기술 요약: 확산 모델을 위한 가이드 워터마킹

문제 제기

확산 모델의 급속한 발전은 고품질의 사실적인 이미지 생성을 가능하게 하여, AI 생성 콘텐츠의 추적 가능성과 식별에 관한 중대한 우려를 불러일으켰습니다. 규제 기관 및 산업 이해관계자들은 AI 생성 데이터로 인한 모델 붕괴를 방지하고 사용자에게 비현실적 콘텐츠에 대해 경고하기 위해, 합성 미디어와 실제 이미지를 구별할 수 있는 강력한 메커니즘을 요구하고 있습니다.

확산 모델을 위한 기존 워터마킹 전략은 일반적으로 두 가지 범주로 나뉘며, 둘 다 한계가 있습니다:

1. 사후 워터마킹 (Post-hoc Watermarking): 생성된 이미지 이후에 신호를 임베딩합니다. 이러한 방법들은 성숙했지만, 생성된 이미지를 "호스트"로 취급하며 워터마크를 생성 과정의 의미론적 콘텐츠에 통합하지 못하는 경우가 많아 견고성이 제한될 수 있습니다.
2. 생성 중 워터마킹 (In-Generation Watermarking): 생성 과정 자체를 수정합니다. 현재 접근 방식에는 다음이 포함됩니다:
   • 시드 기반 방법 (예: Tree-Rings, Gaussian Shading): 초기 노이즈 시드에 패턴을 임베딩합니다. 이러한 방법들은 기하학적 공격 (예: 자르기, 회전) 에 종종 취약하며 이미지의 의미론적 콘텐츠나 구성을 변경할 수 있습니다.
   • VAE 기반 방법 (예: Stable Signature): 확산 과정의 끝에서 변이 오토인코더 (VAE) 를 미세 조정합니다. 효과적이지만, 워터마크 에너지를 고주파 세부 사항에 집중시켜 저역 통과 필터링 (예: JPEG 압축) 에 취약합니다. 또한 모델의 재학습 또는 미세 조정이 필요합니다.

중요한 과제가 남아 있습니다: 이미지 품질과 다양성을 유지하면서 확산 모델이나 워터마크 디코더를 재학습하지 않고도 견고한 사후 워터마킹 방식을 생성 중 방식으로 전환하는 것입니다.

방법론

본 논문은 오프더셸 (off-the-shelf) 워터마크 디코더의 그래디언트를 사용하여 샘플링 궤적을 안내함으로써 확산 과정 중에 워터마크를 임베딩하는 가이드 워터마킹 (Guidance Watermarking) 방법을 제안합니다.

핵심 메커니즘

이 방법은 워터마크 디코더를 미분 가능한 분류기로 취급합니다. 이미지를 생성한 후 워터마크를 확인하는 대신, 확산 과정을 디코더가 본질적으로 워터마크가 있는 것으로 식별하는 이미지를 생성하도록 유도합니다.

1. 그래디언트 기반 안내 (Gradient-Based Guidance):
   표준 탈노이즈 단계 $\epsilon_\theta(z_t, t)$는 잠재 변수 $z_t$에 대한 손실 함수 $L$의 그래디언트에 비례하는 항을 빼서 수정됩니다:
   $$\hat{\epsilon}(z_t, t) := \epsilon_\theta(z_t, t) - \omega \sqrt{1 - \bar{\alpha}_t} \nabla_{z_t} \log L(z_t)$$
   여기서 $\omega$는 안내 강도를 제어합니다.

2. 손실 함수 (Loss Function):
   손실 $L$은 생성된 이미지에서 추출된 특징 벡터 $\phi(x_0(z_t))$와 비밀 워터마크 벡터 $u_m$ 사이의 각도를 최소화하도록 정의됩니다. 0 비트 검출의 경우, 이는 코사인 유사도를 최대화하는 것과 동일합니다:
   $$L(z_t, u_m) := 1 - \cos(\phi(x_0(z_t)), u_m)$$
   이 손실을 최소화하면 워터마크된 이미지에 대한 p-값을 줄여 검출 확률을 높입니다.

3. 증강을 통한 견고성 (Robustness via Augmentation):
   디코더가 원래 훈련받지 않은 공격에 대한 견고성을 보장하기 위해, 그래디언트 계산에는 일련의 이미지 변환 $\mathcal{T}$ (예: JPEG 압축, 밝기/대비 조정, 자르기) 가 포함됩니다. 이러한 증강된 뷰에서 얻은 그래디언트들은 (상충되는 그래디언트 방향을 처리하기 위해 PCGrad 알고리즘을 사용하여) 집계되어 노이즈 추정을 업데이트합니다:
   $$\hat{\epsilon}_{\mathcal{T}}(z_t) := \epsilon_\theta(z_t) - \sqrt{1 - \bar{\alpha}_t} \text{Agg}(\{\nabla_{z_t} \log L(z_t, u_m; T) \mid T \in \mathcal{T}\})$$
   이를 통해 방법은 사전 훈련된 디코더의 견고성을 상속받고 디코더를 재학습하지 않고도 새로운 변환으로 확장할 수 있습니다.

4. 최적화 (Optimizations):

   • 부분 안내 (Partial Guidance): 계산 비용을 줄이기 위해 확산 과정의 마지막 $T_w$ 단계에서만 안내가 적용됩니다.
   • 그래디언트 클리핑 (Gradient Clipping): 시각적 아티팩트를 방지하기 위해 그래디언트 노름이 클리핑되며, 안내 강도는 하이퍼파라미터 ($\omega, \eta, \tau$) 를 통해 제어됩니다.

주요 기여

1. 가이드 기반 생성 중 워터마킹의 최초 도입: 본 논문은 그래디언트 안내를 사용하여 워터마크를 확산 과정에 직접 임베딩하는 최초의 방법을 제시하여, 모든 사후 방식을 생성 중 방식으로 전환합니다.
2. 재학습 불필요: 이 방법은 확산 모델이나 워터마크 디코더의 미세 조정이 필요하지 않습니다. 기존 오프더셸 디코더를 활용합니다.
3. 향상된 견고성: 그래디언트 계산에 증강을 포함시킴으로써, 디코더가 훈련받지 않은 공격을 포함한 공격에 대한 견고성을 디코더를 재학습하지 않고도 향상시킵니다.
4. 균형 잡힌 트레이드오프: 이 접근 방식은 의미론적 콘텐츠를 변경하는 시드 기반 방식과 보이지 않는 신호를 추가하는 VAE 기반/사후 방식 사이의 균형을 맞춥니다. 워터마크를 임베딩하면서도 생성의 의미론적 다양성과 품질을 유지합니다.

실험 결과

이 방법은 두 가지 최첨단 디코더 (Stable Signature 및 VideoSeal) 를 사용하여 세 가지 확산 모델 (Stable Diffusion 2, Flux-1.0, Sana) 에서 평가되었습니다.

• 이미지 품질: 정량적 지표 (FID, CLIP 점수) 는 워터마크된 이미지가 워터마크가 없는 이미지와 질적으로 구별할 수 없음을 보여줍니다. 시각적 검사는 일부 시드 기반 방법에서 볼 수 있는 극적인 변화와 달리 의미론적 콘텐츠, 톤, 구성이 대부분 보존됨을 확인시켜 줍니다.
• 견고성 (멀티비트 및 0 비트):
  • 기하학적 공격: 이 방법은 자르기 및 회전과 같은 기하학적 공격에 대해 시드 기반 방식 (Tree-Rings, Gaussian Shading) 보다 훨씬 뛰어난 성능을 발휘하며, 사전 훈련된 디코더의 견고성을 상속받습니다.
  • 가치 측정 공격 (Valuometric Attacks): JPEG 압축 및 밝기/대비 변화에 대해 높은 견고성을 유지합니다.
  • 적대적 공격 (Adversarial Attacks): 이 방법은 Tree-Rings 및 Gaussian Shading 에 비해 VAE 정제, 재생성, 평균 공격에 대해 우수한 견고성을 보여줍니다.
• 오경보율 (False Alarm Rate): 이 방법은 높은 검출 확률 ($PD=0.9$) 에서 극도로 낮은 오경보율 (높은$-\log_{10}(PFA)$) 을 달성하여, 사후 방식 및 기타 생성 중 베이스라인을 능가합니다.
• 효율성: 생성에는 2~13 개의 추가 단계가 필요하지만, 디코딩은 순간적 (단일 순전파) 이므로 역확산 단계가 필요한 시드 기반 방식에 비해 검출 시 최대 50 배 더 빠릅니다.

중요성 및 주장

본 논문은 가이드 워터마킹이 생성형 AI 보안을 위한 원칙적이고 모듈식인 솔루션을 제공한다고 주장합니다. 그 주요 중요성은 다음과 같습니다:

• 상호 보완성: 기존 기술 (VAE 미세 조정 등) 과 함께 작동하며, 아키텍처 변경 없이 모든 확산 모델에 적용할 수 있습니다.
• 적응성: 기존에 잘 훈련된 디코더를 활용하여 견고한 워터마킹을 즉시 배포할 수 있게 하며, 새로운 공격 벡터에 대한 모델이나 디코더의 재학습이라는 리소스 집약적인 과정을 피할 수 있습니다.
• 실용성: 이미지 품질과 다양성을 유지하면서 높은 검출 가능성과 낮은 오검출을 보장함으로써, 규제 및 보안 맥락에서 추적 가능한 AI 콘텐츠에 대한 중대한 필요성을 해결합니다.

저자들은 한계를 인정하며, 견고성은 생성된 이미지의 시각적 콘텐츠에 의존하며 생성 시간이 약간 증가한다고 지적합니다. 그러나 재학습 요구 사항의 제거와 검출 속도 및 견고성의 상당한 향상이라는 이점을 고려할 때, 이 트레이드오프는 유리하다고 강조합니다.