💻 computer science

Are Watermarked Images Editable? SafeMark for Watermark-Preserving Text-Guided Image Editing

本論文は、テキストガイド付きのセマンティック編集が編集品質や堅牢性を損なうことなく透かし整合性を維持することを保証するために、拡散ベースの画像編集器に透かし復号損失を統合するフレームワーク「SafeMark」を導入する。

原著者： Xiaodong Wu, Qi Li, Xiangman Li, Zelin Zhang, Lingshuang Liu, Jianbing Ni

公開日 2026-05-20

📖 1 分で読めます☕ さくっと読める

原著者： Xiaodong Wu, Qi Li, Xiangman Li, Zelin Zhang, Lingshuang Liu, Jianbing Ni

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

デジタル写真を持っていると想像してください。自分が作成したことを証明するために、その写真に「所有権コード」（透かし）を密かに押印しています。次に、スマートな AI ツールを使ってその写真を変更したいと想像してください。晴れた日を雨の日に変えたり、犬の毛色を変えたりするのです。

この論文が取り組む大きな問題はこれです：もし写真を編集したら、その見えない押印は消えてしまうのでしょうか？

過去には、人物の表情や背景全体など、画像の意味を変えるような強力な AI 編集ツールを使用すると、その見えない押印はしばしば消し去られてしまい、画像の所有者を証明することが不可能になっていました。既存の方法は、編集に耐えられるように押印を「頑丈」にしようとしたのですが、すべての AI 編集ツールが異なる仕組みで動作するため、失敗しました。まるで、あらゆる種類の剣に対する盾を作ろうとしても、剣の形が次々と変わってしまうようなものです。

解決策：SafeMark

著者たちは SafeMark という新しいシステムを提案しています。単に押印を頑丈にするのではなく、編集ツールの動作そのものを変えたのです。

簡単な比喩を挙げましょう：
あなたは、顧客の要望（テキストプロンプト）に基づいて像を彫る彫刻家（AI 編集者）だと想像してください。

従来の方法： 好きなように像を彫ります。顧客が「悲しそうな顔」を求めれば、悲しそうな顔にします。しかし、その過程で、台座に彫られた小さな隠されたシリアルナンバーを誤って欠けてしまうかもしれません。
SafeMark の方法： 特別なルールを与えられます。「顔は悲しそうなものにしなさい、しかし、シリアルナンバーを欠けてはならない」というルールです。彫刻がシリアルナンバーを損傷し始めると、システムが即座に手を修正するように促し、完成した像が悲しそうな表情でありながら、シリアルナンバーも無傷で残っていることを保証します。

仕組み（「秘密のソース」）

論文では技術的なプロセスが説明されていますが、ここでは日常言語で説明します。

二重チェック： AI が画像を編集する際、SafeMark は最終的な画像だけを見るのではありません。常に確認します。「要求通りに画像は変更されましたか？そして、見えないコードは依然として読み取れますか？」
ペナルティ： 編集プロセスがコードを消去し始めると、SafeMark は AI の学習に「ペナルティ」（数学的な叱責）を加えます。「止まれ！所有権の証明を消去している。戻って修正せよ」と伝えるのです。
結果： AI は綱渡りを学ぶことになります。要求された変更（ひげの追加や天候の変更など）を成功させながら、見えない透かしを完璧に無傷のまま維持するのです。

発見されたこと

研究者たちは、この手法を顔、犬、建物などさまざまな種類の画像、そしてさまざまな AI 編集ツールでテストしました。

SafeMark なし： 画像を編集すると、見えないコードはしばしば破損しました。時には 99% 読み取れていたものが、編集後は 60%、あるいは 30% まで低下し、実質的に無用になっていました。
SafeMark あり： 見えないコードは、過酷な編集の後でもほぼ 100% の確率で読み取れる状態でした。
画質： 編集された画像は依然として美しく、ユーザーの要望に合致していました。「保護」によって芸術性が損なわれることはありませんでした。

結論

この論文は、一石二鳥が可能であることを証明しています。高度な AI を使って思いのままに画像を編集しながらも、その画像は永久に破られない所有権の証明を保持し続けることができるのです。

著者たちはまた、限界についても指摘しています。画像を過度に劇的に変更する場合（例えば、主要な物体を全く別のものに取り替えるなど）、システムは新しい外観と古いコードの両方を維持することに苦労する可能性があります。しかし、通常の編集タスクにおいては、SafeMark は見事な働きをし、「デジタル指紋」がリメイク後も生き残ることを保証します。

技術概要：透かし保持型テキスト誘導画像編集のための SafeMark

問題定義

テキストから画像へのモデル（Stable Diffusion、DALL-E 3 など）の急速な発展により、反復的なノイズ除去を通じて、強力な意味論駆動型の画像編集が可能となった。一方、不可視画像透かしは静的生成における所有権検証および出所追跡のための重要なツールとして確立されているが、テキスト誘導拡散編集下におけるその堅牢性は、ほとんど未探索の領域である。

既存の堅牢な透かし手法（HiDDeN、VINE、SleeperMark など）は、通常、敵対的防御パラダイムを採用し、JPEG やリサイズなどの定義済み歪みや、特定の編集行動に対してエンコーダを訓練する。しかし、本論文は、これらの手法が多様で異質な拡散エディタ間で一般化できないことを実証している。DiffusionCLIP、Asyrp、Eff-Diff などのテキスト誘導エディタを用いて画像を編集すると、透かしビットの精度は著しく低下する（場合によっては約 0.99 から約 0.30 へ低下するなど）。核心的な研究課題は以下の通りである：透かし付き画像は、透かしの完全性を損なうことなく編集可能か？ 本論文は、現在の「堅牢な」透かしがエディタ依存であることを主張し、編集プロセスそのものの間に完全性を強制するための新たなアプローチが必要であると論じている。

手法：SafeMark

著者らは、透かしの堅牢性のみを頼るのではなく、画像編集の最適化プロセス内で透かし保持を明示的な目的として扱うフレームワークSafeMarkを提案する。

1. 問題定式化

SafeMark は、透かし保持型編集を制約付き最適化問題として定式化する。メッセージ $w$ を持つ透かし付き画像 $x_{orig}$ 、エディタ $E_\theta$ 、およびプロンプト $p$ が与えられたとき、透かし精度の制約を満たしつつ、意味的損失を最小化するパラメータ $\theta^*$ を見出すことが目標である：
$\min_\theta \mathbb{E}[L_{sem}(x_{edit}, x_{ref})] \quad \text{s.t.} \quad \text{Acc}(\hat{w}, w) \geq \tau$
ここで、 $x_{edit} = E_\theta(x_{orig}, p)$ 、 $\hat{w}$ は復号された透かし、 $\tau$ は目標精度閾値である。

2. 情報理論的基盤

本論文は、ビット精度を直接最適化することの理論的根拠を提供する。

相互情報量 bound: 透かしの復元可能性は、エディタチャネルによって保持される相互情報量 $I_\theta(W; X_e)$ によって制限される。
代理変数としてのビット精度: 著者らは（ファノの不等式と補題 1 を通じて）、高い平均ビット精度 $\bar{a}$ を維持することが、この相互情報量の下限を与えることを証明する。具体的には、 $\bar{a} \geq \tau$ を強制することで、復元に必要な最低限の情報保持レベルが保証される。

3. 訓練目的とヒンジペナルティ

ハードビット精度は微分不可能であるため、SafeMark は微分可能な代理変数（Brier 型損失）に対する閾値付きヒンジペナルティを用いて制約を緩和する：
$L_{wm} = \max(0, \tau - \hat{g}_{Acc}(\hat{w}, w))$
ここで、 $\hat{g}_{Acc}$ はビット精度の滑らかな近似である。総訓練目的関数は、意味的忠実度と透かし保持を組み合わせる：
$L_{total} = \lambda_{sem} L_{sem} + \lambda_{wm} L_{wm}$

意味的整合性: 編集がユーザーの意図に忠実であることを保証するため、凍結された事前学習済みエディタ $E_{\theta_0}$ を用いて参照編集 $x_{ref}$ を生成する。意味的損失 $L_{sem}$ は、学習可能なエディタの出力がこの参照に近いこと（ $L_1$ 距離）を促す。
アーキテクチャ: SafeMark は、基盤となる拡散エディタのアーキテクチャ変更を必要としない。透かしエンコーダ/デコーダを固定したまま、エディタパラメータ $\theta$ を微調整することで動作する。勾配は最終的なノイズ除去出力のみを通じて流れる。

主要な貢献

エディタ依存性の経験的特定: 既存の堅牢な透かし手法が、異なるテキスト誘導編集パイプライン間で一般化できないことを実証。性能は使用される特定のエディタに依存して劇的に変動することを示した。
理論的基盤の確立: 透かし保持型編集の情報理論的基盤を確立。ビット精度が相互情報量保持の扱いやすい代理変数であることを示し、ヒンジペナルティ目的関数の使用を正当化した。
SafeMark フレームワーク: 透かし監視を編集目的に直接統合する新規手法。意味的編集品質を犠牲にすることなく、多様なエディタおよびデータセット全体で、ほぼ完璧な透かし復元（ビット精度 $\approx 1.0$ ）を達成する。
堅牢性の検証: SafeMark で保護された画像が、回転、ぼかし、リサイズなどの一般的な編集後歪みに対して堅牢であることを示し、編集中の保持強制が標準的な画像破損に対する耐性を低下させないことを確認した。

実験結果

このフレームワークは、実画像（LSUN-Church、LSUN-Bedroom、CelebA、AFHQ-Dog）および AI 生成画像で評価され、複数の透かし方式（HiDDeN、VINE、Stable Signature、SleeperMark）と 3 つの異なる拡散エディタ（DiffusionCLIP、Asyrp、Eff-Diff）が使用された。

透かし保持: 直接編集（"Mani"）はビット精度を著しく低下させた（例：Bedroom 画像における VINE は Asyrp 下で 0.999 から 0.299 へ低下）が、SafeMark はすべての設定で精度を1.000（または 0.999 などのほぼ完璧なレベル）に一貫して回復させた。
意味的忠実度: SafeMark は編集の品質を損なわなかった。FID、Inception Score (IS)、CLIP 類似度などの指標は、SafeMark の出力が直接編集と知覚的・意味的に近いことを示した。「Comp」指標（SafeMark 編集と直接編集の比較）は低い FID 値を生み出し、透かし制約が画像を元に戻す方向に強制したり、出力を崩壊させたりしていないことを示した。
編集後堅牢性: クロップやぼかしなどの歪み下でも、SafeMark は高いビット精度を維持し（失敗率は一般的に 0.15 未満）、保持された透かし信号がその後の処理に対して堅牢であることを示した。

意義と主張

本論文は、意味的編集可能性と透かしの完全性は本質的に両立可能であると主張する。意味的編集下での透かしの劣化は、編集プロセスの固有の限界ではなく、制約のない編集ダイナミクスに起因する結果である。

「編集に対する堅牢な透かし」から「透かし保持型編集」へとパラダイムをシフトさせることで、SafeMark は信頼性の高い画像出所管理のための設計時の解決策を提供する。著者らは、SafeMark を、画像編集サービス提供者が高品質で意味論駆動型の操作を提供しつつ、所有権信号が復元可能であることを保証するメカニズムとして位置づける。これは、出所保護を外部の追加機能ではなく、編集パイプラインの不可欠な一部として再定義し、生成編集ワークフローにおける信頼性の高い画像出所管理を可能にする。

本論文は、限界を控えめに認めている：SafeMark は現在、エディタへのホワイトボックスアクセスと、各アーキテクチャごとの別個の微調整ステップを必要とし、透かしの容量を超えてシーンのレイアウトを根本的に変更する極めて攻撃的な構造的編集には課題が生じる可能性がある。しかし、それは設計によって透かし保持を強制できるという重要な概念実証を確立している。