🤖 machine learning

Towards Robust Content Watermarking Against Removal and Forgery Attacks

Questo articolo presenta ISTS, un nuovo paradigma di filigrana specifico per istanza con rilevamento a due lati che, controllando dinamicamente l'iniezione in base alla semantica dei prompt e migliorando il rilevamento, garantisce una protezione superiore contro gli attacchi di rimozione e falsificazione nei modelli di diffusione testo-immagine.

Autori originali: Yifan Zhu, Yihan Wang, Xiao-Shan Gao

Pubblicato 2026-04-09

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Yifan Zhu, Yihan Wang, Xiao-Shan Gao

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un forno magico (chiamato "Modello di Diffusione") che può creare quadri incredibili partendo da una semplice descrizione scritta, come "un gatto che beve il caffè su Marte".

Il problema è: chi è il vero autore? È il computer o l'artista che ha scritto la descrizione? E se qualcuno ruba il quadro digitale e dice "l'ho fatto io", come possiamo provarlo?

Per risolvere questo, gli scienziati usano i filigrane digitali (watermark). È come nascondere un piccolo timbro invisibile dentro l'immagine, che solo il creatore del forno sa come leggere.

Tuttavia, c'è un grosso problema: i ladri digitali sono diventati furbi. Hanno scoperto che i timbri usati finora sono sempre gli stessi e sempre nello stesso posto. È come se tutti i quadri avessero lo stesso timbro nascosto nell'angolo in basso a destra. Un ladro può facilmente:

Rimuovere il timbro: Pulire l'angolo e dire "Non c'è nessun timbro, questo è mio!".
Falsificare il timbro: Prendere un quadro che non ha timbri e stampare sopra lo stesso timbro finto, dicendo "Guarda, c'è il timbro, quindi l'ho fatto io!".

La Soluzione: ISTS (Il Forno Magico Intelligente)

Gli autori di questo paper, Yifan Zhu e colleghi, hanno creato un nuovo metodo chiamato ISTS. Immagina che il loro forno magico non sia più un semplice stampatore, ma un artista che pensa.

Ecco come funziona, spiegato con metafore semplici:

1. Il Timbro che Cambia Forma e Posizione (Watermarking Specifico per Istanza)

Nei vecchi metodi, il timbro era come un adesivo fisso: uguale per tutti i quadri, sempre nello stesso punto.
Con ISTS, il timbro è come un camaleonte.

Come funziona: Prima di stampare il quadro, il sistema guarda la tua descrizione (il "prompt"). Se scrivi "un leone", il timbro sarà rosso e apparirà in alto a sinistra. Se scrivi "un'automobile", il timbro sarà blu e apparirà in basso a destra.
Perché è geniale: Il ladro non sa mai dove cercare il timbro o che forma avrà. Se prova a cancellare l'angolo in alto a sinistra, potrebbe aver cancellato il timbro sbagliato (perché per quel quadro specifico il timbro era in basso a destra). È come cercare di rubare un oggetto da una stanza dove le luci si accendono e spengono in posti diversi ogni secondo.

2. La Doppia Verifica (Rilevamento a Due Facce)

Nei vecchi metodi, il controllo era come un guardiano che chiedeva: "Hai il timbro bianco?". Se il ladro faceva un timbro nero, il guardiano non lo vedeva e lasciava passare il ladro.
Con ISTS, il guardiano è più intelligente. Chiede: "Hai il timbro bianco OPPURE hai il timbro nero?".

Come funziona: Il sistema controlla se l'immagine ha il timbro originale o se ha una versione "speculare" (come un'immagine riflessa nello specchio).
Perché è geniale: Se un ladro prova a cancellare il timbro creando un effetto opposto (come un'ombra negativa), il nuovo sistema lo vede comunque. È come se il guardiano controllasse sia la tua faccia che la tua ombra: se una delle due è giusta, ti riconosce.

Il Risultato: Perché è meglio?

Gli autori hanno fatto degli esperimenti (come dei "giochi di ruolo" tra creatori e ladri) e hanno scoperto che:

Contro i ladri che cancellano: I vecchi metodi venivano sconfitti facilmente (il timbro spariva). Con ISTS, i ladri faticano moltissimo perché non sanno mai quale "zona" del quadro attaccare.
Contro i ladri che falsificano: I vecchi metodi venivano ingannati facilmente (il timbro falso funzionava). Con ISTS, i timbri falsi non funzionano perché non corrispondono alla "personalità" dell'immagine (il timbro non si adatta al soggetto del quadro).
Qualità dell'immagine: Il quadro rimane bello e fedele alla descrizione, non viene rovinato dal timbro.

In Sintesi

Pensa a ISTS come a un sistema di sicurezza dinamico.
Mentre i vecchi sistemi erano come una serratura statica (facile da scassinare se sai la combinazione), il nuovo sistema è come una serratura che cambia combinazione ogni volta che la usi, basandosi su cosa stai cercando di aprire.

Questo rende quasi impossibile per i ladri rubare l'identità di un'immagine generata dall'IA o falsificare la paternità di un'opera, proteggendo così i diritti degli artisti e la verità delle immagini che vediamo online.

1. Il Problema

La diffusione di modelli generativi di immagini (come Stable Diffusion, DALL-E, Midjourney) ha sollevato gravi preoccupazioni riguardo alla protezione del copyright, alla provenienza delle immagini e all'attribuzione della paternità. Sebbene il watermarking (filigrana) sia emerso come soluzione promettente per verificare l'origine di un'immagine, le tecniche attuali presentano vulnerabilità critiche di fronte ad attacchi avversari:

Attacchi di Rimozione (Removal Attacks): Gli attaccanti modificano leggermente un'immagine filigranata per farla passare come non filigranata, eliminando il marchio senza degradare significativamente la qualità percepibile.
Attacchi di Forgery (Forgery Attacks): Gli attaccanti prendono un'immagine benigna (non filigranata) e la alterano per farla sembrare filigranata, falsificando così la provenienza.

Le tecniche esistenti (es. Tree-Ring, Gaussian-Shading, RingID) utilizzano spesso schemi di filigrana statici (stesso pattern, stesso momento di iniezione per tutte le immagini). Questa staticità fornisce agli attaccanti conoscenze a priori che permettono loro di inferire le caratteristiche strutturali del watermark, facilitandone la rimozione o la falsificazione, specialmente quando hanno accesso a un'immagine di riferimento o a un set di dati.

2. Metodologia Proposta: ISTS

Gli autori propongono un nuovo paradigma chiamato ISTS (Instance-Specific watermarking with Two-Sided detection). Questo approccio si basa su due pilastri fondamentali per aumentare la resilienza:

A. Watermarking Specifico per Istanza (Instance-Specific Watermarking)

Invece di applicare un pattern fisso, ISTS personalizza dinamicamente sia il pattern della filigrana che il momento di iniezione per ogni singola generazione di immagine, basandosi sulla semantica del prompt dell'utente.

Processo:
1. Si genera prima un'immagine non filigranata.
2. Si estrae un vettore di caratteristiche semantiche utilizzando un encoder CLIP.
3. Un selettore basato su semantica (addestrato con clustering K-Means) mappa queste caratteristiche ai parametri di iniezione: il tempo ( $t$ , lo step di denoising) e la posizione ( $l$ , le coordinate nel dominio della frequenza).
4. Si rigenera l'immagine partendo dallo stesso prompt, ma si inietta il pattern di filigrana solo allo step $t$ e alla posizione $l$ specifica.
Vantaggio: Poiché ogni immagine ha un "impronta" temporale e spaziale unica legata al suo contenuto semantico, un attaccante non può prevedere dove o quando cercare il pattern. Questo rende inefficaci gli attacchi basati sulla media di più immagini o sulla minimizzazione della distanza con un singolo riferimento.

B. Rilevamento a Due Fianchi (Two-Sided Detection)

Le tecniche tradizionali utilizzano un rilevamento "a un solo lato", confrontando il latente dell'immagine sospetta con il pattern originale. Questo crea una vulnerabilità: un attaccante può ottimizzare l'immagine per generare una rappresentazione latente opposta, annullando il rilevamento.

Soluzione: ISTS introduce un criterio di rilevamento che calcola la distanza minima tra il pattern e sia la rappresentazione latente originale che la sua opposta.
Formula: La metrica di rilevamento è $d = \min(\text{distanza con pattern}, \text{distanza con pattern opposto})$ .
Vantaggio: Questo rende il sistema immune agli attacchi che cercano di invertire il segnale latente, mantenendo alta l'accuratezza anche in condizioni non avversarie (poiché la distribuzione gaussiana è simmetrica).

3. Contributi Chiave

Paradigma Dinamico: Sostituzione degli schemi statici con parametri di iniezione dinamici (tempo e posizione) guidati dalla semantica, eliminando le conoscenze a priori per l'attaccante.
Robustezza contro la Forgery: La diversificazione dei pattern impedisce agli attaccanti di estrarre un pattern medio significativo o di allineare correttamente i vettori latenti per falsificare l'immagine.
Robustezza contro la Rimozione: Il rilevamento a due fianchi neutralizza gli attacchi che tentano di generare rappresentazioni latenti opposte per eludere il detection.
Mantenimento della Qualità: Il metodo non richiede il finetuning del modello generativo e preserva la qualità visiva e la coerenza semantica delle immagini generate.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su Stable Diffusion 2.1 confrontando ISTS con metodi dello stato dell'arte (Tree-Ring, RingID, Gaussian-Shading, ecc.) contro tre tipi di attacchi di rimozione e tre di forgery.

Contro gli Attacchi di Rimozione:
- I metodi esistenti mostrano un crollo delle prestazioni (AUC spesso < 0.7 o vicino a 0.0).
- ISTS raggiunge un AUC di 0.821 contro l'attacco Imp-Removal (il più forte) e 0.99 contro Avg-Removal, superando significativamente tutti i baseline.
- Nel caso peggiore (worst-case), ISTS mantiene un AUC di 0.821, mentre gli altri metodi crollano.
Contro gli Attacchi di Forgery:
- Per la forgery, un AUC più basso indica una migliore robustezza (l'attaccante non riesce a far passare un'immagine falsa come vera).
- ISTS ottiene un AUC di 0.634 contro Imp-Forgery, un miglioramento di oltre il 20% rispetto al miglior baseline (Shallow Diffuse, 0.76).
- Nel caso medio e peggiore, ISTS mostra la migliore resistenza complessiva.
Qualità dell'Immagine e Distorsioni:
- ISTS mantiene metriche di qualità (PSNR, SSIM, LPIPS) e allineamento semantico (CLIP-Score) paragonabili ai migliori metodi esistenti.
- È robusto contro distorsioni comuni (rotazione, rumore, blur, JPEG) e purificazione tramite diffusione (DiffPure), superando metodi come SEAL e ROBIN in questi scenari.

5. Significato e Impatto

Questo lavoro rappresenta un passo avanti cruciale nella sicurezza dei modelli generativi. Dimostra che la staticità è il tallone d'Achille delle attuali tecniche di watermarking. Introducendo la dinamicità basata sulla semantica e correggendo la vulnerabilità del rilevamento a un solo lato, ISTS offre una soluzione praticabile per:

Proteggere la proprietà intellettuale dei creatori di modelli.
Fornire un meccanismo affidabile per verificare la provenienza delle immagini (provenance) in un contesto di disinformazione.
Resistere a minacce reali e sofisticate, rendendo molto più difficile per gli attori malintenzionati manipolare o rimuovere le prove di origine delle immagini generate dall'AI.

In sintesi, ISTS trasforma il watermarking da un sistema statico e prevedibile a uno dinamico e adattivo, colmando il divario tra l'utilità pratica e la sicurezza contro gli attacchi avversari.