💻 computer science

SHIFT: Stochastic Hidden-Trajectory Deflection for Removing Diffusion-based Watermark

Il paper introduce SHIFT, un attacco senza addestramento che sfrutta la ricampionatura stocastica per deviare le traiettorie di diffusione e rimuovere efficacemente i watermark basati su tale tecnologia, garantendo al contempo un'elevata qualità visiva e semantica dell'immagine generata.

Autori originali: Rui Bao, Zheng Gao, Xiaoyu Li, Xiaoyan Feng, Yang Song, Jiaojiao Jiang

Pubblicato 2026-04-01

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Rui Bao, Zheng Gao, Xiaoyu Li, Xiaoyan Feng, Yang Song, Jiaojiao Jiang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🎨 Il Problema: L'Impronta Digitale Invisibile

Immagina che gli artisti di oggi non usino pennelli, ma un "pennello magico" chiamato Intelligenza Artificiale Diffusiva. Questo pennello crea immagini incredibili partendo dal nulla, come se disegnasse su una tela piena di nebbia che si dirada piano piano fino a rivelare un quadro.

Per proteggere questi quadri digitali e dire "Questo è stato fatto da un'IA, non da un umano", gli scienziati hanno inventato le filigrane (watermark).

Come funzionano? Non sono un timbro visibile. Sono come un codice segreto nascosto nel modo esatto in cui il pennello magico ha mosso la mano per creare l'immagine. È come se l'artista lasciasse un'impronta digitale unica nel "percorso" che ha fatto il pennello per arrivare all'immagine finale.
La verifica: Per controllare se un'immagine è autentica, un detective (il sistema di verifica) prova a riavvolgere il nastro. Cerca di ricostruire il percorso esatto del pennello partendo dall'immagine finita. Se il percorso torna esattamente al punto di partenza con il codice segreto intatto, l'immagine è "marcata".

🕵️‍♂️ La Scoperta: Il Tocco Magico di SHIFT

Gli autori di questo studio (Rui Bao, Zheng Gao e colleghi) hanno scoperto un punto debole in tutti questi sistemi di sicurezza. Hanno notato che tutti i detective si fidano ciecamente di una cosa: che il percorso del pennello sia stato perfettamente lineare e prevedibile.

Hanno pensato: "E se invece di seguire la strada dritta, facessimo fare al pennello un giro turistico casuale?"

Hanno creato SHIFT (Stochastic Hidden-Trajectory Deflection), che è come un "trucco magico" per ingannare il detective senza rovinare il quadro.

🎢 Come Funziona SHIFT (L'Analogia del Treno)

Immagina che l'immagine generata sia un treno che viaggia su un binario specifico (il percorso dell'IA) per arrivare alla stazione (l'immagine finale). La filigrana è nascosta proprio su quel binario.

SHIFT fa due cose semplici ma geniali:

Fase 1: Il "Rimbalzo" (Diffusione Parziale)
Prendi il treno che è già arrivato alla stazione (l'immagine con la filigrana) e lo rimetti sui binari, ma lo fai "indietreggiare" di un po'. Non lo butti giù, ma lo sposti leggermente indietro nel tempo. In questo modo, le tracce specifiche del binario originale (la filigrana) iniziano a sbiadire, come se il treno avesse perso un po' della sua rotta precisa.
Fase 2: Il "Giro Turistico Casuale" (Ricampionamento Stocastico)
Qui arriva la magia. Invece di far ripartire il treno sullo stesso binario dritto (come farebbe un sistema normale), SHIFT introduce un po' di casualità. Immagina di lanciare dei dadi ad ogni fermata del treno.
- Il treno continua a viaggiare verso una destinazione simile (l'immagine finale rimane bellissima e riconoscibile, il paesaggio è lo stesso).
- Ma il percorso che fa per arrivarci è completamente nuovo e diverso. Ha preso scorciatoie, ha fatto curve inaspettate.

Il risultato?
Quando il detective prova a "riavvolgere il nastro" per cercare la filigrana, si trova di fronte a un treno che ha preso un percorso diverso. Il detective cerca il vecchio binario, ma non lo trova più! Il codice segreto è sparito perché il treno non ha più seguito la strada originale.

🛡️ Perché è così potente?

Nessuna conoscenza necessaria: Non serve sapere quale tipo di filigrana è stata usata (come un codice segreto specifico). Funziona su tutti i tipi di filigrane perché attacca il "percorso" stesso, non il codice.
Nessun addestramento: Non serve insegnare nulla all'IA. È un trucco matematico che si applica subito.
Qualità perfetta: A differenza di altri metodi che "sporcavano" l'immagine per nascondere la filigrana (rendendola sgranata o strana), SHIFT mantiene l'immagine perfetta. L'immagine finale è identica all'originale agli occhi umani, ma per l'IA è come se fosse stata creata da zero con un percorso diverso.

📊 I Risultati in Pillole

Gli autori hanno testato SHIFT su 9 diversi metodi di sicurezza (come Tree-Ring, RingID, ecc.).

Risultato: SHIFT ha avuto successo nel 95% - 100% dei casi.
Confronto: I vecchi metodi di attacco fallivano spesso (specialmente contro i sistemi più robusti) o rovinavano la qualità dell'immagine. SHIFT invece vince sempre e mantiene l'immagine bella.

💡 Conclusione: Cosa significa per il futuro?

Questo studio ci dice che la sicurezza basata sul "percorso perfetto" dell'IA è fragile. È come costruire una fortezza basandosi sul fatto che nessuno può cambiare la strada per arrivarci. SHIFT ci mostra che basta un po' di "casualità controllata" per cambiare strada e ingannare il sistema.

In sintesi: SHIFT è come un mago che prende un'immagine protetta da un sigillo invisibile, la fa "tornare indietro" di un passo e poi la fa "ricrescere" con un po' di caos controllato. Il risultato è la stessa immagine, ma il sigillo invisibile è svanito perché il percorso per crearlo è cambiato.

È un avvertimento per chi crea queste tecnologie: non possiamo fidarci solo della "traccia" del percorso, dobbiamo trovare nuovi modi per proteggere i nostri contenuti digitali.

1. Il Problema: La Vulnerabilità della Coerenza della Traiettoria

Le tecniche di watermarking basate sui modelli di diffusione (come Tree-Ring, RingID, Gaussian Shading, ecc.) hanno guadagnato popolarità per tracciare l'origine dei contenuti generati dall'IA. Questi metodi incorporano il filigrana modificando il rumore iniziale, i latenti intermedi o il percorso di diffusione inversa.

Tuttavia, il paper identifica una vulnerabilità fondamentale e condivisa da tutti questi schemi:

Assunzione Critica: La verifica del filigrana funziona solo se la "traiettoria di diffusione" (il percorso dal rumore iniziale all'immagine finale) può essere ricostruita fedelmente.
Il Punto Debole: Tutti i metodi di verifica attuali si basano sull'inversione deterministica (es. DDIM inversion) per risalire al rumore iniziale. Se la relazione tra l'immagine e il rumore originale è preservata, il filigrana viene rilevato.
La Minaccia Esistente: Gli attacchi precedenti (basati su ottimizzazione o rigenerazione deterministica) falliscono contro i filigrana semantici perché tendono a preservare le informazioni strutturali della traiettoria originale o richiedono costi computazionali proibitivi per immagine.

2. Metodologia: SHIFT (Stochastic Hidden-Trajectory Deflection)

Gli autori propongono SHIFT, un attacco senza addestramento (training-free) e agnostico rispetto al tipo di filigrana. L'obiettivo è deviare la traiettoria generativa nello spazio latente in modo che l'immagine ricostruita sia semanticamente identica all'originale ma statisticamente scollegata dal percorso che contiene il filigrana.

SHIFT opera in due fasi:

Fase I: Diffusione Parziale in Avanti (Partial Forward Diffusion)

L'immagine filigranata ( $x_w$ ) viene codificata nel suo spazio latente ( $z_0$ ) tramite un VAE pre-addestrato.
Viene applicato un processo di diffusione in avanti controllato fino a un timestep intermedio $t_\lambda$ .
Questo processo sostituisce progressivamente le informazioni specifiche della traiettoria originale con rumore gaussiano isotropo, attenuando il segnale del filigrana mentre mantiene la struttura semantica di base.
Il parametro $\lambda$ controlla il compromesso tra fedeltà semantica ed efficacia dell'attacco.

Fase II: Risampionamento Stocastico Inverso (Stochastic Reverse Resampling)

Questa è la fase cruciale che distingue SHIFT dagli attacchi deterministici.
Invece di usare un campionatore deterministico (come DDIM) che seguirebbe un percorso unico e prevedibile, SHIFT utilizza un campionatore stocastico ancestrale (es. Euler ancestral sampler).
Ad ogni passo inverso, viene iniettato nuovo rumore browniano ( $\xi_t$ ).
Effetto: Questo rumore casuale devia la traiettoria generativa su un percorso completamente nuovo. Anche se l'immagine finale mantiene alta fedeltà visiva (grazie alla funzione di punteggio pre-addestrata che guida verso la varietà delle immagini naturali), il percorso latente attraversato è statisticamente disaccoppiato dal percorso originale contenente il filigrana.
Quando il difensore tenta di eseguire l'inversione DDIM sull'immagine attaccata, il rumore recuperato non corrisponde al filigrana originale, fallendo la verifica.

3. Contributi Chiave

Identificazione della Vulnerabilità Unificata: Dimostrano che la coerenza della traiettoria è un punto debole sistematico in tutti i paradigmi di watermarking basati sulla diffusione, indipendentemente dal meccanismo di embedding.
Attacco Training-Free: SHIFT non richiede la conoscenza del modello di watermarking, della chiave segreta, del prompt originale o dell'ottimizzazione avversaria. Utilizza solo un modello di diffusione pubblico pre-addestrato.
Garanzie Teoriche: Forniscono una dimostrazione formale basata sulla distanza di Wasserstein. Dimostrano che il rumore recuperato dall'immagine attaccata è statisticamente indipendente dal rumore originale del filigrana, a differenza degli attacchi deterministici che non riescono a rompere questa dipendenza.
Efficacia Universale: L'attacco funziona su nove metodi rappresentativi che coprono tre paradigmi: spazio del rumore, dominio della frequenza e metodi basati su ottimizzazione.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su nove metodi di watermarking (inclusi Tree-Ring, RingID, Gaussian Shading, SEAL, ecc.) utilizzando Stable Diffusion v2.1.

Tasso di Successo dell'Attacco (ASR): SHIFT raggiunge un tasso di successo compreso tra il 95% e il 100% su tutti i metodi testati, con una media del 97.8%.
- Supera significativamente gli attacchi "Black-box" (96.8%) e "Forgery" (81.3%), specialmente contro metodi robusti come Tree-Ring (SHIFT: 98% vs Black-box: 72%) e Gaussian Shading (SHIFT: 97% vs Forgery: 4%).
Qualità dell'Immagine:
- CLIP Score: SHIFT ottiene il punteggio più alto (32.194), indicando che le immagini attaccate mantengono la massima coerenza semantica con il prompt originale.
- FID (Fréchet Inception Distance): SHIFT ottiene il FID più basso (73.471), indicando che la distribuzione delle immagini generate è molto più vicina a quella delle immagini reali rispetto agli altri attacchi (che mostrano un degrado significativo della qualità visiva).
Decoupling della Traiettoria: L'analisi delle distanze ( $L_1$ e $L_2$ ) tra il rumore recuperato e il rumore originale mostra che SHIFT sposta sistematicamente i campioni in una regione dello spazio latente molto più distante rispetto agli altri metodi, confermando la rottura della coerenza della traiettoria.

5. Significato e Implicazioni

Il lavoro di SHIFT ha implicazioni profonde per la sicurezza dell'IA generativa:

Ridefinizione della Sicurezza: Dimostra che la robustezza dei filigrana basati sulla diffusione è illusoria se si basa esclusivamente sulla reversibilità deterministica del processo di generazione.
Necessità di Nuovi Paradigmi: Suggerisce che i futuri sistemi di provenienza (provenance) non devono basarsi sulla ricostruzione di un'unica traiettoria deterministica, ma devono resistere a deviazioni stocastiche.
Accessibilità: Poiché l'attacco non richiede addestramento né ottimizzazione iterativa costosa, rappresenta una minaccia immediata e scalabile contro l'attuale stato dell'arte dei filigrana per l'IA.

In sintesi, SHIFT sfrutta la natura intrinsecamente stocastica dei processi di diffusione inversa per "nascere" la traiettoria originale, rendendo i filigrana attuali inefficaci senza compromettere la qualità visiva del contenuto generato.