🤖 machine learning

Shallow Diffuse: Robust and Invisible Watermarking through Low-Dimensional Subspaces in Diffusion Models

本論文は、拡散モデルの生成プロセスと透かし埋め込みを低次元部分空間の性質を利用して分離する「Shallow Diffuse」を提案し、既存手法よりも優れた頑健性と不可視性を実現したことを示しています。

原著者： Wenda Li, Huijie Zhang, Qing Qu

公開日 2026-02-13

📖 1 分で読めます☕ さくっと読める

原著者： Wenda Li, Huijie Zhang, Qing Qu

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

ショーロー・ディフューズ（Shallow Diffuse）：AI 画像に「見えないシール」を貼る新技術

この論文は、AI が描いた画像に**「誰が作ったか」を証明するための透かし（ウォーターマーク）**を、画質を崩さずに、しかも簡単には消せないように埋め込む新しい方法「ショーロー・ディフューズ」を紹介しています。

まるで、AI が描いた絵の裏に「魔法のシール」を貼るような技術です。

🎨 背景：AI 画像の「偽物問題」

今、AI（拡散モデル）は素晴らしい絵を描くことができます。しかし、問題も起きています。

嘘のニュースが広まる。
著作権が侵害される。
AI が AI の描いた絵を学習して、品質が劣化していく（モデル崩壊）。

これらを防ぐために、「これは AI が描いたものです」という透かしを入れる必要があります。でも、これまでの方法には大きな欠点がありました。

🚫 従来の方法の「失敗談」

これまでの透かし技術には、2 つの大きな悩みがありました。

「絵が汚れる」問題
- 従来の方法は、AI が絵を描き始める「最初のノイズ（白黒の砂）」に透かしを混ぜていました。
- 例え話: 料理を作る前に、鍋に「秘密のスパイス」を混ぜるようなもの。でも、そのスパイスが入れすぎると、料理（絵）の味が狂ってしまい、画質がガタ落ちしてしまいます。
「後から貼れない」問題
- 多くの方法は、AI が絵を描く「最初の瞬間（シード値）」を知っている必要があります。
- 例え話: 料理が完成した後に、「あのスパイスが入っていたか？」を調べるには、レシピ（シード値）のメモがないと不可能です。ユーザーが「この画像は AI 製？」と後から調べたい場合、この方法は使えません。

✨ 新技術「ショーロー・ディフューズ」の魔法

この論文が提案する「ショーロー・ディフューズ」は、**「絵を描く過程の浅い部分（シャロー）」**に透かしを埋め込むという、全く新しいアプローチです。

🌊 核心となるアイデア：「低次元の川」と「見えない隙間」

AI が絵を描く過程には、**「低次元のサブスペース（低次元の川）」**という、絵の形を作るための「道」が存在します。

この「道」は、全方向（高次元）に比べて非常に狭い（低次元）です。
重要な発見: この「狭い道」には、**「見えない隙間（Null Space）」**が大量にあります。

【アナロジー】

従来の方法: 狭い道（絵の形）そのものを無理やり変えて、透かしを押し込む。→ 絵が歪む。
ショーロー・ディフューズ: 狭い道の「横にある見えない隙間」に、透かしをそっと置く。
- 透かしは「道（絵の形）」には影響しないので、絵は綺麗のまま。
- でも、透かしは「隙間」にしっかり入っているので、消すのが大変。

🛠️ 具体的な仕組み

絵を描く途中の「浅い段階」で挿入
- AI がノイズから絵を徐々にクリアにしていく過程で、**「ほぼ完成に近い段階（0.3 倍の時間）」**で透かしを挿入します。
- この段階では、AI の「絵を描く力（ヤコビアン）」が低ランク（単純）になっているため、透かしを「絵の形」から切り離して入れることができます。
高周波数（細かい粒）に隠す
- 透かしは、人間の目には見えにくい「細かい粒（高周波数）」の領域に埋め込まれます。
- 例え話: 大きな岩（絵の輪郭）はそのままに、岩の表面の「細かい砂粒」だけを書き換えるイメージです。

🏆 この技術のすごいところ

1. 万能な「両方対応」

サーバー側（AI が描く時）: AI が絵を描く過程で自動的に透かしを貼れます。
ユーザー側（後から貼る時）: 完成した画像を AI に「逆再生（DDIM 逆変換）」させて、途中まで戻し、透かしを貼り、また描き直せます。
メリット: どちらの状況でも使え、「レシピ（シード値）」がなくても後から透かしを貼れるのが画期的です。

2. 「絵の美しさ」と「透かしの強さ」の両立

従来の方法は、透かしを強くすると絵が汚れました。
しかし、この方法は**「絵は綺麗（PSNR が高い）」なのに、「透かしは消えない（堅牢性が高い）」**という、夢のようなバランスを実現しました。

3. 理論的な保証

単なる実験だけでなく、「なぜ絵が歪まないのか」「なぜ透かしが消えないのか」を数学的に証明しています。
「低次元の隙間」を利用しているため、理論的にも理にかなっていることが分かっています。

📝 まとめ

ショーロー・ディフューズは、AI 画像に透かしを入れる方法を「料理の味を壊さない」レベルにまで進化させました。

従来の方法: 「スパイスを混ぜすぎて、料理がまずくなる」＋「レシピがないと透かしが分からない」。
新しい方法: 「料理の完成直前に、見えない隙間にシールを貼る」＋「完成した料理からもシールを検出できる」。

これにより、AI が描いた画像の**「出所を証明する」**ことが、より簡単で、より安全に行えるようになります。インターネット上の「本当の画像」と「AI 画像」を見分けるための、新しい強力なツールと言えるでしょう。

論文「Shallow Diffuse: Robust and Invisible Watermarking through Low-Dim Subspaces in Diffusion Models」の技術的サマリー

本論文は、拡散モデル（Diffusion Models）によって生成された画像に対して、**堅牢性（Robustness）と不可視性（Invisibility）を両立し、かつサーバー側・ユーザー側の両方のシナリオで適用可能な新しい透かし埋め込み手法「Shallow Diffuse」**を提案するものです。

以下に、問題定義、手法、主要な貢献、実験結果、および意義について詳細にまとめます。

1. 背景と問題定義

AI 生成コンテンツの普及に伴い、誤情報（Misinformation）の拡散や著作権侵害、モデルの崩壊（Model Collapse）などの懸念が高まっています。これらの課題に対処するため、AI 生成画像の特定と悪用防止のための透かし（Watermarking）技術が不可欠です。

既存の透かし技術には以下のような限界がありました：

ユーザー側（Post-processing）向け手法: 既存の画像に透かしを埋め込むが、単純な加工（ぼかし等）で検出できなくなるなど、堅牢性が低い。
サーバー側（Generation-time）向け手法: 生成プロセス中に透かしを埋め込む（例：Tree-Ring, RingID）。これらは堅牢性が高いが、初期ランダムシードへのアクセスが必要であり、ユーザー側での適用が困難。また、透かしを埋め込むことで画像の分布が歪み、生成画像の品質（一貫性）が低下するという問題があった。

解決すべき課題:
「サーバー側・ユーザー側の両方で適用可能」かつ「画像の品質を損なわず（一貫性が高い）」かつ「攻撃に対して強い（堅牢性が高い）」透かし手法の欠如。

2. 提案手法：Shallow Diffuse

Shallow Diffuse は、拡散モデルの生成プロセスにおける**低次元部分空間（Low-dimensional Subspace）の特性を利用することで、透かし埋め込みと画像生成プロセスを分離（Decoupling）**する革新的なアプローチです。

2.1 核心的な洞察

拡散モデルの逆拡散プロセスにおいて、後方平均予測器（Posterior Mean Predictor: PMP）のヤコビアン（Jacobian）は、特定の時間ステップ（ $t$ ）において**低ランク（Low-rank）**であることが知られています。

低次元部分空間: 画像データは高次元空間に存在するように見えますが、実際には低次元多様体上に存在します。
零空間（Null Space）の活用: ヤコビアンが低ランクである場合、その零空間（Null Space）は非常に高次元になります。Shallow Diffuse は、透かし信号をこの零空間に配置することで、画像生成プロセス（PMP による予測）に影響を与えずに透かしを埋め込むことを可能にします。

2.2 具体的なアルゴリズム

透かし埋め込み（Injection）:
- 特定の時間ステップ $t^*$ （実験的には $0.3T$ ）で、画像 $x_{t^*}$ に透かし $\lambda \Delta x$ を加算します。
- $t^*$ は、ヤコビアンが低ランクかつ局所的に線形である領域を選択します。
- サーバー側: 初期ノイズから $t^*$ まで生成し、そこに透かしを埋め込み、その後 $0$ まで生成を完了。
- ユーザー側: 生成された画像 $x_0$ から DDIM 逆変換（Inversion）を用いて $t^*$ まで戻し、そこに透かしを埋め込み、再度 $0$ まで生成（再合成）します。
透かし設計:
- 周波数領域（DFT）で透かしを埋め込みます。
- 高周波成分への埋め込み: 既存手法が低周波（画像の主要な構造）を改変するのに対し、Shallow Diffuse は高周波成分（詳細情報）に透かしを配置します。これにより、視覚的な歪みを最小限に抑えつつ、攻撃に対する堅牢性を確保します。
透かし検出（Detection）:
- 対象画像から $t^*$ まで逆変換し、埋め込まれた周波数パターン（リング状のキー）との相関を計算して検出します。

3. 理論的保証

論文では、以下の 2 つの定理により手法の正当性が理論的に証明されています。

定理 1（一貫性の保証）: ヤコビアンのランク $r_t$ が次元 $d$ に比べて十分小さい（ $r_t \ll d$ ）場合、透かしの埋め込みによる画像生成の誤差は、 $O(\lambda L \sqrt{r_t/d})$ 程度に抑えられます。つまり、透かしは画像の品質をほとんど損なわないことが保証されます。
定理 2（検出可能性の保証）: 埋め込まれた透かしは、逆拡散プロセスを通じて復元可能であり、高い確率で検出可能であることが示されています。

4. 実験結果

Stable Diffusion 2-1-base を用いた大規模な実験により、既存手法（Tree-Ring, RingID, Gaussian Shading など）との比較が行われました。

4.1 サーバー側シナリオ（生成時）

一貫性（Consistency）: 提案手法は、PSNR、SSIM、LPIPS のすべての指標で既存の拡散モデルベースの手法を上回りました。特に、RingID や Gaussian Shading は堅牢性は高いものの画像品質が劣るのに対し、Shallow Diffuse は高品質を維持しています。
堅牢性（Robustness）: JPEG 圧縮、ノイズ付加、拡散モデルによるリ生成（Regeneration）、敵対的攻撃など、15 種類の攻撃に対して高い検出率（TPR@1%FPR）を達成しました。

4.2 ユーザー側シナリオ（事後処理）

一貫性: ユーザーが既存の画像に透かしを埋め込む際、Shallow Diffuse は DDIM 逆変換の誤差に起因する品質低下を最小化し、既存の拡散モデルベース手法の中で最高レベルの一貫性を示しました。
汎用性: 初期シードが不要なため、ユーザー側での適用が可能であり、既存のサーバー側専用手法では不可能なユースケースをカバーしました。

4.3 トレードオフ

透かしの強度（マスク半径）を調整することで、画像の品質と堅牢性のバランスを制御可能です。Shallow Diffuse は、既存手法よりも高い一貫性を維持したまま、同等以上の堅牢性を実現するトレードオフ曲線を描きました。

5. 主要な貢献と意義

トレーニングフリー（Training-free）: 既存のモデルを再学習させる必要がなく、即座に適用可能です。
双方向対応（Server & User）: サーバー側（生成時）とユーザー側（事後処理）の両方で機能する初の堅牢かつ一貫性の高い手法です。
低次元部分空間の活用: 拡散モデルの内在的な低次元構造を透かし技術に応用し、生成プロセスと透かしの分離を実現しました。
高周波領域への埋め込み: 画像の主要な構造（低周波）を保護しつつ、高周波に透かしを配置することで、視覚的品質を維持しつつ堅牢性を向上させました。
理論的裏付け: 数学的な証明により、透かしの不可視性と検出可能性が保証されています。

結論

Shallow Diffuse は、AI 生成コンテンツの信頼性向上と著作権保護において、実用的かつ高性能なソリューションを提供します。特に、モデルの再学習を必要とせず、既存の生成パイプラインに容易に統合できる点は、実社会での展開において極めて重要です。この手法は、AI 生成メディアの認証、追跡、責任ある AI 展開の標準となる可能性を秘めています。