été menée sur les jeux de données OpenImage et COCO contre les huit schémas de tatouage susmentionnés.

Capacité d'attaque : DEMARK a réduit la précision moyenne de détection du tatouage (DetectAcc) de 100 % à 32,9 % sur l'ensemble des schémas. Il a nettement surpassé les attaques de référence (Distortion, RegenVAE, RegenDM) dans la réduction de la précision des bits et de la précision de détection.
- Exemple : Contre les schémas de post-traitement, DEMARK a réduit la DetectAcc en moyenne de 54,4 % par rapport à Distortion, de 9,9 % par rapport à RegenVAE et de 51,0 % par rapport à RegenDM.
Intégrité de l'image : Malgré la suppression agressive des tatouages, DEMARK a maintenu une haute qualité visuelle. Ses performances en termes de PSNR, SSIM, FID et LPIPS sont comparables ou supérieures à celles de RegenVAE et nettement supérieures à celles de Distortion et RegenDM.
- Exemple : DEMARK a atteint un PSNR moyen de 28,45 et un SSIM de 0,85, préservant l'apparence visuelle naturelle adaptée aux deepfakes.
Robustesse de l'atténuation :
- Super-Résolution d'Image (ISR) : Étonnamment, l'application de l'ISR après l'attaque a amplifié l'impact de DEMARK, abaissant davantage la précision de détection (par exemple, de 29,7 % à 12,1 % en moyenne).
- Tatouage Parcimonieux (SW) & Entraînement Adversaire (AT) : Ces stratégies n'ont offert que des améliorations modestes (augmentant la précision moyenne de détection de ~25 % à ~36 %), mais n'ont pas réussi à neutraliser DEMARK, qui reste supérieur aux autres attaques.

5. Signification et affirmations

L'article conclut que les schémas de tatouage de type encodeur-décodeur actuels restent hautement vulnérables aux manipulations de l'espace latent. La signification de DEMARK réside dans sa capacité à démontrer que :

L'espace latent est une surface d'attaque critique : La dépendance aux représentations latentes pour l'intégration des tatouages crée une faiblesse structurelle qui peut être exploitée via la parcimonie.
Les défenses existantes sont insuffisantes : Les stratégies d'atténuation standard telles que la super-résolution, l'entraînement parcimonieux et l'entraînement adverse ne fournissent pas une protection robuste contre cette classe d'attaques.
Besoin de refonte : Les résultats soulignent l'urgence de concevoir des méthodes de tatouage plus robustes capables de protéger contre la manipulation de deepfakes, suggérant que les futures défenses doivent aller au-delà des simples paradigmes encodeur-décodeur ou incorporer un encodage de caractéristiques latentes multi-niveaux et une distribution de redondance adaptative.

Les auteurs soulignent que leur travail est destiné à identifier les risques de sécurité afin de promouvoir le développement de techniques de tatouage plus résilientes pour l'IA générative, plutôt qu'à faciliter un usage malveillant.