論文「Towards Robust Content Watermarking Against Removal and Forgery Attacks」の技術的サマリー

この論文は、テキストから画像を生成する拡散モデル（Diffusion Models）において、著作権保護や画像の真正性（Provenance）を確保するためのコンテンツウォーターマーキング技術の課題を解決する新しい手法「ISTS（Instance-Specific watermarking with Two-Sided detection）」を提案しています。既存の手法が「除去攻撃（Removal Attacks）」や「偽造攻撃（Forgery Attacks）」に対して脆弱であるという問題に対し、動的なパラメータ制御と双方向検出を導入することで、高い耐性を示すことを実証しています。

以下に、問題定義、手法、主要な貢献、実験結果、そして意義について詳細をまとめます。

1. 背景と問題定義

生成された画像の普及に伴い、著作権侵害や出所の不明確化が深刻な問題となっています。拡散モデルに対するウォーターマーキングは、画像に目に見えない識別子を埋め込むことで解決策として期待されています（例：Tree-Ring など）。

しかし、既存の手法には以下の重大な脆弱性があります：

• 静的なパターン: 多くの手法（Tree-Ring など）は、すべての生成画像に対して同じ周波数空間のパターンや同じ注入タイミングを使用します。
• 攻撃への脆弱性:
  • 除去攻撃: 攻撃者がウォーターマークを埋め込まれた画像から識別子を削除し、検出を回避しようとする攻撃。
  • 偽造攻撃: 攻撃者がウォーターマークのない画像に、あたかも生成モデルから作られたかのような偽のウォーターマークを付与しようとする攻撃。
• 既存手法の失敗: 最近の研究では、単一のウォーターマーク画像やその平均化を利用するだけで、既存の手法の識別子を容易に推測・除去・偽造できることが示されています。攻撃者は、静的なパターンという「既知の情報」を利用し、勾配降下法などで効率的に攻撃を成功させています。

2. 提案手法：ISTS (Instance-Specific watermarking with Two-Sided detection)

著者らは、攻撃者が事前にウォーターマークの構造を知っているという前提を崩すため、インスタンス固有（Instance-Specific）な動的なアプローチと双方向検出を組み合わせた新しいパラダイムを提案しました。

2.1 インスタンス固有のウォーターマーキング

各画像生成において、ウォーターマークの「注入タイミング」と「注入位置」を動的に決定します。

• セマンティックに基づく選択:
  1. まず、プロンプトに対してウォーターマークなしの画像を生成します。
  2. CLIP エンコーダを用いて、その画像のセマンティック特徴ベクトルを抽出します。
  3. 事前学習された「セマンティックベースのセレクター」を用いて、その特徴ベクトルに基づき、**注入ステップ（時間 $t$）と周波数空間上の座標（位置 $l$）**を決定します。
  4. 決定されたパラメータ $(t, l)$ を用いて、実際のウォーターマークを埋め込んだ画像を生成します。
• 効果: 画像の意味内容（セマンティクス）とウォーターマークのスタイルが強く相関するため、攻撃者が単一の画像や画像の平均から一般的なパターンを推測することが極めて困難になります。攻撃者が想定する静的な設定と実際の動的な設定のズレが攻撃の成功率を低下させます。

2.2 双方向検出 (Two-Sided Detection)

既存の「片側検出」は、攻撃者が潜在空間の表現を逆転させる（符号を反転させる）ことでウォーターマークを無効化できるという脆弱性を持っていました。

• 手法: 検出時に、ウォーターマークパターン $W$ と画像の潜在表現 $F(z_T)$ の距離を計算する際、以下の最小値を採用します。
  $$d = \min \left( \frac{1}{|M|} \sum |W_i - F(z_T)_i|, \quad \frac{1}{|M|} \sum |W_i + F(z_T)_i| \right)$$
• 効果: 攻撃者が意図的に潜在表現を逆転させても、もう一方の符号で一致する可能性があるため、検出を回避できなくなります。また、非攻撃状態では標準的なガウス分布の対称性により、検出精度は維持されます。

3. 主要な貢献

1. 動的注入戦略の導入: プロンプトのセマンティクスに基づいてウォーターマークのパターン位置と注入タイミングを動的に変化させることで、攻撃者の事前知識（静的なパターン）を無効化しました。
2. 双方向検出の提案: 潜在空間の符号反転攻撃に対する脆弱性を解消し、除去攻撃に対する耐性を大幅に向上させました。
3. 包括的な評価: 既存の主要なコンテンツウォーターマーキング手法（Tree-Ring, Gaussian-Shading, RingID など）と比較し、3 種類の除去攻撃と 3 種類の偽造攻撃に対する耐性を検証しました。

4. 実験結果

Stable Diffusion 2.1 をベースに、以下の攻撃シナリオで評価を行いました。

• 除去攻撃に対する性能:

  • Imp-Removal（勾配降下による単一画像からの除去）: 既存の最良の手法（Shallow Diffuse）が AUC 0.67 程度に低下する中、ISTS は AUC 0.82 を達成し、大幅な改善を見せました。
  • Avg-Removal（複数画像の平均化による除去）: 同様に高い耐性を示しました。
  • 最悪ケース: 攻撃者が最適な攻撃手法を選択した場合でも、ISTS は他のすべての手法を上回るロバスト性を維持しました。

• 偽造攻撃に対する性能:

  • Imp-Forgery（単一画像からの偽造）: 既存手法はほぼ 1.0 の AUC（偽造が容易）を示しましたが、ISTS は AUC 0.63 まで低下させ、偽造を大幅に困難にしました。
  • 最悪ケース: 偽造攻撃に対しても、平均・最悪ケースともに既存手法を凌駕する結果となりました。

• 画像品質と他の変形への耐性:

  • PSNR, SSIM, LPIPS, CLIP-Score などの指標において、ISTS は既存手法と同等かそれ以上の画像品質とテキストとの整合性を保っています。
  • 回転、ノイズ、ぼかし、切り抜き、JPEG 圧縮、拡散モデルによる浄化（Diffpure）などの画像変形に対しても、Tree-Ring や RingID と同等の高い耐性を示しました。

• アブレーション研究:

  • 「動的パターン」「動的注入ステップ」「双方向検出」の各コンポーネントを除去した実験により、これらすべてがロバスト性向上に不可欠であることが確認されました。特に、偽造攻撃への耐性は動的パターン、除去攻撃への耐性は双方向検出がそれぞれ大きく寄与しています。

5. 意義と結論

この論文は、生成 AI によるコンテンツの真正性保証において、**「静的なウォーターマークは攻撃者に構造を漏らしている」という根本的な弱点を指摘し、「インスタンス固有の動的な制御」**によってこれを解決する道筋を示しました。

• 実用性: 攻撃者が単一の画像や統計的な平均からパターンを推測・除去・偽造することが極めて困難になるため、実社会での著作権保護や出所証明の信頼性が向上します。
• 将来展望: 現状でも最悪ケースでのロバスト性は完全ではなく、さらに強化が必要ですが、この「動的化」と「双方向検出」というアプローチは、今後のコンテンツウォーターマーキング研究の重要な指針となります。

総じて、ISTS は、除去攻撃と偽造攻撃の両方に対して、既存のあらゆる手法を上回るロバスト性と実用性を兼ね備えた、画期的なウォーターマーキング手法です。