Do Modern Post-Hoc Watermarking Methods Beat Broken-Arrows?

技術的サマリー：現代のポストホック透かし手法はブローケン・アローズに勝るのか？

問題定義
生成 AI、特に拡散モデルの急速な普及は、AI 生成コンテンツを特定するための堅牢なメカニズムを必要としています。規制当局（EU AI 法、ホワイトハウス大統領令など）は追跡可能性を義務付けていますが、現代のポストホック透かし手法と古典的手法の比較評価にはギャップが存在します。深層ニューラルネットワーク（DNN）を用いて埋め込みと復号を行う現代的手法は、その柔軟性と訓練中の複雑な増幅への対応能力により、優れているとしばしば想定されています。しかし、これらの手法は秘密鍵の概念のような古典的スキームの理論的セキュリティ基盤を欠き、敵対的例に対する脆弱性を継承しています。本論文は、現代の手法がしばしば狙う高容量のマルチビットペイロードよりも、セキュリティと堅牢性を優先する現実的なゼロビット検出設定において、現代のポストホック手法が古典的手法を一貫して上回るかどうかを調査します。

手法
著者は、2 つの現代のポストホック手法（VideosealとTrustMark）と 1 つの古典的手法（Broken-Arrows）の 3 つの透かしスキームについて、堅牢性、不可視性、セキュリティを評価する公平な比較フレームワークを提案します。

• ゼロビット変換: 通信ではなく追跡可能性に焦点を当てた公平な比較を確保するため、マルチビットの現代型デコーダをゼロビット検出器に変換しました。これは、デコーダの部分空間への射影をハイパーコーン検出器として扱い、抽出されたベクトルと秘密ベクトルとの間の角度を比較することで達成されました。
• 実験設定: 実験には MFlickr データセットから 200 枚の自然画像（1024×1024）を使用しました。不可視性の制約を固定するため、透かし信号をスケーリングし、元の画像に対して PSNR 42dB を達成するようにしました。
• セキュリティシナリオ: 評価では、4 つの攻撃者の知識レベルをテストしました。
  1. ホワイトボックス: 検出器（Broken-Arrows の場合は鍵も含む）への完全なアクセス。攻撃には、DNN に対する DDN 境界射影攻撃と、Broken-Arrows に対する最適閉形式攻撃が含まれます。
  2. ブラックボックス: クエリ/レスポンス経由でのみ検出器へのアクセス。CGBA 攻撃を固定クエリ予算で用いました。
  3. オラクル: 攻撃者が攻撃を導くためにプロキシ（オラクル）を使用します。2 つの手法をテストしました。WmForger（選好モデルを使用）と、VAE 精製および PSNR をオラクルとして使用する修正版の**Watermark In the Sand (WIS)**攻撃です。
  4. ブラインド: 検出器またはオラクルへのアクセスなし。これには、古典的な値メトリック変換（JPEG 圧縮など）と、拡散モデル（SANA、Stable-Diffusion-2.1）を用いた再生攻撃が含まれます。
• 指標: パフォーマンスは、固定された誤検知確率（$\alpha = 10^{-6}$）における攻撃成功率（ASR）と、成功に必要な歪み（PSNR）によって測定されました。

主な貢献

1. 統合評価フレームワーク: 本論文は、ゼロビット仮定のもとで現代と古典の透かしを比較する手法を確立し、マルチビットの現代型デコーダを古典的検出理論と整合させるハイパーコーン検出器に変換します。
2. 包括的なセキュリティ分析: 完全なホワイトボックスアクセスからブラインド攻撃まで、4 つの異なる脅威モデルにわたる堅牢性とセキュリティの体系的な比較を提供し、DNN ベースの検出器の特定の脆弱性を浮き彫りにします。
3. トレードオフの実証的証拠: ゼロビット設定において、古典的手法が堅牢性を犠牲にすることなく、しばしば優れたセキュリティを提供することを示すことで、現代的手法の優位性という仮定に挑戦します。

結果

• ホワイトボックスおよびブラックボックスシナリオ: Broken-Arrowsは、Videoseal と TrustMark の両方を大幅に上回りました。現代の DNN ベースの検出器は非常に脆いことが判明しました。現代手法では、最小限の歪み（量子化限界未満、約 60dB）で攻撃がほぼ 100% 成功しましたが、Broken-Arrows は 100% 成功するために著しく高い歪み（約 40dB）を必要としました。著者はこれを、DNN のピクセル空間検出領域における「盲点」に起因すると説明しており、これは勾配ベースの攻撃によって容易に悪用されます。
• オラクルシナリオ: 低歪み攻撃（PSNR $\geq 35$ dB）において、Broken-Arrows が最も安全でした。Videoseal はより高い歪みレベルで優れた耐性を示しましたが、WmForger 攻撃は TrustMark に対して非常に効果的でした。WIS 攻撃（VAE 精製）は中周波のウェーブレット係数を体系的に除去し、現代的手法よりも Broken-Arrows に影響を与えましたが、Broken-Arrows は全体的に堅牢でした。
• ブラインドシナリオ: 3 つの手法すべてが、標準的な値メトリック操作および再生攻撃に対して堅牢であり、透かしを消去するには少なくとも 30dB の歪みを必要としました。Videoseal は Broken-Arrows に比べて強力な JPEG 圧縮に対する堅牢性でわずかな gains を示しましたが、TrustMark は最も性能が劣りました。

意義と主張
本論文は、ゼロビット設定において現代のポストホック透かし手法が古典的手法を一貫して上回らないと結論付けています。主な発見は重要なトレードオフです。すなわち、現代の DNN ベースの手法は、テストされた条件下では堅牢性の面で有意な向上をもたらさない一方で、敵対的摂動への感受性と秘密鍵メカニズムの欠如により、セキュリティが著しく低下します。

著者は、現代の手法が主に高容量のマルチビットペイロードのために最適化されており、このゼロビット評価では扱われていない目標であることを強調しています。さらに、本研究は限界を認めており、値メトリック操作に焦点を当てており、現代の手法がしばしば同期技術を通じて処理する幾何学的歪み（切り抜き、回転など）を考慮していないと指摘しています。この研究は、透かしにおける深層学習の柔軟性が、攻撃対象領域の拡大と、確立された古典的デザインに比べて低下したセキュリティ保証の代償を伴うという戒めとして機能します。