SLICE: Semantic Latent Injection via Compartmentalized Embedding for Image Watermarking

1. Il Problema

Con la diffusione dei modelli di diffusione (Diffusion Models) per la generazione di immagini, la tracciabilità della provenienza (provenance) è diventata una sfida cruciale. Le tecniche di filigrana (watermarking) tradizionali per modelli generativi presentano due limiti principali:

• Metodi basati sul rumore iniziale (training-free): Tecniche come Tree-Ring o Gaussian Shading inseriscono pattern indipendenti dal contenuto nel rumore iniziale. Questi sono vulnerabili ad attacchi di "forgiatura generativa" (es. Latent Forgery Attack, Regeneration with a Private Model), dove un avversario può rigenerare l'immagine per rimuovere o falsificare la filigrana.
• Metodi semantici globali: Approcci recenti come SEAL legano la verifica della filigrana al contenuto semantico dell'immagine, migliorando la robustezza. Tuttavia, questi metodi utilizzano un binding semantico globale monolitico. Questo li rende vulnerabili ad attacchi di tipo Coherence-Preserving Semantic Injection (CSI): un avversario può modificare localmente elementi critici (es. cambiare l'azione o l'ambiente) mantenendo la coerenza globale dell'immagine. Poiché la verifica dipende da un unico codice semantico globale, l'immagine appare ancora valida nonostante le alterazioni maliziose locali.

2. Metodologia: SLICE

Il paper propone SLICE (Semantic Latent Injection via Compartmentalized Embedding), un framework di filigrana semantica training-free che risolve il problema della manipolazione locale attraverso un'architettura a compartimenti.

Fasi Principali del Framework:

1. Estrazione Semantica Fattorizzata:

   • Invece di usare una descrizione globale, SLICE utilizza un Modello Linguaggio-Visione (VLM, es. Qwen3-VL) e un meta-prompt specifico per decomporre l'immagine di riferimento in quattro fattori semantici distinti:
     • Soggetto (Subject)
     • Ambiente (Environment)
     • Azione (Action)
     • Dettaglio (Detail)
   • Questa decomposizione garantisce che ogni aspetto semantico sia trattato indipendentemente.

2. Iniezione Spaziale Compartimentalizzata:

   • Lo spazio latente iniziale (rumore gaussiano) del modello di diffusione viene diviso in quattro regioni spaziali disgiunte ($\Omega_{sub}, \Omega_{env}, \Omega_{act}, \Omega_{det}$).
   • Ogni fattore semantico viene codificato (tramite hash chiave e codificatore di testo) e ancorato esclusivamente alla propria regione latente dedicata.
   • L'immagine filigranata viene generata partendo da questo rumore latente strutturato.

3. Rilevamento a Tre Stati (Three-State Detection):

   • Durante la verifica di un'immagine sospetta, il sistema:
     1. Esegue l'inversione DDIM per recuperare il rumore latente approssimativo.
     2. Riestrae i descrittori semantici dall'immagine sospetta.
     3. Ricostruisce il rumore di riferimento basato su questi nuovi descrittori.
     4. Confronta il rumore recuperato con quello ricostruito, calcolando il tasso di corrispondenza sia a livello globale che per regione (partizione).
   • Il sistema classifica l'immagine in uno di tre stati:
     • Stato I (Autentico e Intatto): Tutte le regioni e il globale superano la soglia.
     • Stato II (Manomissione Semantica Localizzata): Il globale è valido, ma una o più regioni specifiche (es. "Azione" o "Dettaglio") falliscono la verifica. Questo indica dove è avvenuta la manipolazione.
     • Stato III (Non Filigranato o Corrotto): Il globale fallisce, indicando assenza di filigrana o distruzione massiccia.

3. Contributi Chiave

1. Identificazione della Vulnerabilità: Dimostrazione teorica ed empirica che il binding semantico globale è insufficiente contro attacchi di editing locale coerente.
2. Progettazione SLICE: Un nuovo paradigma che disaccoppia la semantica in fattori e li lega a partizioni spaziali specifiche nel rumore latente, permettendo una verifica granulare.
3. Garanzie Teoriche: Fornitura di una giustificazione teorica per la robustezza della localizzazione delle manomissioni e garanzie statistiche sui tassi di falsi positivi (False Accept Rates), dimostrando che la probabilità di accettare un input non filigranato decade esponenzialmente.
4. Soluzione Pratica: Un metodo training-free che non richiede la ri-addestramento del modello di diffusione, rendendolo immediatamente deployabile.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su Stable Diffusion V2 con attacchi avanzati:

• Resistenza agli Attacchi Generativi:
  • Contro attacchi come LFA, RPM e il potente CSI, i metodi baselines (incluso SEAL) hanno fallito con tassi di successo dell'attacco (ASR) molto alti (fino al 100% per i metodi content-independent e 81% per SEAL contro CSI).
  • SLICE ha ottenuto un ASR estremamente basso: 0% contro LFA, 5% contro RPM e 19% contro l'attacco CSI (che ha compromesso completamente SEAL).
• Robustezza a Perturbazioni Comuni: SLICE mantiene un'alta accuratezza di rilevamento (fino a 0.99) anche dopo rotazioni, compressione JPEG, sfocatura e rumore, poiché la verifica si basa su caratteristiche semantiche di alto livello piuttosto che su pixel.
• Qualità Visiva: L'iniezione della filigrana non degrada la qualità dell'immagine. I punteggi CLIP (allineamento testo-immagine) rimangono quasi invariati e non sono visibili artefatti o distorsioni strutturali.
• Localizzazione: Il caso studio dimostra che SLICE riesce a identificare precisamente quale fattore semantico è stato alterato (es. cambio di genere del soggetto o dell'azione) senza scartare l'intera immagine.

5. Significato e Impatto

SLICE rappresenta un passo avanti fondamentale per la provenance delle immagini AI.

• Sicurezza: Trasforma la verifica della filigrana da un controllo "tutto o nulla" a un sistema diagnostico fine-granularità, rendendo inefficaci gli attacchi che cercano di mantenere la coerenza globale mentre alterano il contenuto locale.
• Fiducia: Permette di distinguere tra immagini autentiche, immagini parzialmente manipolate (dove si può ancora tracciare la provenienza parziale) e falsificazioni complete.
• Integrazione: Sebbene SLICE sia vulnerabile a distorsioni geometriche estreme (es. crop aggressivo), il paper suggerisce che l'integrazione con tecniche di passive forensics (analisi di artefatti di interpolazione) crea un paradigma di difesa congiunta altamente robusto.

In sintesi, SLICE offre una soluzione pratica, robusta e diagnosticamente precisa per proteggere l'integrità semantica delle immagini generate dall'IA, superando i limiti delle tecniche di watermarking attuali.