技術概要：拡散モデル向けのガイダンス・ウォーターマッキング

問題提起

拡散モデルの急速な進展により、高品質で写実的な画像の生成が可能となり、AI 生成コンテンツの追跡可能性と識別に関する重大な懸念が生じている。規制当局や業界関係者は、AI 生成データによるモデルの崩壊（モデルカプセル）を防ぎ、ユーザーに非現実的なコンテンツを警告するために、合成メディアと実在の画像を区別する堅牢なメカニズムを求めている。

既存の拡散モデル向けウォーターマッキング戦略は、一般的に以下の 2 つのカテゴリに分類され、いずれにも限界がある：

1. ポストホック・ウォーターマッキング：生成後に画像に信号を埋め込む。成熟した手法ではあるが、生成された画像を「ホスト」として扱い、ウォーターマックを生成プロセスのセマンティックな内容に統合できないことが多く、堅牢性の限界をもたらす可能性がある。
2. イン・ジェネレーション・ウォーターマッキング：生成プロセスそのものを修正する。現在のアプローチには以下が含まれる：
   • シードベース手法（例：Tree-Rings、Gaussian Shading）：初期ノイズシードにパターンを埋め込む。これらは幾何学的攻撃（切り抜き、回転など）に弱く、画像のセマンティックな内容や構成を変化させてしまう傾向がある。
   • VAE ベース手法（例：Stable Signature）：拡散プロセスの末尾で変分オートエンコーダ（VAE）を微調整する。効果的ではあるが、ウォーターマックのエネルギーを高周波の詳細部分に集中させるため、ローパスフィルタリング（JPEG 圧縮など）に対して脆弱である。さらに、モデルの再学習または微調整が必要となる。

依然として重要な課題が残されている：拡散モデルやウォーターマックデコーダの再学習なしに、堅牢なポストホック・ウォーターマッキング方式をイン・ジェネレーション手法に変換しつつ、画像の品質と多様性を維持することである。

手法

本論文は、市販のウォーターマックデコーダからの勾配を用いてサンプリング軌跡を誘導することで、拡散プロセス中にウォーターマックを埋め込む「ガイダンス・ウォーターマッキング」を提案する。

中核メカニズム

本手法は、ウォーターマックデコーダを微分可能な分類器として扱う。画像を生成してからウォーターマックを検査するのではなく、デコーダが本質的にウォーターマック付きと識別する画像を生成するように拡散プロセスを誘導する。

1. 勾配ベースのガイダンス：
   標準的なノイズ除去ステップ $\epsilon_\theta(z_t, t)$ を、潜在変数 $z_t$ に対する損失関数 $L$ の勾配に比例する項を減算することで修正する：
   $$\hat{\epsilon}(z_t, t) := \epsilon_\theta(z_t, t) - \omega \sqrt{1 - \bar{\alpha}_t} \nabla_{z_t} \log L(z_t)$$
   ここで、$\omega$ はガイダンスの強度を制御する。

2. 損失関数：
   損失 $L$ は、生成画像から抽出された特徴ベクトル $\phi(x_0(z_t))$ と秘密のウォーターマックベクトル $u_m$ との間の角度を最小化するように定義される。ゼロビット検出の場合、これはコサイン類似度を最大化することに相当する：
   $$L(z_t, u_m) := 1 - \cos(\phi(x_0(z_t)), u_m)$$
   この損失を最小化することで、ウォーターマック付き画像の p 値を低下させ、検出確率を高める。

3. 拡張による堅牢性：
   デコーダが元々訓練されていない攻撃に対する堅牢性を確保するため、勾配計算に画像変換の集合 $\mathcal{T}$（JPEG 圧縮、明るさ/コントラスト調整、切り抜きなど）を組み込む。これらの拡張ビューからの勾配は、競合する勾配方向を処理する PCGrad アルゴリズムを用いて集約され、ノイズ推定値を更新する：
   $$\hat{\epsilon}_{\mathcal{T}}(z_t) := \epsilon_\theta(z_t) - \sqrt{1 - \bar{\alpha}_t} \text{Agg}(\{\nabla_{z_t} \log L(z_t, u_m; T) \mid T \in \mathcal{T}\})$$
   これにより、本手法は事前学習済みデコーダの堅牢性を継承し、デコーダの再学習なしに新しい変換に対しても拡張可能となる。

4. 最適化：

   • 部分的ガイダンス：計算コストを削減するため、ガイダンスは拡散プロセスの最終 $T_w$ ステップのみに適用される。
   • 勾配クリッピング：視覚的アーチファクトを防ぐため、勾配ノルムをクリップし、ガイダンス強度をハイパーパラメータ（$\omega, \eta, \tau$）を通じて制御する。

主要な貢献

1. 初の勾配ベースのイン・ジェネレーション・ウォーターマッキング：勾配ガイダンスを用いて拡散プロセスに直接ウォーターマックを埋め込む最初の手法であり、任意のポストホック方式をイン・ジェネレーション方式へ変換する。
2. 再学習不要：拡散モデルやウォーターマックデコーダの微調整を必要としない。既存の市販デコーダを利用する。
3. 強化された堅牢性：勾配計算に拡張を組み込むことで、デコーダが訓練されていない攻撃を含む攻撃に対する堅牢性を向上させ、検出器の再学習なしに実現する。
4. バランスの取れたトレードオフ：セマンティック内容を変化させるシードベース方式と、不可視信号を追加する VAE ベース/ポストホック方式の間のバランスを取る。ウォーターマックを埋め込みつつ、生成のセマンティックな多様性と品質を維持する。

実験結果

本手法は、2 つの最先端検出器（Stable Signature および VideoSeal）を用いて、3 つの拡散モデル（Stable Diffusion 2、Flux-1.0、Sana）で評価された。

• 画像品質：定量的指標（FID、CLIP スコア）は、ウォーターマック付き画像が非ウォーターマック付き画像と定性的に区別できないことを示している。視覚的検査により、セマンティックな内容、トーン、構成は、一部のシードベース手法で見られる劇的な変化とは異なり、ほぼ維持されていることが確認された。
• 堅牢性（マルチビットおよびゼロビット）：
  • 幾何学的攻撃：切り抜きや回転などの幾何学的攻撃に対して、本手法はシードベース手法（Tree-Rings、Gaussian Shading）を大幅に上回り、事前学習済みデコーダの堅牢性を継承している。
  • 値的攻撃：JPEG 圧縮や明るさ/コントラストの変化に対して高い堅牢性を維持する。
  • 敵対的攻撃：VAE 精製、再生成、平均攻撃に対して、Tree-Rings や Gaussian Shading と比較して優れた堅牢性を示す。
• 誤検知率：本手法は、高い検出確率（$PD=0.9$）において極めて低い誤検知率（高い$-\log_{10}(PFA)$）を達成し、ポストホックおよび他のイン・ジェネレーションのベースラインを上回る。
• 効率性：生成には 2〜13 ステップの追加が必要であるが、デコーディングは瞬時（単一のフォワードパス）であり、逆拡散ステップを必要とするシードベース手法と比較して、検出時に最大 50 倍高速である。

意義と主張

本論文は、ガイダンス・ウォーターマッキングが、生成 AI を保護するための原理的かつモジュール化された解決策を提供すると主張している。その主な意義は以下の点にある：

• 補完性：VAE 微調整などの既存の技術と併用して機能し、アーキテクチャの変更なしに任意の拡散モデルに適用可能である。
• 適応性：既存のよく訓練されたデコーダを活用することで、堅牢なウォーターマッキングの即時展開を可能にし、新しい攻撃ベクトルに対するモデルやデコーダの再学習というリソース集約的なプロセスを回避する。
• 実用性：高い検出可能性と低い誤検知を確保しつつ画像の品質と多様性を維持することで、規制およびセキュリティの文脈における追跡可能な AI コンテンツの重要なニーズに対応する。

著者は限界を認め、堅牢性は生成画像の視覚的内容に依存し、生成時間がわずかに増加することを指摘している。しかし、再学習要件の排除と、検出速度および堅牢性の大幅な向上を考慮すれば、このトレードオフは有利であると強調している。