技術的概要：拡散モデルのための第一原理に基づくセキュアなシードベース多ビット透かし

問題提起

生成画像モデルの急速な台頭は、特にシード埋め込みのような「生成内（in-generation）」手法を含む、専門的な透かし技術の開発を促進しました。しかし、著者らは、この分野における現在の評価が、拡散モデル、VAE、スケジューラなどの特定のモデルアーキテクチャや逆転パイプラインに強く依存する経験的テストに基づいているため、根本的に欠陥があると主張しています。この経験的依存性は、特にセキュリティに関して、透かし方式の性能に関する明確で一般化可能な結論を導き出すことを妨げています。

さらに、「品質」と「頑健性」の既存の定義は生成モデルに紐付いているため、使用されたモデルに依存せずに透かしシステムをランク付けすることは不可能です。同様に、暗号学的セキュリティと透かしセキュリティの区別はしばしば曖昧になっています。Gaussian-Shading や PRC などの方式は暗号学的セキュリティを主張していますが、キャリア（シード）が隠されていないため、秘密鍵なしで埋め込まれたメッセージを取得できる「なりすまし攻撃（spoofing attacks）」を防ぐことができていません。

手法

1. 分離された評価フレームワーク

核心的な方法的貢献は、モデル依存部分（逆拡散プロセス）を透かしシステムの決定メカニズムから分離することです。これにより、生成モデルに依存しない厳密な理論的解析が可能になります。著者らは、3 つの主要な量に基づくフレームワークを提案します。

• 容量（頑健性）: 経験的頑健性テストの代わりに、著者らは決定メカニズムを反転確率 $p$ を持つ対称二値チャネル（BSC）としてモデル化します。透かし空間におけるノイズの分散 $\sigma^2$ によって、投影関数 $f$ の頑健性を定義します。システムの容量は、BSC に対するシャノンの容量式 $C_\sigma = 1 - h_2(p_k(\sigma))$ を用いて導出されます。ここで、$p_k(\sigma)$ はノイズ分散をビット誤り率にマッピングするチャネル特性です。
• 忠実度（品質）: FID や CLIP スコアなどの経験的画像指標（著者らはこれらが不十分かつモデル依存であると主張）から離れ、忠実度を標準ガウス分布のシード分布（カバー分布）と透かし済みシード分布との間のカルバック・ライブラー（KL）ダイバージェンスとして定義します。システムが $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$ を満たす場合、そのシステムは $\zeta$-faithful（忠実）であるといいます。
• セキュリティ: 著者らは暗号学的セキュリティと透かしセキュリティを区別します。セキュリティ比 $\eta$ を定義し、攻撃者がランダム推測よりも秘密鍵を推定するために必要な透かし済みサンプルの数を測定します。彼らは、符号語キャリア（Gaussian-Shading のようなもの）を隠蔽しない方式は、主成分分析（PCA）攻撃に対して脆弱であり、セキュリティ比が $\eta = 1/L$ になることを指摘しています。

2. SSB（Secure Seed-Based）構成

このフレームワークに基づき、著者らは Voronoi 変調とネストされた格子（nested lattices）に着想を得た、新しい多ビット透かし手法 SSB を提案します。

• 埋め込み: この手法は、秘密鍵 $U$（ユニタリ行列）を用いて潜在空間を回転させます。粗い格子 $\Lambda_\Delta$ と細かい格子 $\Lambda_\delta$ の 2 つのネストされた 1 次元格子を採用します。埋め込みアルゴリズムは、粗い格子関数 $\Lambda_\Delta(z_u)$ が目的の二値符号語 $c$ を出力するように、ベクトル $z_u$ をサンプリングします。
• 投影: ベクトル $z_u$ を、秘密鍵 $U$ と $U$ に直交するランダムノイズ成分を用いて潜在空間へ投影し、生成されたシードが拡散プロセスに対して有効であることを保証します。
• 復号: 検出器は、透かし済み画像を潜在空間へ投影し、回転 $U^\top$ を適用し、符号語を復元するために粗い格子関数 $\Lambda_\Delta$ を適用します。

主要な貢献

1. 理論的フレームワーク: 本論文は、透かし決定メカニズムを生成モデルから分離する形式的評価フレームワークを導入します。これにより、使用された拡散モデルに依存せず、セキュリティ、容量、忠実度のトレードオフを表す特性曲面に基づき、透かしシステムを精密に比較することが可能になります。
2. SSB アルゴリズム: 著者らは、従来のシードベース手法の一般化である SSB を設計しました。格子パラメータ $(\Delta, \delta)$ を調整することで、SSB は広範なセキュリティ - 忠実度 - 容量のトレードオフ空間で動作できます。特に、非ゼロの容量を維持しながらも、透かし済み共分散行列の固有値がカバー分布と区別できない完全なセキュリティ（$\eta = +\infty$）を達成できます。
3. 経験的検証: 本論文は、理論的仮定の実証的検証を提供します。逆拡散によって導入されるノイズが、潜在空間において付加白色ガウスノイズとして正確にモデル化できること、および容量とセキュリティに関する理論的予測が、SSB、Gaussian-Shading、PRC における経験的結果と一致することを示しています。

結果

• 理論と経験の一致: Sana、Z-Image、Qwen の拡散モデルを用いた実験は、理論モデル（ガウスノイズを伴う BSC チャネル）が透かしシステムのビット誤り率と容量を正確に予測することを確認しました。
• 性能比較:
  • Gaussian-Shading と PRC: これらの既存手法は、キャリアを隠蔽しないためセキュリティ比が低く（$\eta = 1/L$）、PCA 攻撃に対して脆弱です。また、容量と忠実度のトレードオフも最適ではありません。
  • SSB: 提案手法は、ユーザーがレジームを選択できるようにすることで、既存のアプローチを上回ります。例えば、特定の構成（$\Delta=1.6, \delta=0$）は、実用的な容量を維持しながら完全なセキュリティ（$\eta = +\infty$）を達成し、これは従来の手法では達成不可能な領域です。
• 頑健性: この研究は、JPEG 圧縮、クロッピング、明るさ/コントラスト調整などの一般的な画像操作によって、異なる拡散モデルで導入される等価ガウスノイズ分散（$\sigma^2$）を定量化し、頑健性のための標準化された指標を提供します。

意義と主張

本論文は、透かし研究のパラダイムを場当たり的な経験的最適化から理論的保証を伴う設計へと転換させると主張しています。透かしロジックを生成モデルから分離することで、著者らは以下が可能になると論じています。

• 新しい拡散モデルごとに再評価する必要なく、ある透かしシステムが他よりも優れている（例：「システム A はシステム B より頑健である」）という決定的な主張が可能になります。
• 暗号学的セキュリティと透かしセキュリティを混同することから脱却し、キャリアが露出するなりすまし攻撃という特定の脅威に対処できます。
• SSB 手法は、セキュリティ、容量、忠実度に対する特定の要件に合わせて調整可能な、理論的に裏付けられた柔軟な解決策を提供し、すべての新しいイテレーションに対して高コストなモデル固有の経験的評価を必要としない、現代的な透かしシステムへの道を開きます。

著者らは、分析が BSC モデルを仮定していること、および今後の研究で AWGN モデルとのギャップを探求し、投影関数（逆拡散）を改善し、フレームワークを 0 ビットシードベース透かしに拡張できる可能性があることを指摘し、謙虚な姿勢を示しています。