Do Modern Post-Hoc Watermarking Methods Beat Broken-Arrows?

Sintesi Tecnica: I Metodi Moderni di Watermarking Post-Hoc Superano Broken-Arrows?

Enunciato del Problema
La rapida proliferazione dell'IA generativa, in particolare dei modelli di diffusione, ha reso necessari meccanismi robusti per l'identificazione dei contenuti generati dall'IA. Sebbene gli organismi di regolamentazione (ad esempio, l'AI Act dell'UE e gli ordini esecutivi della Casa Bianca) impongano la tracciabilità, esiste un divario nella valutazione comparativa dei moderni metodi di watermarking post-hoc rispetto alle tecniche classiche. Gli approcci moderni, che sfruttano le reti neurali profonde (DNN) per l'incapsulamento e la decodifica, sono spesso considerati superiori grazie alla loro flessibilità e alla capacità di gestire aumentazioni complesse durante l'addestramento. Tuttavia, questi metodi mancano delle fondamenta teoriche di sicurezza dei sistemi classici, come il concetto di chiave segreta, ed ereditano vulnerabilità agli esempi avversari. Questo documento indaga se i metodi moderni post-hoc superino costantemente gli approcci classici in un contesto realistico di rilevamento a zero bit, dando priorità alla sicurezza e alla robustezza rispetto ai payload multi-bit ad alta capacità spesso mirati dai sistemi moderni.

Metodologia
Gli autori propongono un framework di confronto equo che valuta robustezza, impercettibilità e sicurezza su tre schemi di watermarking: due metodi moderni post-hoc (Videoseal e TrustMark) e un metodo classico (Broken-Arrows).

• Conversione a Zero Bit: Per garantire un confronto equo focalizzato sulla tracciabilità piuttosto che sulla comunicazione, i decodificatori moderni multi-bit sono stati convertiti in rilevatori a zero bit. Ciò è stato ottenuto trattando la proiezione del decodificatore in un sottospazio come un rilevatore a ipercono, confrontando il vettore estratto con un vettore segreto utilizzando l'angolo tra di essi.
• Configurazione Sperimentale: Gli esperimenti hanno utilizzato 200 immagini naturali (1024×1024) dal dataset MFlickr. È stata imposta un'impercettibilità fissa scalando il segnale di watermark per raggiungere un PSNR di 42 dB rispetto all'immagine originale.
• Scenari di Sicurezza: La valutazione ha testato quattro livelli di conoscenza dell'attaccante:
  1. White-box: Accesso completo al rilevatore (e alla chiave per Broken-Arrows). Gli attacchi includevano l'attacco di proiezione sul confine DDN per le DNN e attacchi ottimali in forma chiusa per Broken-Arrows.
  2. Black-box: Accesso al rilevatore solo tramite query/risposta. È stato utilizzato l'attacco CGBA con un budget di query fisso.
  3. Oracle: L'attaccante utilizza un proxy (oracle) per guidare l'attacco. Sono stati testati due metodi: WmForger (utilizzando un modello di preferenza) e un attacco Watermark In the Sand (WIS) modificato (utilizzando la purificazione VAE e il PSNR come oracle).
  4. Blind: Nessun accesso al rilevatore o all'oracle. Ciò includeva trasformazioni classiche basate su metriche di valore (ad esempio, compressione JPEG) e attacchi di rigenerazione utilizzando modelli di diffusione (SANA, Stable-Diffusion-2.1).
• Metriche: Le prestazioni sono state misurate dal Tasso di Successo dell'Attacco (ASR) a una probabilità di falsa allerta fissa ($\alpha = 10^{-6}$) e dalla distorsione (PSNR) richiesta per raggiungere il successo.

Contributi Chiave

1. Framework di Valutazione Unificato: Il documento stabilisce una metodologia per confrontare il watermarking moderno e classico sotto un'assunzione a zero bit, convertendo i decodificatori moderni multi-bit in rilevatori a ipercono per allinearli alla teoria classica del rilevamento.
2. Analisi di Sicurezza Completa: Fornisce un confronto sistematico di robustezza e sicurezza attraverso quattro modelli di minaccia distinti, che vanno dall'accesso completo white-box agli attacchi blind, evidenziando le vulnerabilità specifiche dei rilevatori basati su DNN.
3. Evidenza Empirica dei Trade-off: Lo studio mette in discussione la presunta superiorità dei metodi moderni dimostrando che, in un contesto a zero bit, i metodi classici offrono spesso una sicurezza superiore senza sacrificare la robustezza.

Risultati

• Scenari White-box e Black-box: Broken-Arrows ha superato significativamente sia Videoseal che TrustMark. I rilevatori moderni basati su DNN sono risultati estremamente fragili; l'attacco ha raggiunto un successo vicino al 100% con distorsione minima (sotto i limiti di quantizzazione, 60 dB) per i metodi moderni, mentre Broken-Arrows ha richiesto una distorsione significativamente maggiore (40 dB) per il 100% di successo. Gli autori attribuiscono ciò a "punti ciechi" nelle regioni di rilevamento nello spazio dei pixel delle DNN, che sono facilmente sfruttati tramite attacchi basati sul gradiente.
• Scenario Oracle: Per attacchi a bassa distorsione ($PSNR \geq 35$ dB), Broken-Arrows è rimasto il più sicuro. Sebbene Videoseal abbia mostrato una migliore resilienza a livelli di distorsione più elevati, l'attacco WmForger è stato altamente efficace contro TrustMark. L'attacco WIS (purificazione VAE) ha sistematicamente rimosso i coefficienti di ondelette a media frequenza, impattando Broken-Arrows più dei metodi moderni, sebbene Broken-Arrows sia rimasto complessivamente robusto.
• Scenario Blind: Tutti e tre i metodi sono risultati robusti contro le operazioni standard basate su metriche di valore e gli attacchi di rigenerazione, richiedendo almeno 30 dB di distorsione per cancellare il watermark. Sebbene Videoseal abbia mostrato guadagni marginali nella robustezza contro una forte compressione JPEG rispetto a Broken-Arrows, TrustMark ha ottenuto i risultati peggiori.

Significato e Affermazioni
Il documento conclude che i moderni metodi di watermarking post-hoc non superano costantemente gli approcci classici in un contesto a zero bit. La scoperta principale è un trade-off critico: mentre i metodi moderni basati su DNN non offrono alcun guadagno significativo nella robustezza nelle condizioni testate, mostrano un significativo declino nella sicurezza a causa della loro suscettibilità alle perturbazioni avversarie e della mancanza di un meccanismo di chiave segreta.

Gli autori sottolineano che le tecniche moderne sono ottimizzate principalmente per payload multi-bit ad alta capacità, un obiettivo non affrontato in questa valutazione a zero bit. Inoltre, lo studio riconosce le limitazioni, notando che si concentra sulle operazioni basate su metriche di valore e non tiene conto delle distorsioni geometriche (ad esempio, ritaglio, rotazione), che i metodi moderni gestiscono spesso tramite tecniche di sincronizzazione. Il lavoro funge da nota cautelativa secondo cui la flessibilità del deep learning nel watermarking comporta un costo sotto forma di superficie di attacco aumentata e garanzie di sicurezza ridotte rispetto a progetti classici ben consolidati.