💻 computer science

SHIFT: Stochastic Hidden-Trajectory Deflection for Removing Diffusion-based Watermark

SHIFT は、拡散モデルの逆拡散軌道を確率的に撹乱することで、モデルの再学習や透かしに関する知識を一切必要とせず、多様な拡散ベースの透かしを高い成功率で除去しつつ画像の視覚的品質を維持するトレーニング不要の攻撃手法です。

原著者： Rui Bao, Zheng Gao, Xiaoyu Li, Xiaoyan Feng, Yang Song, Jiaojiao Jiang

公開日 2026-04-01

📖 1 分で読めます☕ さくっと読める

原著者： Rui Bao, Zheng Gao, Xiaoyu Li, Xiaoyan Feng, Yang Song, Jiaojiao Jiang

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

🎨 背景：AI 画像の「透かし」とは？

まず、AI が写真のような画像を作る際、その中に**「これは AI が作ったよ」という目に見えないシール（透かし）**を貼り付ける技術があります。

仕組み： 画像を作る過程で、特定の「音階」や「パターン」を混ぜ込んでいます。
確認方法： 後からその画像を解析して、「あの特定の音階やパターンがちゃんと残っているか？」をチェックします。残っていれば「AI 製」と判定されます。
現状： この透かしは、画像を少し加工（圧縮や切り抜き）しただけでは消えないほど頑丈だと思われていました。

🕵️‍♂️ 発見：透かしの「弱点」は何か？

この論文の著者たちは、すべての透かし技術に共通する**「致命的な弱点」**を見つけました。

「透かしの確認は、『画像が作られた時の道筋（軌道）』が正確に元に戻せること」に依存している。

これを**「道筋の一致」と呼びましょう。
例えば、A 地点から B 地点へ行く際、「必ずこの道を通った」という証拠（透かし）があるなら、B 地点から逆算して A 地点に戻った時に、「同じ道を通ったか？」**を確認することで、透かしの有無を判定しています。

💡 解決策：SHIFT（シフト）という攻撃法

著者たちは、この「道筋の一致」を壊す方法を見つけました。それが**「SHIFT（Stochastic Hidden-Trajectory Deflection）」**という技術です。

🌊 アナロジー：川の流れを変える

イメージしてみてください。

元の画像は、ある川の上流から流れてきた「水」です。
透かしは、その水に混ぜられた「特別な色の染料」です。
従来の攻撃は、川の水をこすったり、色を薄めたりして染料を消そうとしますが、染料が川の流れ（軌道）に深く染み込んでいるため、なかなか消えません。

SHIFT のやり方はこうです：

一度、川を濁す（部分的な拡散）：
まず、その「染料が入った水」を、いったん川の上流側（ノイズ状態）に戻します。これにより、染料の「色」は薄まり、どの道を通ってきたかという「痕跡」がぼやけます。
新しい道を作る（確率的な再サンプリング）：
ここがポイントです。従来の方法なら「同じ道を通って戻そう」としますが、SHIFT は**「新しい道」をランダムに選びます。**
- 川の流れを、**「ランダムな風」**が吹くように変えてしまいます。
- 水（画像）は、元の「染料の痕跡」とは全く関係のない、新しい道を通って下流（完成した画像）に流れていきます。
結果：
- 見た目： 下流に流れてきた水は、元の川と**「同じような景色（意味や内容）」をしていますが、「流れてきた道筋」は全く違います。**
- 透かしの確認： 後から「どの道を通ってきたか？」を逆算して確認しても、「元の染料の道筋」とは一致しないため、「透かしなし（AI 製ではない）」と判定されてしまいます。

🛡️ なぜこれがすごいのか？

特別な知識がいらない：
どの透かしが使われているか（染料の色が何色か）を知る必要がありません。どんな透かしでも、この「道筋をずらす」方法が通用します。
画像の質が落ちない：
従来の攻撃（画像をガサガサに加工するなど）だと、画像がボヤけてしまいますが、SHIFT は「新しい道」を AI が自然に描くように導くため、画像の美しさや意味はそのまま保たれます。
計算が簡単：
複雑な計算や、画像ごとに何度も試行錯誤する必要はありません。一度やれば完了です。

📊 実験結果

9 種類の異なる透かし技術を使ってテストしたところ、95%〜100% の成功率で透かしを消し去ることができました。しかも、画像の質は他の攻撃方法よりも高く保たれています。

🚀 まとめ

この論文は、**「AI 画像の透かしは、作られた『道筋』に依存している」という共通の弱点を突いて、「一度道筋を消して、ランダムな新しい道で画像を作り直せば、透かしは消える」**というシンプルな原理を証明しました。

これは、AI 生成コンテンツの「出所証明」が、実は非常に脆いものだったことを示しており、今後は「道筋」ではなく、もっと強固な方法で出所を証明する技術が必要になるでしょう。

一言で言うと：
「AI 画像の透かしは『通った道』で証明している。だから、一度道を消して、ランダムな新しい道で同じ景色を作り直せば、透かしは消えてしまう」という、画期的な発見です。

論文要約：SHIFT (Stochastic Hidden-Trajectory Deflection)

～拡散モデルベースの透かしを除去するための訓練不要な攻撃手法～

1. 背景と課題 (Problem)

生成 AI、特に拡散モデル（Diffusion Models）は高品質な画像生成を可能にしましたが、その悪用（偽情報、著作権侵害、ディープフェイク）への懸念から、生成コンテンツの真正性を証明する「デジタル透かし」技術が急速に発展しています。

近年の拡散モデル用透かし（Tree-Ring, RingID, Gaussian Shading など）は、従来のポストプロセッシングとは異なり、生成プロセスそのもの（初期ノイズや潜在空間の軌道）に透かし情報を埋め込む方式を採用しています。これにより、JPEG 圧縮や回転などの従来の攻撃に対して高い頑健性を示しています。

しかし、既存の攻撃手法には以下の限界がありました：

決定論的再生成の限界: 決定論的サンプリング（DDIM など）を用いた画像再生成は、潜在空間の構造的周波数情報を保持してしまい、意味論的な透かし（Tree-Ring など）を除去できない。
最適化コスト: 潜空間での敵対的摂動を最適化する手法（Latent-noise forgery など）は、画像ごとに高コストな反復最適化が必要であり、スケーラビリティに欠ける。

これらの透かし手法は、検証時に**「生成軌道（Trajectory）が忠実に再構成可能であること」**という共通の仮定に依存しています。本研究は、この共通の脆弱性を突く新しい攻撃手法「SHIFT」を提案します。

2. 提案手法：SHIFT (Methodology)

SHIFT (Stochastic Hidden-Trajectory Deflection) は、透かしに特化した知識やモデルの再学習、敵対的最適化を一切必要としない「訓練不要（Training-free）」の攻撃手法です。

核心的な洞察

拡散モデルの検証プロセスは、生成された画像から初期ノイズを決定論的に逆算（DDIM 逆変換）し、埋め込まれた信号と一致するかを確認します。SHIFT は、**「確率的な逆サンプリング（Stochastic Reverse Sampling）」**によって、この生成軌道を意図的に逸脱（Deflection）させることで、再構成された初期ノイズと元の透かしノイズを統計的に無関係（Decoupled）にします。

攻撃の 2 段階プロセス

ステージ I：部分的前方拡散 (Partial Forward Diffusion)
- 透かし付き画像 $x_w$ を VAE エンコーダで潜在表現 $z_0$ に変換します。
- 指定された時間ステップ $t_\lambda$ まで、制御された前方拡散プロセスを実行し、 $z_{t_\lambda}$ を生成します。
- これにより、透かしに特有の軌道情報がガウスノイズによって部分的に希釈・消去されます。パラメータ $\lambda$ は、透かし除去と画像品質のトレードオフを制御します。
ステージ II：確率的逆再サンプリング (Stochastic Reverse Resampling)
- 部分ノイズ化された $z_{t_\lambda}$ から、**確率的サンプリング（Ancestral Sampling）**を用いて画像を再生成します。
- 各逆ステップで新しいブラウン運動ノイズ（ $\xi_t$ ）を注入します。これにより、生成軌道は初期点から一意に決定されず、完全に新しいランダムな軌道へと逸脱します。
- 結果として、防御者が DDIM 逆変換を行っても、元の透かしノイズとは無関係なノイズが復元され、検証が失敗します。

理論的保証

Wasserstein 距離を用いた理論分析により、SHIFT によって攻撃された画像から復元されるノイズは、元の透かしノイズと統計的に独立であることを証明しています。決定論的サンプリングでは軌道の依存性が残存しますが、確率的サンプリングはこの依存性を完全に断ち切ります。

3. 主要な貢献 (Key Contributions)

共通脆弱性の特定: 既存のすべての拡散透かし手法が「軌道の一貫性（Trajectory Consistency）」という共通の脆弱性を持っていることを特定し、統一的なセキュリティ分析の視点を提供しました。
SHIFT の提案: 透かし知識や最適化を必要とせず、確率的再サンプリングを用いて生成軌道を逸脱させる、汎用的かつ効率的な攻撃フレームワークを提案しました。
理論的証明: Wasserstein 距離解析に基づき、確率的再サンプリングが透かし検証を破る一方、決定論的再サンプリングでは不可能であることを形式的に証明しました。
高い実証効果: 9 つの代表的な透かし手法（ノイズ空間、周波数領域、最適化ベースの 3 つのパラダイムを含む）に対して、95%〜100% の攻撃成功率を達成し、かつ画像品質を維持しました。

4. 実験結果 (Results)

Stable Diffusion v2.1 をベースモデルとして、9 つの透かし手法（Tree-Ring, RingID, PRC, WIND, Gaussian Shading, GaussMarker, SFW, SEAL, ROBIN）および既存の 2 つの攻撃手法（Black-box attack, Forgery attack）と比較評価を行いました。

攻撃成功率 (ASR):
- SHIFT は全 9 手法で 95%〜100% の成功率を達成（平均 97.8%）。
- 既存の Black-box 攻撃（平均 96.8%）や Forgery 攻撃（平均 81.3%）を上回り、特に頑健な手法（Tree-Ring や Gaussian Shading）に対しても圧倒的な性能を示しました（例：Gaussian Shading に対し、Forgery 攻撃は 4% しか成功しなかったが、SHIFT は 97%）。
画像品質:
- CLIP スコア: 32.194（既存手法より高い意味的整合性）。
- FID (Fréchet Inception Distance): 73.471（既存手法より 23.8%〜31.2% 改善）。
- SHIFT は、画像のピクセルを粗く改変するのではなく、軌道レベルで操作するため、視覚的な品質と詳細の保存性が極めて高く、自然な画像を生成します。
軌道分離の分析:
- 攻撃後の復元ノイズと元の透かしノイズ間の距離（ $L_1, L_2$ ）を測定したところ、SHIFT はすべての手法で一貫して最大の距離を示し、ノイズがランダムな分布に近づいていることが確認されました。

5. 意義と将来展望 (Significance)

セキュリティへの警鐘: 現在の拡散モデル透かし技術が「軌道の再構成可能性」に依存しているという根本的な弱点を明らかにし、AI コンテンツの真正性保証のあり方を見直す必要性を提起しました。
汎用性の高さ: 特定の透かし方式に依存せず、モデルの再学習も不要なため、実世界での即座の適用可能性が高いです。
将来の方向性:
- 単一の軌道再構成に依存しない、より頑健なプロベナンス（出所証明）メカニズムの設計が必要である。
- 動画拡散モデルや、自己回帰モデルとフローマッチングを組み合わせたハイブリッド生成モデルにおける同様の脆弱性の検討が求められる。

結論として、SHIFT は、拡散モデルベースの透かしが「最も信頼できる解決策」と見なされている現状に対し、その信頼性を根本から揺るがす強力な攻撃手法であることを示しました。