Riepilogo Tecnico: AnchorMark

Problematica

Il watermarking basato su inversione per i modelli di diffusione incorpora i payload direttamente nello spazio latente iniziale, permettendo ai watermark di formarsi durante la generazione dell'immagine e di essere recuperati tramite l'inversione della diffusione senza dover riaddestrare il generatore. Sebbene efficace contro le comuni distorsioni non geometriche, questo metodo soffre di un fallimento fondamentale sotto attacchi di rotazione.

Gli esistenti schemi multi-bit basati su inversione associano i bit del payload a carrier spazialmente indicizzati. Quando un'immagine viene ruotata, la corrispondenza spaziale tra il latente recuperato e le posizioni dei bit attese viene interrotta. Gli approcci precedenti a questo problema rientrano in due categorie:

1. Sincronizzatori appresi: Utilizzano reti ausiliarie per stimare le trasformazioni, ma richiedono un addestramento aggiuntivo e possono dipendere da specifiche architetture o distribuzioni di attacco.
2. Design spettrali invarianti alla rotazione: Sopprimono la sensibilità all'orientamento per rilevare la presenza del watermark, ma falliscono nel recuperare la corrispondenza ordinata necessaria per il tracciamento del payload multi-bit.

Di conseguenza, vi è una mancanza di un meccanismo leggero, modulare e privo di addestramento per sincronizzare i watermark basati su inversione sotto trasformazioni geometriche.

Metodologia: AnchorMark

Gli autori propongono AnchorMark, un framework di watermarking basato su inversione, robusto e privo di addestramento. Il nucleo del metodo si basa su una proprietà strutturale dei latenti di diffusione recentemente identificata, denominata Sincronia di Rotazione (Rotation Synchrony).

1. Sincronia di Rotazione

Il documento stabilisce che una rotazione nel dominio dell'immagine induce la stessa rotazione angolare nel latente iniziale recuperato. Formalmente, per un'immagine $I$ ruotata di un angolo $\alpha$, il latente iniziale recuperato $\hat{x}_T(\alpha)$ soddisfa approssimativamente:
$$\hat{x}_T(\alpha) \approx R_\alpha x_T$$
dove $R_\alpha$ è l'operatore di rotazione e $x_T$ è il latente iniziale originale. La deviazione da questa relazione ideale è limitata dai residui derivanti dalla codifica VAE, dalla dinamica di inversione della diffusione e dal ciclo generazione-inversione. La validazione empirica conferma che il confronto del latente recuperato con riferimenti ruotati produce una distanza minima vicina all'angolo di rotazione reale.

2. Ancora di Fase Multi-Frequenza

Per sfruttare la Sincronia di Rotazione per la sincronizzazione, AnchorMark incorpora un'ancora di fase multi-frequenza compatta nella regione centrale del latente iniziale, spazialmente disaccoppiata dalla regione del payload.

• Costruzione: L'ancora consiste in coppie di canali seno-coseno che codificano frequenze angolari ($k_j$). Questo design converte la rotazione spaziale in una risposta di fase analitica prevedibile ($k_j \alpha$).
• Iniezione: L'ancora viene iniettata tramite iniezione calibrata sulle statistiche. Il template viene standardizzato per corrispondere alla media e alla deviazione standard del patch latente originale e fuso tramite un parametro di miscelazione $\lambda$, seguito da una ricalibrazione per ripristinare i momenti per canale. Ciò minimizza lo spostamento della distribuzione e preserva la qualità dell'immagine.

3. Sincronizzazione e Recupero Gerarchico

Il processo di estrazione impiega una strategia gerarchica a due stadi:

1. Registrazione Globale Guidata dall'Ancora: Il detector ricostruisce l'ancora di riferimento ed esegue una ricerca da grossolana a fine (coarse-to-fine) su angoli di rotazione candidati. Minimizza la perdita di matching normalizzata tra l'ancora recuperata e l'ancora di riferimento ruotata per stimare l'angolo di rotazione dominante.
2. Raffinamento Locale Guidato dal Payload: Per affrontare il disallineamento residuo causato dall'interpolazione o dal rumore di inversione, il sistema definisce un set di candidati locali attorno alla stima iniziale. Raffina l'angolo massimizzando la fiducia di verifica del decoder del watermark sottostante sulla regione del payload. Il payload finale viene estratto utilizzando questo angolo raffinato.

Contributi Chiave

1. Identificazione della Sincronia di Rotazione: Gli autori formalizzano la proprietà per cui le rotazioni nello spazio dell'immagine inducono corrispondenti rotazioni angolari nel latente iniziale recuperato, fornendo una base teorica per la sincronizzazione nello spazio latente.
2. Framework AnchorMark: Un metodo di watermarking basato su inversione, robusto e privo di addestramento, che combina un'ancora di fase multi-frequenza compatta con un'iniezione calibrata sulle statistiche e una strategia di registrazione gerarchica (coarse-to-fine).
3. Validazione Empirica: Esperimenti estesi dimostrano che AnchorMark migliora significativamente l'accuratezza dei bit sotto attacchi di rotazione e combinati, mantenendo la qualità visiva e la fedeltà semantica.

Risultati Sperimentali

Il metodo è stato valutato su modelli Stable Diffusion (v1.5, v2.1, v3.5) e FLUX.1-dev.

• Robustezza alla Rotazione: Sotto attacchi di rotazione compresi tra $\pm 5^\circ$ e $\pm 60^\circ$, AnchorMark ha ripristinato un'alta accuratezza dei bit per i metodi baseline che altrimenti fallivano. Ad esempio, applicato a ShapeMark, AnchorMark ha ottenuto un recupero quasi perfetto (Acc $\approx$ 1.00) attraverso tutti gli angoli testati, mentre il baseline ShapeMark è sceso ai livelli del caso casuale ($\approx$ 0.50) ad angoli più grandi. Allo stesso modo, Gaussian Shading ha visto il suo tasso di rilevamento (TPR) recuperare da quasi zero a $\approx$ 0.99.
• Attacchi Combinati: AnchorMark ha mantenuto prestazioni stabili (TPR > 0.99, Acc > 0.94) quando la rotazione è stata combinata con ridimensionamento, compressione JPEG, rumore Gaussiano e sfocatura mediana attraverso molteplici backbone di diffusione.
• Qualità dell'Immagine: L'introduzione dell'ancora ha prodotto un impatto limitato sulla qualità dell'immagine, con variazioni di FID e CLIP-Score comparabili a quelle dei metodi base.
• Studi di Ablazione: Lo studio ha confermato che il design multi-frequenza (che combina la robustezza a bassa frequenza con la discriminazione ad alta frequenza) supera l'ancora a singola frequenza o casuale, riducendo l'errore di stima dell'angolo a meno di $0.5^\circ$.

Significato e Rivendicazioni

Il documento afferma che la sincronizzazione nello spazio latente è un meccanismo efficace per il watermarking robusto basato su inversione sotto trasformazioni geometriche. Sfruttando la proprietà intrinseca della Sincronia di Rotazione, AnchorMark fornisce una soluzione modulare e priva di addestramento che può essere applicata agli schemi di watermarking basati su inversione esistenti senza modificare il modello di diffusione sottostante o riaddestrare il generatore. Il metodo affronta con successo la lacuna critica del recupero del payload multi-bit sotto rotazione, consentendo una protezione affidabile della provenienza dei contenuti e del copyright in scenari di distorsione geometrica.