🤖 AI

Spread them Apart: Towards Robust Watermarking of Generated Content

यह शोध पत्र जनरेटिव मॉडल्स के लिए एक सुदृढ़, इन्फरेंस-टाइम वॉटरमार्किंग पद्धति प्रस्तावित करता है जो बिना पुन: प्रशिक्षण (retraining) के जनरेट की गई छवियों में पता लगाने योग्य और उपयोगकर्ता-पहचान योग्य चिह्न एम्बेड करता है, जो योगात्मक गड़बड़ी (additive perturbations) और सिंथेटिक निष्कासन हमलों के विरुद्ध प्रमाणित प्रतिरोध प्रदान करता है।

मूल लेखक: Mikhail Pautov, Danil Ivanov, Andrey V. Galichin, Oleg Rogov, Ivan Oseledets

प्रकाशित 2026-03-02

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Mikhail Pautov, Danil Ivanov, Andrey V. Galichin, Oleg Rogov, Ivan Oseledets

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपने अभी-अभी एक उच्च श्रेणी का 3D प्रिंटर खरीदा है जो अविश्वसनीय रूप से यथार्थवादी पेंटिंग, मूर्तियाँ और तस्वीरें बना सकता है। यह इतना अच्छा है कि आप मानव कलाकार के काम और आपके मशीन द्वारा बनाए गए काम के बीच अंतर नहीं कर सकते।

अब, एक समस्या की कल्पना करें: एक बेईमान व्यक्ति आपके मशीन का उपयोग एक नकली उत्कृष्ट कृति (masterpiece) प्रिंट करने के लिए करता है, दावा करता है कि इसे उसने खुद बनाया है, और इसे बेच देता है। या, कोई इसका उपयोग किसी सेलिब्रिटी का "डीपफेक" बनाने के लिए करता है जो उसने कभी कहा ही नहीं। आप कैसे साबित करेंगे कि इसे वास्तव में किसने बनाया है?

यह पेपर एक समाधान पेश करता है जिसे "स्प्रेड देम अपार्ट" (Spread them Apart) कहा जाता है। इसे एक चतुर, अदृश्य सुरक्षा टैग के रूप में समझें जिसे छवि के ऊपर बाद में स्टैम्प करने के बजाय, उसके निर्माण के दौरान ही उसमें समाहित (bake) किया जाता है।

यहाँ सरल उपमाओं (analogies) का उपयोग करके विवरण दिया गया है:

1. समस्या: "परफेक्ट फोर्जरी" (पूर्ण जालसाजी)

जेनरेटिव AI (जैसे कि वे जो टेक्स्ट से चित्र बनाते हैं) इतना उन्नत हो गया है कि नकली चित्र भी असली लगते हैं।

जोखिम: बिना प्रमाण के, कोई भी AI छवि ले सकता है, दावा कर सकता है कि वह उसकी है, और कॉपीराइट कानूनों का उल्लंघन कर सकता है। या, वे किसी भी छिपे हुए प्रमाण को मिटाने की कोशिश कर सकते हैं जिससे पता चलता है कि यह AI-निर्मित था।

2. समाधान: "अदृश्य DNA"

लेखक एक विधि प्रस्तावित करते हैं जो छवि के "DNA" में निर्माण प्रक्रिया के दौरान सीधे एक डिजिटल वॉटरमार्क को समाहित करती है।

यह कैसे काम करता है: जब आप AI से कोई चित्र बनाने के लिए कहते हैं, तो सिस्टम केवल चित्र नहीं बनाता; वह गुप्त रूप से छवि के आंतरिक गणित (internal math) को एक विशिष्ट पैटर्न में ढालने के लिए बदल देता है जो विशेष रूप से आपके (उपयोगकर्ता के) लिए अद्वितीय होता है।
उपमा: कल्पना कीजिए कि एक बेकर केक बना रहा है। केवल केक बनाने के बजाय, वह केक के अंदर स्प्रिंकल्स (sprinkles) को एक विशिष्ट, गुप्त पैटर्न में व्यवस्थित करता है जिसे केवल वही पढ़ सकता है। यदि कोई केक खाने (या काटने) की कोशिश करता है, तो पैटर्न अभी भी अंदर मौजूद रहता है।

3. सीक्रेट सॉस: "स्प्रेड देम अपार्ट" (उन्हें अलग करें)

यही इस पेपर का मुख्य विचार है।

पुराना तरीका: आमतौर पर, वॉटरमार्क एक पेंटिंग की सतह पर एक धुंधले हस्ताक्षर की तरह होते हैं। यदि आप पेंटिंग को धोते हैं या रोशनी बदलते हैं, तो हस्ताक्षर फीके पड़ सकते हैं।
नया तरीका: लेखक "स्प्रेड देम अपार्ट" नामक रणनीति का उपयोग करते हैं।
- कल्पना कीजिए कि आपके पास छवि में दो विशिष्ट पिक्सेल (रंग के छोटे बिंदु) हैं। मान लीजिए कि वे पिक्सेल A और पिक्सेल B हैं।
- अपने गुप्त कोड में "1" छिपाने के लिए, AI यह सुनिश्चित करता है कि पिक्सेल A, पिक्सेल B से थोड़ा अधिक चमकीला हो।
- "0" छिपाने के लिए, यह सुनिश्चित करता है कि पिक्सेल B, पिक्सेल A से थोड़ा अधिक चमकीला हो।
- जादू: AI यह सुनिश्चित करता है कि उनके बीच का अंतर इतना बड़ा हो कि यदि कोई छवि को धुंधला (blur) करने, चमक बदलने या शोर (noise) जोड़ने का प्रयास भी करे, तो भी पिक्सेल A, पिक्सेल B से अधिक चमकीला रहेगा। उनका संबंध इतना "अलग" (spread apart) है कि वह हमले के बावजूद जीवित रह सके।

4. इसे हटाना कठिन क्यों है (द "अनब्रेकेबल सील")

यह पेपर गणितीय रूप से सिद्ध करता है कि यह विधि उन सामान्य तरीकों के विरुद्ध मजबूत है जिनका उपयोग लोग वॉटरमार्क छिपाने के लिए करते हैं:

चमक/कंट्रास्ट (Brightness/Contrast): यदि कोई ब्राइटनेस बढ़ाता है, तो दोनों पिक्सेल अधिक चमकीले हो जाते हैं, लेकिन उनके बीच का अंतर समान रहता है।
रंगों को उलटना (Flipping Colors): यदि कोई छवि को नेगेटिव (काला सफेद हो जाता है) में बदल देता है, तो संबंध उलट जाता है, लेकिन सिस्टम उस उलटफेर को पहचानने के लिए जानता है।
एडवर्सरियल अटैक (Adversarial Attacks): भले ही कोई हैकर सुपर-कंप्यूटर का उपयोग करके विशेष रूप से इस पैटर्न को लक्षित करने और मिटाने की कोशिश करे, गणित दिखाता है कि छवि को खराब किए बिना ऐसा करना अविश्वसनीय रूप से कठिन है।

5. "थ्री-वे" बैकअप प्लान

इसे और भी मजबूत बनाने के लिए, पेपर एक "बेल्ट एंड सस्पेंडर्स" (दोहरी सुरक्षा) दृष्टिकोण का सुझाव देता है।

केवल पिक्सेल में गुप्त जानकारी छिपाने के बजाय, वे इसे छवि के गणितीय "आकार" (फ्रीक्वेंसी पैटर्न का उपयोग करके) में भी छिपाते हैं।
उपमा: यह एक पत्थर पर तीन जगहों पर गुप्त संदेश लिखने जैसा है:
1. पत्थर की सतह पर।
2. पत्थर की क्रिस्टल संरचना के भीतर।
3. पत्थर द्वारा डाली गई छाया में।
- भले ही कोई सतह को छील दे (पिक्सेल हमला) या पत्थर को पिघला दे (ज्यामितीय हमला), संदेश अभी भी छाया या क्रिस्टल संरचना से प्राप्त किया जा सकता है।

6. परिणाम: इसे किसने बनाया?

जब कोई संदिग्ध छवि सामने आती है, तो AI सिस्टम का मालिक एक "डिकोडर" चला सकता है:

वे पिक्सेल के गुप्त जोड़ों को देखते हैं।
वे पैटर्न की जांच करते हैं (क्या A, B से अधिक चमकीला है? या B, A से अधिक चमकीला है?)।
वे गुप्त कोड को पुनर्गठित (reconstruct) करते हैं।
फैसला: यदि कोड यूजर #42 से मेल खाता है, तो वे जानते हैं कि यूजर #42 ने इसे बनाया है। यदि कोड अर्थहीन (gibberish) है, तो वे जानते हैं कि इसे उनके सिस्टम द्वारा नहीं बनाया गया था।

सारांश

"स्प्रेड देम अपार्ट" AI-जनरेटेड छवियों में एक स्थायी, अटूट आईडी कार्ड को समाहित करने का एक तरीका है। इसके लिए AI को फिर से प्रशिक्षित करने की आवश्यकता नहीं है; यह केवल निर्माण के अंतिम चरणों को सूक्ष्म रूप से बदल देता है ताकि पिक्सेल के बीच एक गुप्त संबंध इतना मजबूत हो सके कि उसे मिटाने के किसी भी प्रयास से बचाया जा सके। यह कार पर लगे स्टिकर (जिसे आसानी से निकाला जा सकता है) और कार के फ्रेम में ठप्पे के रूप में अंकित VIN नंबर (जिसे नष्ट किए बिना हटाना कठिन है) के बीच का अंतर है।

यहाँ शोध पत्र "Spread them Apart: Towards Robust Watermarking of Generated Content" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

जेनरेटिव मॉडल्स, विशेष रूप से डिफ्यूजन मॉडल्स (जैसे, Stable Diffusion) की तीव्र प्रगति ने वास्तविक और AI-जनरेटेड छवियों के बीच अंतर करना कठिन बना दिया है। यह क्षमता दो महत्वपूर्ण नैतिक और कानूनी चुनौतियों को जन्म देती है:

सामग्री सत्यापन (Content Verification): यह स्वतः सत्यापित करने में असमर्थता कि कोई डिजिटल वस्तु कृत्रिम रूप से उत्पन्न की गई है या नहीं (जैसे, डीपफेक)।
उपयोगकर्ता एट्रिब्यूशन (User Attribution): उन बेईमान उपयोगकर्ताओं का जोखिम जो उत्पन्न सामग्री पर विशेष कॉपीराइट का दावा करते हैं या स्वामित्व के निशानों को हटाकर लाइसेंस समझौतों का उल्लंघन करते हैं।

मौजूदा वॉटरमार्किंग विधियों के लिए अक्सर जेनरेटिव मॉडल को फिर से प्रशिक्षित (end-to-end training) करने की आवश्यकता होती है या वे विशिष्ट पोस्ट-प्रोसेसिंग हमलों (जैसे, ज्यामितीय रूपांतरण, एडवरसैरियल हमले) के विरुद्ध पर्याप्त मजबूत नहीं होती हैं। लेखक एक ऐसा समाधान प्रस्तावित करते हैं जो बिना मॉडल को पुन: प्रशिक्षित किए, इन्फरेंस चरण (inference phase) के दौरान वॉटरमार्क को एम्बेड करता है, जिससे यह एडिटिव (additive) और मल्टीप्लिकेटिव (multiplicative) दोनों प्रकार के व्यवधानों के विरुद्ध मजबूत सुनिश्चित होता है।

2. कार्यप्रणाली: "Spread them Apart"

मुख्य फ्रेमवर्क, जिसका नाम Spread them Apart है, इमेज जनरेशन के दौरान इमेज के लेटेंट रिप्रेजेंटेशन (latent representation) को अनुकूलित करके डिजिटल वॉटरमार्क एम्बेड करता है।

A. मुख्य तंत्र (पिक्सेल स्तर पर)

डायरेक्टली शोर (noise) या फ्रीक्वेंसी घटकों को संशोधित करने के बजाय, यह विधि उपयोगकर्ता की गुप्त कुंजी (secret key) के आधार पर पिक्सेल तीव्रता के जोड़ों के बीच विशिष्ट असमानताओं (inequalities) को लागू करती है।

कुंजी निर्माण (Key Generation): पंजीकरण के समय, एक उपयोगकर्ता $u_i$ को एक पब्लिक वॉटरमार्क $w(u_i)$ (एक बाइनरी स्ट्रिंग) और एक प्राइवेट सीक्रेट $s(u_i)$ (इंडेक्स जोड़ों $\{a_j, b_j\}$ का एक सेट) आवंटित किया जाता है।
एम्बेडिंग नियम (Embedding Rule): वॉटरमार्क के प्रत्येक बिट $w_j$ $w_{j}$ के लिए:
- यदि $w_j = 0$ , तो मॉडल यह सुनिश्चित करता है कि पिक्सेल तीव्रता $x_{a_j} \ge x_{b_j}$ हो।
- यदि $w_j = 1$ , तो मॉडल यह सुनिश्चित करता है कि $x_{a_j} < x_{b_j}$ हो।
अनुकूलन (Optimization): डिफ्यूजन इन्फरेंस प्रक्रिया के दौरान, लेटेंट वेक्टर $z$ $z$ को एक कस्टम लॉस फंक्शन $\mathcal{L}$ $L$ को कम करने के लिए अनुकूलित किया जाता है:
$\mathcal{L} = \lambda_{wm}\mathcal{L}_{wm} + \lambda_{qual}\mathcal{L}_{qual}$
- $\mathcal{L}_{wm}$ : सीक्रेट की द्वारा परिभाषित पिक्सेल असमानता बाधाओं के उल्लंघन को दंडित करता है।
- $\mathcal{L}_{qual}$ : इमेज क्वालिटी को बनाए रखने के लिए LPIPS मीट्रिक का उपयोग करता है ताकि गिरावट को रोका जा सके।
एक्सट्रैक्शन (Extraction): वॉटरमार्क का पता लगाने के लिए, मालिक सीक्रेट की का उपयोग करके पिक्सेल जोड़ों की जाँच करता है। यदि असमानता बनी रहती है, तो बिट को डिकोड किया जाता है; अन्यथा, इसे उलट (flip) दिया जाता है।

B. मजबूती विस्तार (फ्रीक्वेंसी डोमेन)

ज्यामितीय रूपांतरणों (रोटेशन, ट्रांसलेशन) को संभालने के लिए, जो पिक्सेल स्थितियों को बाधित करते हैं, लेखक इस विधि को निम्नलिखित में एक साथ वॉटरमार्क एम्बेड करने के लिए विस्तारित करते हैं:

पिक्सेल स्पेस: जैसा कि ऊपर वर्णित है।
ट्रांसलेशन इनवेरिएंट्स ( $\gamma_t$ ): फूरियर ट्रांसफॉर्म (Fourier Transform) के परिमाण का उपयोग करके (थ्योरम 1), जो ट्रांसलेशन के प्रति अपरिवर्तनीय (invariant) है।
रोटेशन इनवेरिएंट्स ( $\gamma_r$ ): फूरियर-मेलिन ट्रांसफॉर्म (Fourier-Mellin Transform) के परिमाण का उपयोग करके (थ्योरम 2), जो रोटेशन और स्केलिंग के प्रति अपरिवर्तनीय है।

लॉस फंक्शन को इन इनवेरिएंट फीचर्स पर बाधाओं को लागू करने के लिए संवर्धित किया जाता है, जिससे एक "3-वॉटरमार्क" सिस्टम (पिक्सेल + ट्रांसलेशन इनवेरिएंट + रोटेशन इनवेरिएंट) बनता है।

C. एट्रिब्यूशन लॉजिक (Attribution Logic)

सिस्टम एक डबल-टेल डिटेक्शन (double-tail detection) नियम का उपयोग करता है। एक इमेज को उपयोगकर्ता $u_i$ के रूप में तब माना जाता है जब निकाले गए वॉटरमार्क और उपयोगकर्ता को आवंटित वॉटरमार्क के बीच हैमिंग डिस्टेंस (Hamming distance) या तो बहुत कम (उच्च मिलान) हो या बहुत अधिक (उच्च बेमेल, प्रभावी रूप से "फ्लिप्ड" मिलान) हो। यह डिज़ाइन विशेष रूप से बिट-फ्लिपिंग हमलों का मुकाबला करने के लिए बनाया गया है।

3. प्रमुख योगदान

इन्फरेंस-टाइम एम्बेडिंग: यह विधि बिना जेनरेटिव मॉडल को पुन: प्रशिक्षित किए जनरेशन प्रक्रिया के दौरान वॉटरमार्क एम्बेड करती है, जिससे यह Stable Diffusion जैसे प्री-ट्रेंड मॉडल्स के लिए लागू योग्य हो जाती है।
सैद्धांतिक मजबूती गारंटी:
- एडिटिव परमटर्बेशन्स (Additive Perturbations): लेखक सिद्ध करते हैं कि वॉटरमार्क सीमित परिमाण ( $\|\epsilon\|_\infty < \Delta$ ) के एडिटिव नॉइज़ के विरुद्ध मजबूत है।
- मल्टीप्लिकेटिव/एक्सपोनेंशियल हमले: यह विधि मल्टीप्लिकेटिव परमटर्बेशन्स (जैसे, कंट्रास्ट परिवर्तन, गामा सुधार) के प्रति स्वाभाविक रूप से मजबूत है क्योंकि पिक्सेल तीव्रता का सापेक्ष क्रम ( $x_a$ बनाम $x_b$ ) इन ऑपरेशन्स के तहत सुरक्षित रहता है।
ज्यामितीय मजबूती (Geometric Robustness): फूरियर और फूरियर-मेलिन इनवेरिएंट्स का उपयोग करके, यह विधि रोटेशन और ट्रांसलेशन के विरुद्ध मजबूती प्राप्त करती है, जो आमतौर पर पिक्सेल-आधारित वॉटरमार्किंग स्कीम्स को विफल कर देते हैं।
दोहरी कार्यक्षमता: यह फ्रेमवर्क एक साथ कंटेंट डिटेक्शन (क्या यह AI-जनरेटेड है?) और यूजर एट्रिब्यूशन (इसे किसने जनरेट किया?) दोनों समस्याओं को हल करता है।

4. प्रयोगात्मक परिणाम

इस विधि का मूल्यांकन DiffusionDB डेटासेट (1,000 इमेज, 100-बिट वॉटरमार्क) का उपयोग करके Stable Diffusion v2 पर किया गया। इसकी तुलना अत्याधुनिक विधियों: Stable Signature, SSL, AquaLora, और WOUAF से की गई।

हमलों के प्रति मजबूती (Robustness to Attacks):
- पिक्सेल/इंटेंसिटी हमले: प्रस्तावित विधि ने ब्राइटनेस, कंट्रास्ट, गामा सुधार और शार्पनिंग के विरुद्ध लगभग पूर्ण मजबूती (औसत बिट-वाइज एरर < 0.003) प्राप्त की।
- एडवरसैरियल हमले: इसने प्रतिस्पर्धियों (जैसे, Stable Signature: 0.487) की तुलना में व्हाइट-बॉक्स PGD एडवरसैरियल हमलों के विरुद्ध बेहतर प्रतिरोध (एरर: 0.064) प्रदर्शित किया।
- ज्यामितीय हमले: "STA(3)" संस्करण (इनवेरिएंट्स का उपयोग करके) ने रोटेशन और ट्रांसलेशन के विरुद्ध उच्च ट्रू पॉजिटिव रेट (TPR > 0.95) बनाए रखा, जबकि बेसलाइन पिक्सेल-ओनली विधि पूरी तरह विफल रही।
एट्रिब्यूशन सटीकता (Attribution Accuracy):
- विधि ने एट्रिब्यूशन कार्य के लिए अधिकांश हमलों में 1.000 का TPR प्राप्त किया।
- इसने $10^{-6}$ का फॉल्स पॉजिटिव रेट (FPR) बनाए रखा, जो गलत एट्रिब्यूशन के विरुद्ध उच्च सुरक्षा सुनिश्चित करता है।
तुलना: विधि ने लंबी वॉटरमार्क लंबाई (प्रतिस्पर्धियों के 30–48 बिट्स के मुकाबले 100 बिट्स) का समर्थन करते हुए मजबूती में सभी बेसलाइन्स को पीछे छोड़ दिया या उनके बराबर रही।

5. महत्व

यह शोध पत्र जेनरेटिव AI के शासन (governance) की दिशा में एक महत्वपूर्ण कदम है। यह सिद्ध करके कि वॉटरमार्क को पुनः प्रशिक्षण के बिना एम्बेड किया जा सकता है और यह मल्टीप्लिकेटिव और ज्यामितीय हमलों के विरुद्ध मजबूत बना रहता है, "Spread them Apart" फ्रेमवर्क निम्नलिखित के लिए एक व्यावहारिक, तैनात करने योग्य समाधान प्रदान करता है:

कॉपीराइट संरक्षण: जेनरेटिव कंटेंट को विशिष्ट उपयोगकर्ताओं तक ट्रैक करने की अनुमति देकर, जो अनधिकृत कॉपीराइट दावों को रोकता है।
सामग्री प्रामाणिकता: AI-जनरेटेड डीपफेक और सिंथेटिक मीडिया का पता लगाने के लिए एक विश्वसनीय तंत्र प्रदान करना।
नियामक अनुपालन (Regulatory Compliance): लेबलिंग और ट्रैकिंग के लिए उभरते कानूनी आवश्यकताओं को पूरा करने वाला एक तकनीकी मानक प्रदान करना।

बाउंडेड एडिटिव नॉइज़ के विरुद्ध मजबूती की सैद्धांतिक गारंटी और मल्टीप्लिकेटिव परिवर्तनों के प्रति डिज़ाइन-आधारित मजबूती, इस दृष्टिकोण को उन सामान्य इमेज मैनिपुलेशन तकनीकों के विरुद्ध विशेष रूप से लचीला बनाती है जिनका उपयोग वॉटरमार्क हटाने के लिए किया जाता है।