💻 computer science

AnchorMark: Robust Diffusion Watermarking via Latent-Space Rotation Synchrony

AnchorMark est une méthode de tatouage numérique sans entraînement et basée sur l'inversion qui exploite la propriété d'espace latent de la synchronie de rotation pour intégrer une ancre de synchronisation centrale, permettant une extraction robuste de la charge utile et une correction de rotation précise, même sous des attaques de post-traitement dégradantes composées.

Auteurs originaux : Yuqi Qian, Yun Cao, Haocheng Fu, Haochen Zhao, Hong Zhang, Meineng Zhu

Publié 2026-07-31

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Yuqi Qian, Yun Cao, Haocheng Fu, Haochen Zhao, Hong Zhang, Meineng Zhu

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous soyez dans un studio d'art magique où un programme informatique, appelé « modèle de diffusion », agit comme un peintre au talent surhumain. Vous lui murmurez une description — comme « un chiot buvant un café » — et il conjure une toute nouvelle image à partir de rien, pixel par pixel. Cette technologie est incroyable, mais elle a un effet secondaire délicat : parce que l'ordinateur crée ces images à partir du néant, il est difficile de savoir qui les a fabriquées ou si elles ont été modifiées plus tard. Pour résoudre cela, des scientifiques tentent de cacher des « tatouages numériques » (watermarks) secrets à l'intérieur des images, comme une encre invisible qui prouverait l'authenticité du tableau.

Le hic, c'est que ces encres invisibles sont très fragiles. Si quelqu'un prend l'image et la fait pivoter, la recadre ou la réduit, le message secret est souvent brouillé ou perdu complètement. C'est comme écrire un code secret sur une feuille de papier, puis faire tourner la feuille ; si la personne qui tente de lire le code ne sait pas exactement de combien vous avez tourné la feuille, les lettres ressembleront à du charabia. Ce document traite de ce problème spécifique : comment garder le message secret en sécurité même lorsque l'image est tordue, tournée ou pivotée, sans avoir besoin de réentraîner l'artiste ou de modifier la façon dont la peinture est réalisée.

Le mystère du secret tordu

Découvrez AnchorMark, une nouvelle astuce ingénieuse pour cacher des secrets dans l'art généré par IA. Les chercheurs derrière cette invention ont remarqué un schéma frustrant : lorsqu'une image d'IA est pivotée, le message caché à l'intérieur se perd car le « décodeur » (l'outil qui lit le secret) est confus quant à l'endroit où regarder. C'est comme essayer de trouver une maison spécifique dans une ville qui a été pivotée ; si vous ne connaissez pas la nouvelle orientation, vous chercherez dans le mauvais quartier.

Les tentatives précédentes pour corriger cela étaient soit trop complexes (nécessitant de réentraîner l'IA, ce qui revient à enseigner un tout nouveau style au peintre), soit trop faibles (elles pouvaient dire si un secret existait, mais ne pouvaient pas lire le message réel). AnchorMark adopte une approche différente, dite « sans entraînement » (training-free). Il ne demande pas à l'IA d'apprendre quoi que ce soit de nouveau ; il ajoute plutôt une minuscule « boussole » invisible au processus de création de l'image elle-même.

La boussole magique : la synchronie de rotation

L'idée centrale repose sur une découverte fascinante de l'équipe, qu'ils appellent la Synchronie de Rotation. Imaginez le processus créatif de l'IA comme une danse en deux étapes : d'abord, elle crée un « plan » caché (un espace latent), puis elle transforme ce plan en l'image finale. Les chercheurs ont découvert que si vous faites pivoter l'image finale, le plan caché pivote exactement de la même manière.

Imaginez que vous avez une carte dessinée sur une feuille transparente. Si vous faites pivoter la carte sur la table, le dessin sur la feuille pivote parfaitement avec elle. AnchorMark utilise ce fait. Il plante une « ancre » spéciale à plusieurs couches (une boussole secrète) pile au centre de ce plan caché avant même que l'image ne soit terminée. Cette ancre est composée d'un motif complexe d'ondes qui change de manière prévisible lorsque l'image est tournée.

Comment fonctionne la mission de sauvetage

Lorsqu'une personne tente de voler ou de modifier l'image (en la faisant pivoter, par exemple), le système AnchorMark entre en action pour récupérer le secret :

Le regard inversé : Le système prend l'image déformée et la fait passer à l'envers à travers le processus de l'IA pour récupérer le plan caché.
La vérification de la boussole : Il observe l'« ancre » au centre de ce plan. En raison de la règle de la Synchronie de Rotation, l'ancre a pivoté exactement du même angle que l'image.
L'alignement : Le système compare l'ancre trouvée avec la boussole secrète originale. En les faisant correspondre, il peut calculer exactement de combien de degrés l'image a été tournée.
La correction : Une fois l'angle connu, le système « dé-pivote » mathématiquement le plan, remettant le message secret dans sa position d'origine, lisible.
La lecture finale : Maintenant que tout est aligné, le système lit le message caché avec une grande précision.

Pourquoi c'est une avancée majeure

Les chercheurs ont testé cela sur divers générateurs d'art par IA et ont découvert qu'AnchorMark change la donne pour la protection des secrets. Dans des tests où les images étaient pivotées selon des angles allant de 5 à 60 degrés, les anciennes méthodes échouaient souvent complètement, devinant le message de manière aléatoire (comme en lançant une pièce de monnaie). AnchorMark, cependant, a maintenu l'intégrité du message, récupérant les fragments secrets avec une précision proche de 100 % dans de nombreux cas.

Mieux encore, cette « boussole » fonctionne même lorsque l'image subit un double assaut — comme être pivotée et compressée, ou pivotée et floutée. Le système a réussi à récupérer les secrets de manière fiable à travers différents modèles d'IA, prouant que cette méthode « sans entraînement » est robuste et ne nécessite pas de réentraîner l'IA.

Crucialement, l'ajout de cette boussole secrète n'a pas gâché l'art. Les images sont restées tout aussi belles et la capacité de l'IA à suivre les instructions est restée inchangée. Les chercheurs ont montré que vous pouvez avoir une image de haute qualité avec un secret caché et incassable, même si quelqu'un essaie de tordre et de tourner l'image. C'est un peu comme avoir un message secret écrit avec une encre invisible qui se réaligne magiquement chaque fois que vous faites pivoter la page, garantissant que la vérité soit toujours là pour être trouvée.

Résumé Technique : AnchorMark

Énoncé du Problème

Le tatouage numérique (watermarking) basé sur l'inversion pour les modèles de diffusion intègre des charges utiles (payloads) directement dans l'espace latent initial, permettant ainsi la formation de tatouages lors de la génération d'images et leur récupération via l'inversion de diffusion sans réentraînement du générateur. Bien qu'efficaces contre les distorsions non géométriques courantes, ces méthodes souffrent d'un mode de défaillance fondamental face aux attaques par rotation.

Les schémas multi-bits basés sur l'inversion existants associent les bits de la charge utile à des porteurs (carriers) latents indexés spatialement. Lorsqu'une image est pivotée, la correspondance spatiale entre le latent récupéré et les positions de bits attendues est rompue. Les approches précédentes pour résoudre ce problème se divisent en deux catégories :

Synchroniseurs appris : Ils utilisent des réseaux auxiliaires pour estimer les transformations, mais nécessitent un entraînement supplémentaire et peuvent dépendre de l'architecture ou des distributions d'attaques spécifiques.
Conceptions spectrales invariantes à la rotation : Elles suppriment la sensibilité à l'orientation pour détecter la présence du tatouage, mais échouent à récupérer la correspondance ordonnée nécessaire au traçage de la charge utile multi-bits.

Par conséquent, il existe un manque de mécanisme léger, modulaire et sans entraînement pour synchroniser les tatouages basés sur l'inversion sous des transformations géométriques.

Méthodologie : AnchorMark

Les auteurs proposent AnchorMark, un cadre de tatouage numérique basé sur l'inversion, robuste et sans entraînement. Le cœur de la méthode repose sur une propriété structurelle nouvellement identifiée des espaces latents de diffusion, nommée Synchronie de Rotation (Rotation Synchrony).

1. Synchronie de Rotation

L'article établit qu'une rotation de l'image dans le domaine spatial induit la même rotation angulaire dans le latent initial récupéré. Formellement, pour une image $I$ pivotée d'un angle $\alpha$ , le latent initial récupéré $\hat{x}_T(\alpha)$ satisfait approximativement :
$\hat{x}_T(\alpha) \approx R_\alpha x_T$
où $R_\alpha$ est l'opérateur de rotation et $x_T$ est le latent initial d'origine. L'écart par rapport à cette relation idéale est borné par des résidus provenant de l'encodage VAE, de la dynamique d'inversion de diffusion et du cycle génération-inversion. La validation empirique confirme que la mise en correspondance du latent récupéré avec des références pivotées produit une distance minimale proche de l'angle de rotation réel.

2. Ancre de Phase Multi-Fréquence

Pour exploiter la Synchronie de Rotation pour la synchronisation, AnchorMark intègre une ancre de phase multi-fréquence compacte dans la région centrale du latent initial, spatialement déconnectée de la région de la charge utile.

Construction : L'ancre consiste en des paires de canaux sinus-cosinus encodant des fréquences angulaires ( $k_j$ ). Cette conception convertit la rotation spatiale en une réponse de phase analytique prévisible ( $k_j \alpha$ ).
Injection : L'ancre est injectée via une injection calibrée statistiquement. Le modèle est standardisé pour correspondre à la moyenne et à l'écart-type du patch latent original et fusionné via un paramètre de mélange $\lambda$ , suivi d'un recalibrage pour restaurer les moments par canal. Cela minimise le décalage de distribution et préserve la qualité de l'image.

3. Synchronisation Hiérarchique et Récupération

Le processus d'extraction emploie une stratégie hiérarchique en deux étapes :

Enregistrement Global Guidé par l'Ancre : Le détecteur reconstruit l'ancre de référence et effectue une recherche du grossier au fin sur des angles de rotation candidats. Il minimise la perte de correspondance normalisée entre l'ancre récupérée et l'ancre de référence pivotée pour estimer l'angle de rotation dominant.
Raffinement Local Guidé par la Charge Utile : Pour traiter le désalignement résiduel causé par l'interpolation ou le bruit d'inversion, le système définit un ensemble de candidats locaux autour de l'estimation initiale. Il raffine l'angle en maximisant la confiance de vérification du décodeur de tatouage sous-jacent sur la région de la charge utile. La charge utile finale est extraite en utilisant cet angle raffiné.

Contributions Clés

Identification de la Synchronie de Rotation : Les auteurs formalisent la propriété selon laquelle les rotations dans l'espace image induisent des rotations angulaires correspondantes dans le latent initial récupéré, fournissant une base théorique pour la synchronisation dans l'espace latent.
Cadre AnchorMark : Une méthode de tatouage numérique basée sur l'inversion, robuste et sans entraînement, qui combine une ancre de phase multi-fréquence compacte avec une injection calibrée statistiquement et une stratégie de l'enregistrement hiérarchique (du grossier au fin).
Validation Empirique : Des expériences approfondies démontrent qu'AnchorMark améliore considérablement la précision des bits sous des attaques de rotation et des attaques combinées, tout en maintenant la qualité visuelle et la fidélité sémantique.

Résultats Expérimentaux

La méthode a été évaluée sur les modèles Stable Diffusion (v1.5, v2.1, v3.5) et FLUX.1-dev.

Robustesse à la Rotation : Sous des attaques de rotation allant de $\pm 5^\circ$ à $\pm 60^\circ$ , AnchorMark a restauré une précision de bit élevée pour les méthodes de base qui auraient autrement échoué. Par exemple, lorsqu'appliqué à ShapeMark, AnchorMark a atteint une récupération quasi parfaite (Acc $\approx$ 1.00) sur tous les angles testés, alors que la méthode de base ShapeMark est tombée au niveau du hasard ( $\approx$ 0.50) pour les angles plus importants. De même, le Gaussian Shading a vu son taux de détection (TPR) remonter de presque zéro à $\approx$ 0.99.
Attaques Combinées : AnchorMark a maintenu des performances stables (TPR > 0.99, Acc > 0.94) lorsque la rotation était combinée au redimensionnement, à la compression JPEG, au bruit gaussien et au flou médian à travers plusieurs backbones de diffusion.
Qualité d'Image : L'introduction de l'ancre a eu un impact limité sur la qualité de l'image, les changements de FID et de CLIP-Score restant comparables aux méthodes de base.
Études d'Ablation : L'étude a confirmé que la conception multi-fréquence (combinant la robustesse des basses fréquences et la discrimination des hautes fréquences) surpasse la conception mono-fréquence ou les ancres aléatoires, réduisant l'erreur d'estimation de l'angle à moins de $0.5^\circ$ .

Signification et Revendications

L'article affirme que la synchronisation dans l'espace latent est un mécanisme efficace pour un tatouage numérique robuste basé sur l'inversion sous des transformations géométriques. En exploitant la propriété intrinsèque de la Synchronie de Rotation, AnchorMark fournit une solution modulaire et sans entraînement qui peut être appliquée aux schémas de tatouage basés sur l'inversion existants sans modifier le modèle de diffusion sous-jacent ni réentraîner le générateur. La méthode répond avec succès à la lacune critique de la récupération de charge utile multi-bits sous rotation, permettant une provenance de contenu et une protection des droits d'auteur fiables dans des scénarios impliquant des distorsions géométriques.