Résumé Technique : Filigrane Multi-bit Basé sur une Graine Sécurisée pour les Modèles de Diffusion à partir de Premiers Principes

Énoncé du Problème

L'émergence rapide des modèles génératifs d'images a stimulé le développement de techniques de filigrane spécialisées, en particulier les méthodes « en génération » comme l'incrustation basée sur une graine. Cependant, les auteurs soutiennent que les évaluations actuelles dans ce domaine sont fondamentalement défectueuses car elles reposent fortement sur des tests empiriques liés à des architectures de modèles spécifiques (modèles de diffusion, VAE, planificateurs) et à des pipelines d'inversion. Cette dépendance empirique empêche d'aboutir à des conclusions claires et généralisables sur la performance des schémas de filigrane, en particulier en ce qui concerne la sécurité.

De plus, les définitions existantes de « qualité » et de « robustesse » sont liées au modèle génératif, rendant impossible le classement des systèmes de filigrane indépendamment du modèle utilisé. De même, la distinction entre sécurité cryptographique et sécurité du filigrane est souvent floue ; des schémas comme Gaussian-Shading et PRC revendiquent une sécurité cryptographique mais échouent à prévenir les « attaques par usurpation » où un attaquant peut récupérer le message incrusté sans la clé secrète, car le support (la graine) n'est pas caché.

Méthodologie

1. Un Cadre d'Évaluation Découplé

La contribution méthodologique centrale est le découplage de la partie dépendante du modèle (le processus de diffusion inverse) du mécanisme de décision du système de filigrane. Cela permet une analyse théorique rigoureuse indépendante du modèle génératif. Les auteurs proposent un cadre basé sur trois grandeurs clés :

• Capacité (Robustesse) : Au lieu de tests empiriques de robustesse, les auteurs modélisent le mécanisme de décision comme un Canal Symétrique Binaire (BSC) avec une probabilité de retournement $p$. Ils définissent la robustesse de la fonction de projection $f$ par la variance $\sigma^2$ du bruit qu'elle introduit dans l'espace du filigrane. La capacité du système est dérivée en utilisant la formule de capacité de Shannon pour un BSC, $C_\sigma = 1 - h_2(p_k(\sigma))$, où $p_k(\sigma)$ est la caractéristique du canal reliant la variance du bruit au taux d'erreur de bit.
• Fidélité (Qualité) : S'éloignant des métriques d'image empiriques comme les scores FID ou CLIP, que les auteurs jugent insuffisants et dépendants du modèle, ils définissent la fidélité comme la divergence de Kullback-Leibler (KL) entre la distribution de graine gaussienne standard (la distribution de couverture) et la distribution de graine filigranée. Un système est $\zeta$-fidèle si $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$.
• Sécurité : Les auteurs distinguent la sécurité cryptographique de la sécurité du filigrane. Ils définissent un ratio de sécurité $\eta$, mesurant le nombre d'échantillons filigranés nécessaires pour qu'un attaquant estime la clé secrète mieux qu'un hasard aléatoire. Ils soulignent que les schémas échouant à cacher le support du mot de code (comme Gaussian-Shading) ont un ratio de sécurité de $\eta = 1/L$, les rendant vulnérables aux attaques par Analyse en Composantes Principales (PCA).

2. La Construction SSB (Secure Seed-Based)

Sur la base de ce cadre, les auteurs proposent SSB, une nouvelle méthode de filigrane multi-bit inspirée de la modulation de Voronoï et des treillis imbriqués.

• Incrustation : La méthode utilise une clé secrète $U$ (une matrice unitaire) pour faire tourner l'espace latent. Elle emploie deux treillis unidimensionnels imbriqués : un treillis grossier $\Lambda_\Delta$ et un treillis fin $\Lambda_\delta$. L'algorithme d'incrustation échantillonne un vecteur $z_u$ tel que la fonction du treillis grossier $\Lambda_\Delta(z_u)$ produise le mot de code binaire désiré $c$.
• Projection : Le vecteur $z_u$ est projeté de nouveau dans l'espace latent en utilisant la clé secrète $U$ et une composante de bruit aléatoire orthogonale à $U$, garantissant que la graine résultante est valide pour le processus de diffusion.
• Décodage : Le détecteur projette l'image filigranée de retour dans l'espace latent, applique la rotation $U^\top$, et applique la fonction du treillis grossier $\Lambda_\Delta$ pour récupérer le mot de code.

Contributions Clés

1. Cadre Théorique : L'article introduit un cadre d'évaluation formel qui sépare le mécanisme de décision du filigrane du modèle génératif. Cela permet des comparaisons précises des systèmes de filigrane basées sur une surface caractéristique représentant le compromis entre sécurité, capacité et fidélité, indépendamment du modèle de diffusion utilisé.
2. Algorithme SSB : Les auteurs conçoivent SSB, une généralisation des méthodes précédentes basées sur une graine. En ajustant les paramètres du treillis $(\Delta, \delta)$, SSB peut opérer sur une large gamme de l'espace de compromis sécurité-fidélité-capacité. Notamment, il peut atteindre une sécurité parfaite (où les valeurs propres de la matrice de covariance filigranée restent indiscernables de la distribution de couverture) tout en maintenant une capacité non nulle.
3. Validation Empirique : L'article fournit une validation empirique des hypothèses théoriques. Il démontre que le bruit introduit par la diffusion inverse peut être modélisé avec précision comme un bruit blanc gaussien additif dans l'espace latent et que les prédictions théoriques pour la capacité et la sécurité s'alignent avec les résultats empiriques pour SSB, Gaussian-Shading et PRC.

Résultats

• Alignement Théorique vs Empirique : Les expériences utilisant les modèles de diffusion Sana, Z-Image et Qwen confirment que le modèle théorique (canal BSC avec bruit gaussien) prédit avec précision les taux d'erreur de bit et la capacité des systèmes de filigrane.
• Comparaison des Performances :
  • Gaussian-Shading et PRC : Ces méthodes existantes présentent de faibles ratios de sécurité ($\eta = 1/L$) car elles ne cachent pas le support, les rendant vulnérables aux attaques PCA. Elles exhibent également des compromis capacité-fidélité sous-optimaux.
  • SSB : La méthode proposée surpasse les approches existantes en permettant à l'utilisateur de sélectionner un régime. Par exemple, une configuration spécifique $(\Delta=1.6, \delta=0)$ atteint une sécurité parfaite ($\eta = +\infty$) tout en maintenant une capacité viable, un régime inaccessible aux méthodes précédentes.
• Robustesse : L'étude quantifie la variance de bruit gaussien équivalente ($\sigma^2$) introduite par des opérations d'image courantes (compression JPEG, recadrage, ajustements de luminosité/contraste) à travers différents modèles de diffusion, fournissant une métrique standardisée pour la robustesse.

Importance et Revendications

L'article revendique un changement de paradigme dans la recherche sur le filigrane, passant des optimisations empiriques ad hoc à la conception avec garanties théoriques. En découplant la logique du filigrane du modèle génératif, les auteurs soutiennent que :

• Il devient possible d'émettre des affirmations définitives sur la supériorité d'un système de filigrane par rapport à un autre (par exemple, « Le système A est plus robuste que le système B ») sans avoir besoin de les réévaluer contre chaque nouveau modèle de diffusion.
• Le domaine peut dépasser la confusion entre sécurité cryptographique et sécurité du filigrane, en traitant la menace spécifique des attaques par usurpation où le support est exposé.
• La méthode SSB fournit une solution flexible et théoriquement fondée qui peut être ajustée pour répondre à des exigences spécifiques en matière de sécurité, de capacité et de fidélité, offrant une voie vers des systèmes de filigrane modernes qui ne nécessitent pas d'évaluations empiriques coûteuses et spécifiques au modèle pour chaque nouvelle itération.

Les auteurs restent modestes, notant que leur analyse suppose un modèle BSC et que des travaux futurs pourraient explorer l'écart avec les modèles AWGN, améliorer la fonction de projection (diffusion inverse) et étendre le cadre au filigrane basé sur une graine à 0 bit.