技術要約: ALIEN - 制御可能な生成のための解析的潜在水透写（Analytic Latent Watermarking for Controllable Generation）

1. 問題提起

テキスト-to-画像拡散モデル（Stable Diffusion、DALL·Eなど）の急速な進歩に伴い、知的財産の保護と悪用追跡のための堅牢なメカニズムが必要となっている。政府や規制機関が水透写（ウォーターマーキング）を求める動きを強めている一方で、既存の潜在拡散モデル（LDM）向けのソリューションは、忠実度（Fidelity）、効率性、および制御可能性に関して重大な限界を抱えている：

• 後処理手法（例：StegaStamp）は、現実世界の検出に対する十分な堅牢性に欠けている。
• 初期潜在変数の修正（例：Tree-Ring）は、初期ノイズへの直接的な摂動に依存しており、潜在空間と最終的な画像の間の複雑で非線形なマッピングにより、セマンティック・ドリフト（意味論的な逸脱）を引き起こすことが多い。
• 制約付きサンプリング（例：Gaussian Shading）は、ユーザーに特定のサブスペースからのサンプリングを強制するため、生成の多様性と制御可能性を著しく制限する。
• 最適化ベースの手法（例：ROBIN、ZoDiac）は、潜在変数を反復的に洗練させるために、計算負荷の高いヒューリスティックな最適化に依存している。これは、高い学習オーバーヘッド、局所解への陥りやすさ、および大幅な推論レイテンシをもたらす。
• サンプラーへの依存性: 多くのセマンティック水透写スキームは拡散インバージョン（Diffusion Inversion）に依存しており、攻撃者がウォーターマークを除去するために利用できる不可逆サンプラー（例：Euler Ancestral、DPM++ SDE）に対しては効果がなくなる。

特定された核心的な問題は、ウォーターマークの埋め込みを拡散モデルの生成原理から直接導出するための精密かつ効率的なメカニズムが欠如していることであり、その結果、現在の手法はパフォーマンスを損なうヒューリスティックや制約に頼らざるを得なくなっている。

2. 手法：ALIENフレームワーク

著者らは、ヒューリスティックな最適化を、原理に基づいた解析的なウォーターマーク埋め込みへと置き換えるALIEN（Analytic Latent Watermarking for Controllable Generation）を提案する。このフレームワークは、主に2つの段階で構成される：

A. 知覚不可能な潜在ウォーターマーク生成

堅牢かつ不可視なウォーターマークを生成するために、ALIENは秘密エンコーダ（$E_s$）とデコーダ（$D_s$）を採用する。

• 特定の入力潜在変数 $z_0$ にウォーターマークを条件付けるのではなく（これは中間的な拡散ステップではアクセス不可能である）、システムはカバーに依存しないウォーターマーク残差 $\delta_w = E_s(m)$ を生成する。
• この残差は入力潜在変数に加えられる：$z_w = z_0 + \delta_w$。
• システムは、メッセージ抽出の正確性と、水透写された画像と再構成された画像の間の知覚損失（LPIPS、MSE）を最小化するように訓練される。これにより、VAEの再構成誤差を補償することなく、視覚的な一貫性を確保する。

B. 解析的SDE逆方向ドリフト補正

これが核心となる革新である。潜在変数を最適化するのではなく、ALIENはウォーターマークの制約を強制するために必要な拡散プロセスへの補正を解析的に導出する。

• 理論的基礎: この手法は、逆拡散プロセスを支配する分散保存型確率微分方程式（VP-SDE）を利用している。
• 解析的導出: 著者らは、ターゲットとなるウォーターマーク残差を、ノイズ予測に対する精密な補正項へと変換する、時間依存の変調係数を導出した。
  • スコア関数とデノイズ推定値の関係を分析することで、彼らは $z_0$ の制約（$\hat{z}_{wm}^0 = \hat{z}_{orig}^0 + \delta_{wm}$）を満たすために必要な、逆方向ドリフト項における正確なシフト（$\Delta F_{rev}$）を決定した。
  • これにより、各ステップにおいてU-Netのノイズ予測に注入される補償信号 $\Delta \epsilon_{wm}$ が得られる：
    $$\Delta \epsilon_{wm} = -\frac{\sqrt{\bar{\alpha}_t}}{\sqrt{1 - \bar{\alpha}_t}} \delta_{wm}$$
• 実装: 補正はデノイジングのステップ中に適用される。注入強度とタイムステップの範囲は調整可能であり、以下の2つの構成が可能である：
  • ALIEN-Q (Quality-Oriented): 高い視覚的忠実度に最適化されている。
  • ALIEN-R (Robustness-Oriented): 攻撃に対する耐性と安定性に最適化されている。

3. 主な貢献

本論文は、主に3つの貢献を述べている：

1. 初の解析的導出: 著者らは、ウォーターマーク伝搬のための時間依存の変調係数の初の解析的導出を提示している。これにより、反復的で計算コストの高いヒューリスティックな最適化の必要性が排除される。
2. サンプラー非依存性: 確率フローをノイズ予測ターゲットに対して直接補正することにより、本手法は特定のサンプリングパスに依存しない。これは、不可逆サンプラー（Euler a、DPM++ SDE）においても効果的に機能し、既存のセマンティック水透写における主要な脆弱性を解決している。
3. 理論的な制御可能性: 本フレームワークは、厳格な制約や事後的な最適化に頼るのではなく、ウォーターマーク信号に対する精密な理論的補償を活用することで、セマンティックの一貫性と視覚的忠実度を保証する。

4. 実験結果

著者らは、Stable Diffusion v1.5およびv2.1を用いて、最先端のベースライン（Tree-Ring、Gaussian Shading、ROBIN、ZoDiac、Stable Signature、StegaStampを含む）に対するALIENの評価を行った。

• 視覚的忠実度: ALIEN-Qは、5つの品質指標において、最高のベースラインを**33.1%**上回る最先端の不可知性を達成した。PSNR 32.41 dBおよびDreamSimスコア0.003を達成し、水透写されていない出力と同等の画像品質を維持した。
• 堅牢性: ALIEN-Rは、15の異なる条件下において、生成バリアントおよび安定性の脅威に対し、最先端の手法と比較して**14.0%**向上した堅牢性を示した。Tree-Ringなどの他の手法が完全に失敗した不可逆サンプラー（Euler a、DPM++ SDE）に対しても、高い検出信頼度（>0.999）を維持した。
• 効率性: ALIENは無視できるほどのオーバーヘッドで動作する。埋め込みには画像あたり0.079秒、抽出には0.023秒を要する。これは、ZoDiac（122秒以上）のような最適化ベースの手法よりも数桁速い。
• 攻撃耐性:
  • 再構成攻撃: ALIEN-Rは、4回の再生成を経ても高い検出信頼度（>0.875）を維持したが、競合他社はほぼゼロまで低下した。
  • 偽造攻撃: 本手法は、インプリンティングおよび平均的な偽造攻撃に対して優れた耐性を示し、ベースラインが容易に偽造される場面でも、抑制された信頼レベルを維持した。

5. 意義と主張

本論文は、ALIENがヒューリスティック、制約ベース、または最適化重視のアプローチから、原理に基づいた解析的なフレームワークへと、潜在ウォーターマークのパラダイムシフトを実現したと主張している。

• インバージョンの脆弱性の解決: 拡散インバージョンに依存しないことにより、ALIENは不可逆サンプラーによって悪用されるセキュリティギャップを埋め、使用される生成スケジューラに関わらずウォーターマークの検出可能性を保証する。
• トレードオフの解消: 本フレームワークは、堅牢性、忠実度、および効率性の間の伝統的なトレードオフを、成功裏に切り離している。反復的な最適化による計算コストや、制約付きサンプリングによる多様性の喪失を伴うことなく、高い堅牢性を実現している。
• 将来の展望: 著者らは、ALIENを、著作権侵害や悪質な悪用を軽減できる、より安全な生成AIへの基礎的なステップとして位置づけている。今後の研究として、偽造に対するセキュリティをさらに強化するために、コンテンツ認識型の潜在ウォーターマークの開発に焦ントすることに触れている。

結論として、拡散モデルの生成原理から直接ウォーターマーク埋め込みメカニズムを導出することにより、ALIENは、AI生成コンテンツのプロベナンス（起源）追跡のための、スケーラブルで効率的、かつ理論的に健全なソリューションを提供すると述べている。