Spread them Apart: Towards Robust Watermarking of Generated Content

この論文は、生成モデルの再学習を必要とせず、推論時に透かしを埋め込むことで、生成コンテンツの検出と利用者特定を可能にし、かつ付加的な摂動や合成的な透かし除去攻撃に対して頑健な新しい透かし手法を提案するものである。

要約

この論文は、**「AI が作った画像に、見えない『指紋』を埋め込む技術」**について書かれています。

AI（特に拡散モデル）が作る画像は、もはや本物の写真と見分けがつかないほど高品質になりました。しかし、これには大きな問題が二つあります。

1. 誰が作ったのか分からない（著作権の侵害や、悪意のある使い方の疑念）。
2. AI 生成物かどうかの判別が難しい。

この論文の著者たちは、**「Spread them Apart（広げて離れさせろ）」**という名前の新しい方法を提案しました。これを、難しい数式を使わずに、日常の例え話で解説します。

---

1. 核心となるアイデア：「2 人の双子の距離」

この技術の最も面白いところは、画像そのものに「透かし（ウォーターマーク）」という文字やマークを直接入れるのではなく、**「画像の中の 2 つのピクセル（画素）の『距離』」**を利用する点です。

例え話：「双子の身長差」

想像してください。ある家族に「双子の兄弟」がいます。

• 兄（A）
• 弟（B）

この家族には、**「兄は弟より必ず 10cm 背が高い」**というルールがあります。
もし誰かが「この双子は兄と弟だ」と言われたら、あなたは二人の身長を測ります。

• もし「兄の方が 10cm 高い」→ 正解！これはこの家族の双子だ！
• もし「身長が同じ」や「弟の方が高い」→ 嘘つきだ！これはこの家族ではない！

この論文の技術は、画像の何万カ所にもある「双子（2 つのピクセル）」のペアを作り、それぞれのペアに対して「A は B より必ず高い（明るい）」というルールを、画像を作る瞬間に強制します。

• ユーザー ID（秘密鍵）：「どのペアが、どちらが上か」というルール表。
• 透かし（公開鍵）：そのルールに従って作られた画像そのもの。

2. なぜ「広げて離れさせろ（Spread them Apart）」なのか？

単に「A が B より高い」だけだと、画像を少し加工（明るさを変えたり、ノイズを加えたり）されただけで、ルールが崩れてしまう可能性があります（例：A が 10cm 高いのが、加工で 9cm になってしまい、誤判定される）。

そこで、著者たちは**「距離を十分に広げる」**ことにしました。

• 「A は B より少なくとも 10cm高い」というルールを、「A は B より少なくとも 20cm**高い」**というように、余裕を持って設定します。

これにより、画像が少し加工されても（例：全体が 5cm 縮んでも）、**「A はまだ B より 15cm 高い」**という状態が保たれ、ルール（透かし）が壊れずに残るのです。これが「Robust（頑丈）」な理由です。

3. この技術のすごいところ

A. 画像を作る「瞬間」に埋め込む

従来の透かし技術は、画像が完成した後に「後加工」で透かしを入れることが多かったですが、この方法は**AI が画像を生成している最中（インフェレンス時）**に、AI の脳みそ（潜在空間）を調整して透かしを埋め込みます。

• メリット：AI 自体を再学習させる必要がありません。既存の AI をそのまま使えます。

B. 画像を加工しても消えない

画像を明るくしたり、コントラストを変えたり、回転させたりしても、この「ピクセル同士の距離のルール」は守られ続けます。

• さらに、画像を回転させたり移動させたりしても検出できるように、**「周波数領域」**という、画像の「骨格」のような部分にも透かしを埋める応用版（STA(3)）も提案しています。
  • 例え：画像を回転させても、その「骨格」のルールは変わらないので、透かしが消えません。

C. 誰が作ったか特定できる

画像を受け取った側は、秘密のルール表（鍵）を使って「この画像のピクセルの距離関係は、誰のルールと一致するか？」をチェックします。

• 一致すれば、「あ、これはユーザー A さんが作った画像だ」と特定できます。
• 一致しなければ、「これは AI 生成物ではない（あるいは、登録された誰かが作ったものではない）」と判断できます。

4. 実験結果：他の技術より強い？

著者たちは、この技術を「Stable Diffusion」という有名な AI に適用し、他の最新の透かし技術と比べました。

• 明るさ調整、コントラスト変更、JPEG 圧縮、ノイズ追加など、透かしを消そうとする攻撃をいろいろ試しましたが、この技術は非常に高い精度で透かしを維持しました。
• 特に、画像を「白紙化」しようとするような強力な攻撃（PGD 攻撃）に対しても、他の技術が負ける中、この技術は強く耐え抜きました。

まとめ

この論文は、**「AI が作った画像に、見えない『指紋』を埋め込む新しい方法」**を提案しています。

• 方法：画像の中の 2 つの点を「必ず離す（距離を保つ）」というルールを AI に強制する。
• 強み：画像を加工してもルールが壊れにくい（頑丈）。
• 目的：AI 生成画像の「出所（誰が作ったか）」を特定し、著作権侵害や悪用を防ぐ。

まるで、AI が描いた絵に「見えないインク」で「誰が描いたか」の署名を、絵の「骨格」そのものに刻み込むような技術です。これにより、AI 生成コンテンツの信頼性を高め、倫理的な問題を解決する道が開かれます。

技術概要

以下は、提示された論文「Spread them Apart: Towards Robust Watermarking of Generated Content」の技術的な要約です。

論文要約：Spread them Apart - 生成コンテンツの堅牢な透かし埋め込み手法

1. 背景と課題 (Problem Statement)

近年、拡散モデル（Diffusion Models）などの生成 AI は、写真や絵画と見分けがつかないほどの高品質な画像を生成できるようになりました。しかし、この技術の普及に伴い、以下の倫理的・法的な課題が生じています。

• 著作権侵害と所有権の主張: ユーザーが生成された画像を無断で自分の作品として主張したり、ライセンス条項を無視して独占的な著作権を主張したりするリスク。
• ディープフェイクの検出: 生成された画像（偽物）と実写（本物）を自動的に区別するツールの必要性。

既存の透かし技術には、モデルの再学習が必要なものや、画像のポストプロセッシング（後処理）で透かしを埋め込むものがあり、これらは計算コストが高いか、画像の改変に対して脆弱であるという問題がありました。

本研究の目的:
生成モデルの推論（Inference）段階において、モデルの再学習を必要とせずに、生成画像にユーザー固有のデジタル透かしを埋め込み、その画像が「どのモデルによって」「どのユーザーによって」生成されたかを検出・帰属（Attribution）させる堅牢な手法の提案です。

2. 提案手法：Spread them Apart (Methodology)

本研究では「Spread them Apart」と呼ばれるフレームワークを提案しました。この手法は、画像の生成プロセス中に潜像（Latent）を最適化することで透かしを埋め込む特徴があります。

2.1 基本的な仕組み（ピクセルレベル）

1. 鍵の割り当て: ユーザー登録時に、公開鍵（透かしビット列 $w(u_i)$）と秘密鍵（特定のピクセル対のインデックス $s(u_i)$）が割り当てられます。
2. 埋め込み条件: 画像 $x$ の生成時に、秘密鍵で指定された $n$ 組のピクセル対 $(a_i, b_i)$ について、透かしビット $w_i$ に応じた大小関係が成立するように潜像 $z$ を最適化します。
   • $w_i = 0$ の場合: $x_{a_i} \ge x_{b_i}$
   • $w_i = 1$ の場合: $x_{a_i} < x_{b_i}$
   • さらに、堅牢性を高めるため、両者の差が閾値 $\epsilon$ 以上になるよう正則化を行います（$|x_{a_i} - x_{b_i}| \ge \epsilon$）。
3. 損失関数: 画像の品質を維持しつつ、上記の条件を満たすように、以下の損失関数を最小化して潜像 $z$ を最適化します。
   $$\mathcal{L} = \lambda_{wm} \mathcal{L}_{wm} + \lambda_{qual} \mathcal{L}_{qual}$$
   • $\mathcal{L}_{wm}$: 透かし条件違反のペナルティ。
   • $\mathcal{L}_{qual}$: 画像品質の維持（LPIPS メトリックを使用）。
4. 検出と帰属: 画像を受け取った所有者は、秘密鍵を用いて各ピクセル対の大小関係を逆算し、透かしビット列を復元します。復元されたビット列と登録されたユーザーのビット列とのハミング距離を計算し、距離が最小かつ閾値内にあるユーザーを特定します（二重尾部検出ルールを採用し、ビット反転攻撃にも耐性を持たせています）。

2.2 拡張手法：幾何学的変換への耐性

ピクセルレベルの透かしだけでは、回転や移動などの幾何学的変換に対して脆弱です。これを解決するため、以下の拡張を行って「3 つの透かし」を同時に埋め込みます。

1. 空間ドメイン: 上記のピクセルレベルの透かし。
2. 周波数ドメインの不変量:
   • 並進不変量 ($\gamma_t$): フーリエ変換の振幅スペクトル（並列変換に対して不変）。
   • 回転不変量 ($\gamma_r$): フーリエ・メリン変換の振幅スペクトル（回転に対して不変）。
     これら 3 つの領域に同じ透かし情報を埋め込むことで、画像が回転・移動・拡大縮小されても透かしを抽出可能にします。

3. 主要な貢献 (Key Contributions)

1. 再学習不要な埋め込みフレームワーク: 生成モデル（Stable Diffusion など）の再学習を必要とせず、推論時の潜像最適化のみで透かしを埋め込む手法を提案しました。
2. 理論的な堅牢性の証明:
   • 加法的な摂動（ノイズ、明るさ調整など）に対して、そのノイズの最大値が一定の閾値以下であれば、透かしビットが破壊されないことを数学的に証明しました（Lemma 1）。
   • 乗法的な摂動や指数関数変換（ガンマ補正など）に対して、設計上（大小関係の維持により）堅牢であることを示しました。
3. 多様な攻撃への耐性: 幾何学的変換（回転、移動）を含む、多様な合成攻撃（白箱攻撃、JPEG 圧縮、色調調整など）に対して、既存の最先端手法と比較して高い堅牢性を示しました。

4. 実験結果 (Results)

設定:

• モデル：Stable Diffusion 2-base
• データセット：DiffusionDB（1000 枚の画像）
• 透かし長：100 ビット（競合他社より長い）
• 攻撃：明るさ・コントラスト調整、ガンマ補正、JPEG 圧縮、PGD 敵対的攻撃など。

結果の要点:

• 平均ビット誤り率 (ABWE): 提案手法は、明るさ調整、コントラスト調整、ガンマ補正、JPEG 圧縮などに対して、競合他社（Stable Signature, SSL, AquaLora, WOUAF）と比較して極めて低い誤り率（0.001〜0.003 程度）を達成しました。特に「Contrast -（反転）」や「Gamma」攻撃に対して他手法が大幅に劣化する中、提案手法は高い耐性を示しました。
• 真陽性率 (TPR): 帰属（誰が生成したか）と検出（AI 生成か否か）のタスクにおいて、ほとんどの攻撃条件下で TPR が 1.0（100%）に近い値を維持しました。
• 拡張手法の効果: 回転や移動に対して、ピクセル単独の手法（STA(1)）は TPR が 0.000 まで低下しましたが、周波数不変量を利用した拡張手法（STA(3)）は、回転・移動攻撃に対しても TPR 0.962 を達成し、堅牢性が劇的に向上しました。
• PGD 攻撃: 強力な白箱敵対的攻撃（PGD）に対しても、提案手法は他手法よりも高い耐性を示しました（誤り率 0.064、TPR 0.993）。

5. 意義と結論 (Significance)

本研究は、生成 AI によって作成されたコンテンツの著作権保護と出所追跡のための実用的かつ理論的に裏付けられた解決策を提供します。

• 実用性: モデルの再学習が不要であるため、既存の商用生成モデル（Stable Diffusion など）への即時導入が可能です。
• 堅牢性: 従来の透かし技術が苦手としていた、意図的な画像加工（明るさ変更、反転、回転など）に対して、理論的保証と実験的検証の両面で高い耐性を示しました。
• 倫理的貢献: 生成コンテンツの不正な所有権主張を防ぎ、ディープフェイクの検出を可能にすることで、生成 AI の責任ある利用を促進します。

結論として、「Spread them Apart」は、生成コンテンツの透かし技術において、堅牢性と実用性のバランスを最適化した新しい標準となり得る手法です。