技術要約: AnchorMark

問題提起

拡散モデルにおけるインバージョンベースのウォーターマーキングは、ペイロードを初期潜在空間に直接埋め込むことで、生成器の再学習なしに、画像生成および拡散インバージョンを通じてウォーターマークを形成することを可能にする。これらの手法は一般的な非幾何学的歪みに対しては効果的であるが、**回転攻撃（rotation attacks）**に対して根本的な失敗モードを持つ。

既存のインバージョンベースのマルチビット・スキームは、ペイロードビットを空間的にインデックス化された潜在キャリアに関連付けている。画像が回転すると、復元された潜在変数と期待されるビット位置との間の空間的な対応関係が崩れてしまう。これまでのアプローチにおけるこの問題への対処法は、以下の2つのカテゴリーに分類される：

1. 学習型シンクロナイザー（Learned synchronizers）: 変形を推定するために補助ネットワークを使用するが、追加の学習が必要であり、特定のアーキテクチャや攻撃分布に依存する場合がある。
2. 回転不変なスペクトル設計（Rotation-invariant spectral designs）: ウォーターマークの存在検出における方位感度を抑制するが、マルチビットのペイロード・トレーシングに必要な順序付けられた対応関係の復元には失敗する。

その結果、幾何学的変換下でのインバージョンベースのウォーターマークを同期させるための、軽量でモジュール式かつ学習を必要としないメカニズムが欠如している。

手法: AnchorMark

著者らは、AnchorMark、すなわち学習を必要としない、堅牢なインバージョンベースのウォーターマーキング・フレームワークを提案する。本手法の中核は、**回転同期性（Rotation Synchrony）**と呼ばれる、新たに特定された拡散潜在空間の構造的特性に基づいている。

1. 回転同期性 (Rotation Synchrony)

本論文では、画像ドメインの回転が、復元された初期潜在変数に同様の角度回転を誘発することを立証している。形式的には、角度 $\alpha$ だけ回転した生成画像 $I$ に対して、復元された初期潜在変数 $\hat{x}_T(\alpha)$ は、おおよそ次を満たす：
$$\hat{x}_T(\alpha) \approx R_\alpha x_T$$
ここで、$R_\alpha$ は回転演算子、$x_T$ は元の初期潜在変数である。この理想的な関係からの偏差は、VAEによるエンコーディング、拡散インバージョンのダイナミクス、および生成・インバージョン・サイクルに起因する残差によって制限される。実験的検証により、復元された潜在変数を回転させたリファレンスと比較することで、真の回転角の近傍に最小距離が得られることが確認されている。

2. 多周波位相アンカー (Multi-Frequency Phase Anchor)

Rotation Synchronyを同期に活用するため、AnchorMarkは、ペイロード領域から空間的に分離された、初期潜在変数の中心領域にコンパクトな多周波位相アンカーを埋め込む。

• 構成: アンカーは、角度周波数（$k_j$）をエンコードする正弦波・余弦波のチャネルペアで構成される。この設計により、空間的な回転を予測可能な解析的位相応答（$k_j \alpha$）へと変換する。
• 注入: アンカーは、**統計量校正注入（statistics-calibrated injection）**を用いて注入される。テンプレートは元の潜在パッチの平均と標準偏差に一致するように標準化され、混合パラメータ $\lambda$ を介して融合された後、各チャネルのモーメントを復元するために再校正される。これにより、分布の変化を最小限に抑え、画質を維持する。

3. 階層的同期と復元 (Hierarchical Synchronization and Recovery)

抽出プロセスは、2段階の階層的戦略を採用する：

1. アンカー誘導型グローバル登録（Anchor-Guided Global Registration）: 検出器はリファレンス・アンカーを再構成し、候補となる回転角に対して粗から精への探索を行う。復元されたアンカーと回転させたリファレンス・アンカーとの間の正規化マッチング損失を最小化することで、支配的な回転角を推定する。
2. ペイロード誘導型ローカル精緻化（Payload-Guided Local Refinement）: インターポレーションやインバージョン・ノイズによる残留的な不整合に対処するため、システムは初期推定値の周囲にローカルな候補セットを定義する。ペイロード領域における基礎となるウォーターマーク・デコーダの**検証信頼度（verification confidence）**を最大化することにより、角度を精緻化する。最終的なペイロードは、この精緻化された角度を用いて抽出される。

主な貢献

1. 回転同期性の特定: 著者らは、画像空間の回転が復元された初期潜在変数に相応する角度回転を誘発するという特性を定式化し、潜在空間における同期のための理論的根拠を提供した。
2. AnchorMarkフレームワーク: コンパクトな多周波位相アンカー、統計量校正注入、および階層的（粗から精への）登録戦略を組み合わせた、学習を必要としない堅牢なインバージョンベースのウォーターマーキング手法を提案した。
3. 実証的検証: 広範な実験により、AnchorMarkが回転および複合攻撃下においてビット精度を大幅に向上させつつ、画質と意味的忠実性を維持していることを示した。

実験結果

本手法は、Stable Diffusion (v1.5, v2.1, v3.5) および FLUX.1-dev モデルを用いて評価された。

• 回転に対する堅牢性: $\pm 5^\circ$ から $\pm 60^\circ$ の範囲の回転攻撃において、AnchorMarkは、ベースラインの手法が失敗する条件下でも高いビット精度を復元した。例えば、ShapeMarkに適用した場合、AnchorMarkはテストされたすべての角度において完全な復元に近い精度（Acc $\approx$ 1.00）を達成したが、ベースラインのShapeMarkは大きな角度においてランダムな推測レベル（$\approx$ 0.50）まで低下した。同様に、Gaussian Shadingも、検出率（TPR）がほぼゼロから $\approx$ 0.99へと回復した。
• 複合攻撃: AnchorMarkは、回転がリサイズ、JPEG圧縮、ガウスノイズ、およびメディアンブラーと組み合わされた場合でも、複数の拡散バックボーンにわたって安定した性能（TPR > 0.99, Acc > 0.94）を維持した。
• 画質: アンカーの導入による画質への影響は限定的であり、FIDおよびCLIPスコアの変化はベースラインの手法と同程度であった。
• アブレーション研究: 研究により、多周波設計（低周波の堅牢性と高周波の識別性の組み合わせ）が、単一周波数またはランダムなアンカーよりも優れていることが確認され、角度推定誤差を $0.5^\circ$ 未満に低減した。

意義と主張

本論文は、潜在空間における同期が、幾何学的変換下での堅牢なインバージョンベースのウォーターマーキングのための効果的なメカニズムであることを主張している。Rotation Synchronyの特性を活用することで、AnchorMarkは、基礎となる拡散モデルの変更や生成器の再学習を必要とせずに適用可能な、モジュール式で学習を必要としないソリューションを提供する。本手法は、マルチビットのペイロード復元における回転下の決定的なギャップを克服し、幾何学的歪みを伴うシナリオにおける信頼性の高いコンテンツ・プロベナンス（起源証明）と著作権保護を可能にする。