Sintesi Tecnica: DEMARK – Un attacco Black-Box Query-Free contro le difese di watermarking per i deepfake

1. Definizione del Problema

La rapida proliferazione di deepfake realistici generati da modelli come Stable Diffusion e ChatGPT ha creato urgenti rischi di sicurezza, rendendo necessaria la creazione di watermarking difensivo per l'attribuzione e il rilevamento. Gli attuali paradigmi difensivi si basano su architetture encoder-decoder che incorporano segnali invisibili nelle immagini, sia post-generazione che durante il processo di generazione. Questi schemi presuppongono che i watermark siano intrinsecamente resistenti alla rimozione. Tuttavia, gli autori mettono in discussione tale presupposto, osservando che le difese esistenti sono scarsamente comprese sotto l'azione di avversari avanzati.

I precedenti metodi di attacco affrontano limitazioni significative:

• Attacchi di Distorsione (Distortion Attacks): Spesso introducono artefatti visibili e degradano la qualità dell'immagine.
• Attacchi di Rigenerazione (Regeneration Attacks): Si affidano a grandi modelli generativi pre-addestrati (VAE o modelli di diffusione) che preservano le rappresentazioni latenti che trasportano le informazioni del watermark, limitandone l'efficacia.
• Attacchi Avversari (Adversarial Attacks): Richiedono tipicamente l'accesso ai parametri del modello o estese capacità di interrogazione (querying), rendendoli impraticabili negli scenari reali di tipo black-box.

Esiste una lacuna critica per un attacco black-box, query-free, capace di rimuovere efficacemente i watermark preservando al contempo il realismo percettivo e strutturale richiesto per le immagini deepfake.

2. Metodologia: DEMARK

Gli autori propongono DEMARK, un framework di attacco black-box query-free che sfrutta le vulnerabilità nello spazio latente dei modelli di watermarking encoder-decoder. L'innovazione principale risiede nell'adattare la teoria della Compressione Sensoriale delle Immagini (Image Compressive Sensing - ICS) al dominio del deep learning.

Principi di Design Core

DEMARK sostituisce le matrici di misurazione fisse e le basi sparsificanti presenti nella tradizionale ICS con un'architettura encoder-decoder apprendibile.

1. Codifica Sparsa (Sparse Encoding): Un encoder basato su CNN ($T_{CNN}$) trasforma un'immagine watermarked in una rappresentazione latente sparsa ($Z$). Questo processo è guidato da una Perdita di Codifica Sparsa ($L_{SEL}$), definita come la norma $\ell_1$ di $Z$, che forza la maggior parte degli elementi latenti verso lo zero.
2. Ricostruzione dell'Immagine: Un modulo di ricostruzione ($R_{CNN}$) ripristina l'immagine dalla rappresentazione sparsa. Per garantire che l'output rimanga un deepfake convincente, questo modulo è ottimizzato utilizzando una Perdita Strutturale-Percettiva ($L_{SPL}$), che combina:
   • SSIM: Per la coerenza strutturale a livello di pixel.
   • LPIPS: Per l'allineamento percettivo a livello di feature.

L'Effetto di Dispersione (Dispersal Effect)

L'attacco opera inducendo un "effetto di dispersione" nello spazio latente, caratterizzato da tre proprietà derivate dalla teoria ICS:

• Cambiamento di Sparsità (Sparsity Change - SC): Riduce la densità dei coefficienti significativi, disperdendo gli attributi del watermark su meno posizioni attive.
• Ridistribuzione dell'Intensità (Intensity Redistribution - IR): Diluisce l'energia dei segnali del watermark ridistribuendo l'intensità in modo più uniforme.
• Ridistribuzione Posizionale (Positional Redistribution - PR): Sposta le posizioni degli elementi non nulli, interrompendo l'allineamento tra i pattern del watermark e le loro posizioni latenti originali.

Questi meccanismi collettivamente indeboliscono la robustezza dei watermark incorporati senza richiedere la conoscenza del modello di watermarking o la capacità di interrogare un detector.

3. Contributi Chiave

Il paper apporta i seguenti contributi specifici:

• Primo Attacco Black-Box Query-Free: DEMARK è il primo framework che mira al watermarking difensivo delle immagini per i deepfake senza richiedere i parametri del modello o l'accesso alle query.
• Connessione Teorica: Stabilisce il primo legame tra la teoria della Compressione Sensoriale delle Immagini e gli attacchi al watermarking dei deepfake, formalizzando l'effetto di dispersione attraverso Sparsity Change, Intensity Redistribution e Positional Redistribution.
• Ampia Efficacia: L'attacco è validato su otto schemi state-of-the-art, inclusi sei metodi di post-processing (MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R) e due metodi di in-processing (PTW, SS).
• Efficienza: DEMARK dimostra un'alta praticità, riducendo l'uso di memoria di 2,2×–14,9× e migliorando l'efficienza computazionale di 1,3×–5,7× rispetto agli attacchi basati sulla rigenerazione esistenti (RegenVAE e RegenDM).
• Valutazione della Mitigazione: Gli autori valutano tre strategie di difesa — Image Super-Resolution (ISR), Sparse Watermarking (SW) e Adversarial Training (AT) — e riscontrano che sono ampiamente inefficaci contro DEMARK.

4. Risultati Sperimentali

La valutazione è stata condotta sui dataset OpenImage e COCO contro gli otto schemi di watermarking sopra menzionati.

• Capacità di Attacco: DEMARK ha ridotto l'accuratezza media del rilevamento del watermark (DetectAcc) dal 100% al 32,9% in tutti gli schemi. Ha superato significativamente gli attacchi baseline (Distortion, RegenVAE, RegenDM) nel ridurre sia la Bit Accuracy che la Detection Accuracy.
  • Esempio: Contro gli schemi di post-processing, DEMARK ha ridotto la DetectAcc mediamente del 54,4% rispetto a Distortion, del 9,9% rispetto a RegenVAE e del 51,0% rispetto a RegenDM.
• Integrità dell'Immagine: Nonostante l'aggressiva rimozione dei watermark, DEMARK ha mantenuto un'alta qualità visiva. Le sue prestazioni in PSNR, SSIM, FID e LPIPS sono comparabili o superiori a RegenVAE e sostanzialmente superiori a Distortion e RegenDM.
  • Esempio: DEMARK ha raggiunto un PSNR medio di 28,45 e un SSIM di 0,85, preservando l'aspetto visivo naturale adatto ai deepfake.
• Robustezza della Mitigazione:
  • Image Super-Resolution (ISR): Sorprendentemente, applicare ISR dopo l'attacco ha amplificato l'impatto di DEMARK, abbassando ulteriormente l'accuratezza del rilevamento (ad esempio, dal 29,7% al 12,1% in media).
  • Sparse Watermarking (SW) & Adversarial Training (AT): Queste strategie hanno offerto solo modesti miglioramenti (portando la Detection Accuracy media dal ~25% al ~36%), ma non sono riuscite a neutralizzare DEMARK, che ha comunque superato altri attacchi.

5. Significato e Rivendicazioni

Il paper conclude che gli attuali schemi di watermarking encoder-decoder rimangono altamente vulnerabili alle manipolazioni dello spazio latente. Il significato di DEMARK risiede nella sua capacità di dimostrare che:

1. Lo Spazio Latente è una Superficie di Attacco Critica: La dipendenza dalle rappresentazioni latenti per l'incorporazione dei watermark crea una debolezza strutturale che può essere sfruttata tramite la sparsificazione.
2. Le Difese Esistenti sono Insufficienti: Le strategie di mitigazione standard come la super-risoluzione, il training sparso e l'adversarial training non forniscono una protezione robusta contro questa classe di attacchi.
3. Necessità di Riprogettazione: I risultati sottolineano l'urgenza di metodi di watermarking più robusti che possano salvaguardare contro la manipolazione dei deepfake, suggerendo che le difese future debbano andare oltre i semplici paradigmi encoder-decoder o incorporare l'encoding delle feature latenti multi-livello e la distribuzione adattiva della ridondanza.

Gli autori sottolineano che il loro lavoro è inteso a identificare i rischi di sicurezza per promuovere lo sviluppo di tecniche di watermarking più resilienti per la Generative AI, piuttosto che per facilitare usi malevoli.