Low-Compute Watermark Removal via Dual-Domain Natural Projection

技術概要：双領域自然射影による低計算量透かし除去

問題定義
生成モデル（拡散モデル、GAN など）の普及により、コンテンツの真正性を保証するための堅牢なデジタル透かしが不可欠となっています。しかし、敵対者は追跡を回避するためにこれらの透かしを除去しようとしています。既存の除去戦略は、高い除去成功率、低い知覚的歪み、低い計算コストという 3 つの競合する目的の間で根本的なトレードオフに直面しています。現在の単一画像攻撃は通常、最初の 2 つを最適化しますが、高価な多段階反復最適化（例えば、潜在空間最適化や代理モデルによる再生成）に依存しており、リソース制約のあるリアルタイムのシナリオでは実用的ではありません。さらに、多くの既存手法は、単純な画素摂動ではなく、潜在空間や高次元周波数空間に信号を埋め込む意味的透かし（TREE-RING、ZODIAC など）に対して機能しません。本論文は、敵対者が生成モデル、透かし鍵、補助サンプルにアクセスできず、限られた計算資源で動作する厳格な「ブラックボックス」単一画像脅威モデル下で、多様な透かしタイプを除去する可行性を調査します。

手法：DAWN
著者は、低計算量レジームで動作するように設計された軽量かつ学習不要の攻撃フレームワークであるDAWN（Dual-domain Adversarial Watermark Nullifier）を導入します。DAWN は、透かしが施された画像を相補的な領域における自然画像の事前分布 onto 射影する 3 段階のパイプラインで動作します。

1. 周波数領域再構成（ステップ 1）：

   • メカニズム： 入力された透かし画像は、8×8 ブロック単位離散コサイン変換（DCT）表現に変換されます。事前に学習された周波数領域用 UNet（クリーンな自然画像でオフライン学習済み）がこれらの係数を処理し、透かし信号に特徴的な構造的スペクトルアーティファクトを減衰させます。
   • 根拠： 意味的透かしを含む透かし方式は、多くの場合、自然画像の $1/f^\alpha$ スペクトル減衰に違反する中〜高周波数帯域に構造的な偏差を導入します。このステップは、反復最適化を必要とすることなく、画像を自然画像多様体へと射影し、これらの異常を抑制します。
   • 学習： UNet は、特定の周波数帯域に合成された構造的ノイズを注入したクリーン画像に対して $\ell_1$ 再構成目的関数を用いて、一度だけオフラインで学習されます。学習中に透かし付きデータは使用されません。

2. 意味的洗練（ステップ 2）：

   • メカニズム： 周波数再構成の出力は、凍結された重みを持つ事前学習済み Stable Diffusion v2 img2img モデルに約 50 ステップ通されます。
   • 根拠： 周波数再構成はスペクトル異常を抑制しますが、微細なテクスチャを劣化させたり、アーティファクトを導入したりする可能性があります。このステップは、拡散モデルが学習した意味的事前分布を活用して、大域的な整合性、物体の境界、高次構造を回復させ、意味的コンテンツに整合する透かし信号をさらに侵食します。

3. 知覚的整合（オプションのステップ 3）：

   • メカニズム： 軽量な後処理ステップ（チャネルごとの平均・分散マッチングやスタイル転送など）が、攻撃された画像のトーンと色統計を元の透かし入力と整合させます。
   • 根拠： 過剰な抑制は色相や色調のシフトを引き起こす可能性があります。このステップは、下流での利用における視覚的一貫性を保証します。重要なのは、著者がこのステップを攻撃の成功から切り離している点です。これは視覚的忠実度を向上させますが、透かし抑制には寄与しません。

主要な貢献

• 根本的なトレードオフの特定： 本論文は、現在の単一画像攻撃が、高い除去成功率、低い歪み、低い計算コストを同時に達成できないことを実証します。
• DAWN フレームワーク： 画素、周波数、潜在空間の透かし方式（TREE-RING、ZODIAC、RIVAGAN を含む）に対して競争力のある除去性能を達成する、新規の学習不要な単一ショット攻撃。これは固定ネットワークを通じた推論パスのみを使用します。
• 双領域の洞察： 本作業は、構造的スペクトルアーティファクトを抑制するための周波数領域射影と、整合性を回復するための意味的洗練を組み合わせることは、意味的透かしの除去において、画素のみの再生成や純粋な最適化ベースの攻撃よりも効果的であることを確立します。
• 脅威モデルの現実性： この手法は、複数のサンプルや代理モデルへのアクセスを仮定する先行研究とは対照的に、現実的な敵対的設定（単一画像、モデルへのアクセスなし、限られた計算資源）で動作します。

結果

• 有効性： DAWN は、古典的な画素/周波数手法（DWTDCT、RIVAGAN など）に対して 95% 以上の除去成功率を達成し、意味的方式（TREE-RING で 70%、ZODIAC で 92% など）に対して 60〜90% の成功率を達成します。
• 効率性： DAWN は、最適化ベースのベースライン（imprint-removal など）よりもはるかに少ない FLOPs を必要とし、UNet の単一フォワードパスと 50 ステップの拡散推論のみで動作します。
• 忠実度： DAWN はある程度の知覚的歪み（高忠実度最適化攻撃と比較した PSNR/SSIM の低下）をもたらしますが、構造的および意味的情報を効果的に保持します。輝度ベースの指標（SSIM$_{lum}$、CLIP$_{lum}$）は 0.99 に近く、偏差は構造的ではなく主に色調的なものであることを示しています。
• アブレーション： 周波数領域再構成ステップを除去すると、攻撃成功率はほぼゼロに崩壊し、スペクトル射影が透かし弱化の主要な駆動力であることを確認します。意味的洗練は構造を安定させますが、除去に関しては周波数ステップに次ぐものです。

意義と主張
本論文は、DAWN が現在の生成透かし方式における根本的な構造的規則性を露呈し、モデルパラメータへのアクセスなしに画像を自然画像の事前分布 onto 射影することで、周波数または潜在空間に埋め込まれた信号を無力化できることを実証していると主張しています。著者は、この作業を既存の真正性メカニズムの堅牢性を監査およびベンチマークするためのコミュニティ向けツールとして位置づけています。彼らは、結果が、周波数射影攻撃に耐えるために、複数のスペクトルおよび意味的階層に信号を埋め込むか、または暗号学的認証を組み込んだ将来の透かし設計の必要性を浮き彫りにしていると論じています。著者は明示的に、DAWN は新しい生成能力を可能にするものではなく、すでに生成された画像のみに作用し、悪意のある帰属回避を促進するのではなく、脆弱性を理解する役割を果たすと述べています。