Low-Compute Watermark Removal via Dual-Domain Natural Projection

기술적 요약: 듀얼 도메인 자연 투영을 통한 저연산 워터마크 제거

문제 제기
Diffusion, GAN 등 생성 모델의 확산은 콘텐츠 출처 보장을 위한 강력한 디지털 워터마킹을 필요로 하게 되었습니다. 그러나 적대자들은 추적을 회피하기 위해 이러한 워터마크를 제거하려 합니다. 기존 제거 전략은 높은 제거 성공률, 낮은 지각적 왜곡, 낮은 계산 비용이라는 세 가지 경쟁 목표 사이에서 근본적인 트레이드오프에 직면해 있습니다. 현재 단일 이미지 공격들은 주로 전 두 가지 목표를 최적화하지만, 잠재 공간 최적화나 대리 모델을 통한 재생성 같은 값비싼 다단계 반복 최적화에 의존하여, 자원이 제한된 실시간 시나리오에서는 실용성이 떨어집니다. 또한, 많은 기존 방법들은 단순 픽셀 교란이 아닌 잠재 공간이나 고차원 주파수 공간에 신호를 임베딩하는 시맨틱 워터마크 (예: TREE-RING, ZODIAC) 에는 대응하지 못합니다. 본 논문은 생성기, 워터마킹 키, 보조 샘플에 대한 접근 권한이 없으며 제한된 연산 능력을 가진 적대자가 단일 이미지만을 대상으로 하는 엄격한 "노박스 (no-box)" 위협 모델 하에서 다양한 유형의 워터마크를 제거할 수 있는 가능성을 조사합니다.

방법론: DAWN
저자들은 저연산 영역에서 작동하도록 설계된 경량, 훈련 불필요 공격 프레임워크인 DAWN(Dual-domain Adversarial Watermark Nullifier) 을 소개합니다. DAWN 은 상호 보완적인 도메인에서 자연 이미지 사전 지식으로 워터마크가 적용된 이미지를 투영하는 3 단계 파이프라인을 통해 작동합니다:

1. 주파수 도메인 재구성 (1 단계):

   • 메커니즘: 입력 워터마크 이미지는 8×8 블록 단위 이산 코사인 변환 (DCT) 표현으로 변환됩니다. 경량 사전 학습 주파수 도메인 UNet(청정 자연 이미지로 오프라인 훈련됨) 이 이러한 계수를 처리하여 워터마크 신호의 특징인 구조적 스펙트럼 아티팩트를 감쇠시킵니다.
   • 근거: 워터마킹 방식은 시맨틱한 것조차도 자연 이미지의 $1/f^\alpha$ 스펙트럼 감쇠를 위반하는 중~고주파 대역에서 구조적 편차를 종종 도입합니다. 이 단계는 반복 최적화 없이 이미지를 자연 이미지 매니폴드로 되돌려 이러한 이상치를 억제합니다.
   • 훈련: UNet 은 특정 주파수 대역에 합성 구조 잡음을 주입한 청정 이미지에 대해 $\ell_1$ 재구성 목적 함수를 사용하여 한 번 오프라인으로 훈련됩니다. 훈련 중 워터마크가 적용된 데이터는 사용되지 않습니다.

2. 시맨틱 정제 (2 단계):

   • 메커니즘: 주파수 재구성의 출력은 약 50 단계 동안 사전 학습된 Stable Diffusion v2 img2img 모델 (동결 가중치) 을 통과합니다.
   • 근거: 주파수 재구성은 스펙트럼 이상치를 억제하지만 미세한 질감을 저하시키거나 아티팩트를 도입할 수 있습니다. 이 단계는 확산 모델이 학습한 시맨틱 사전 지식을 활용하여 전역적 일관성, 객체 경계, 고수준 구조를 복원하고 시맨틱 콘텐츠와 정렬된 워터마크 신호를 추가로 약화시킵니다.

3. 지각적 정렬 (선택적 3 단계):

   • 메커니즘: 경량 후처리 단계 (예: 채널별 평균 - 분산 매칭 또는 스타일 전환) 는 공격된 이미지의 톤 및 색상 통계를 원래 워터마크 입력과 정렬합니다.
   • 근거: 과감한 억제는 색조 또는 색채 변화를 초래할 수 있습니다. 이 단계는 하류 사용을 위한 시각적 일관성을 보장합니다. 중요하게도, 저자들은 이 단계를 공격의 성공과 분리하여, 이는 시각적 충실도를 향상시키지만 워터마크 억제에는 기여하지 않는다고 명시합니다.

주요 기여

• 근본적 트레이드오프의 식별: 본 논문은 현재 단일 이미지 공격이 높은 제거 성공률, 낮은 왜곡, 낮은 계산 비용을 동시에 달성할 수 없음을 보여줍니다.
• DAWN 프레임워크: 고정된 네트워크를 통한 추론 통과만 사용하여 픽셀, 주파수, 잠재 공간 워터마킹 방식 (TREE-RING, ZODIAC, RIVAGAN 포함) 전반에 걸쳐 경쟁력 있는 제거 성능을 달성하는 새로운 훈련 불필요 단일 샷 공격입니다.
• 듀얼 도메인 통찰: 이 연구는 구조적 스펙트럼 아티팩트를 억제하기 위한 주파수 도메인 투영과 일관성을 복원하기 위한 시맨틱 정제를 결합하는 것이 시맨틱 워터마크 제거에 있어 픽셀 전용 재생성이나 순수 최적화 기반 공격보다 더 효과적임을 확립합니다.
• 위협 모델의 현실성: 이 방법은 여러 샘플이나 대리 모델에 대한 접근을 가정하는 이전 연구와 대조적으로, 단일 이미지, 모델 접근 불가, 제한된 연산 능력을 갖춘 현실적인 적대적 환경에서 작동합니다.

결과

• 효과성: DAWN 은 고전적 픽셀/주파수 방식 (DWTDCT, RIVAGAN 등) 에 대해 95% 이상의 제거 성공률을 달성하며, 시맨틱 방식 (TREE-RING 에서 70%, ZODIAC 에서 92%) 에 대해서는 60~90% 의 성공률을 보입니다.
• 효율성: DAWN 은 임프린트 제거와 같은 최적화 기반 기준선보다 훨씬 적은 FLOPs 를 요구하며, UNet 의 단일 순전파와 50 단계 확산 추론만으로 작동합니다.
• 충실도: DAWN 은 고충실도 최적화 공격에 비해 PSNR/SSIM 이 낮아 일부 지각적 왜곡을 도입하지만, 구조적 및 시맨틱 정보를 효과적으로 보존합니다. 휘도 기반 지표 (SSIM$_{lum}$, CLIP$_{lum}$) 는 0.99 에 근접하여 편차가 구조적이라기보다 주로 색채적임을 나타냅니다.
• 애블레이션: 주파수 도메인 재구성 단계를 제거하면 공격 성공률이 거의 0 으로 붕괴되어 스펙트럼 투영이 워터마크 약화의 주된 동력임을 확인시켜 줍니다. 시맨틱 정제는 구조를 안정화하지만 제거 측면에서는 주파수 단계에 비해 부차적입니다.

의의 및 주장
본 논문은 DAWN 이 현재 생성형 워터마킹 방식의 근본적인 구조적 규칙성을 노출하며, 모델 파라미터에 대한 접근 없이 이미지를 자연 이미지 사전 지식으로 투영함으로써 주파수 또는 잠재 공간에 임베딩된 신호를 무력화할 수 있음을 보여준다고 주장합니다. 저자들은 이 연구를 기존 출처 메커니즘의 견고성을 감사하고 벤치마킹하기 위한 커뮤니티 도구로 위치시킵니다. 그들은 결과가 향후 워터마킹 설계가 다중 스펙트럼 및 시맨틱 계층에 걸쳐 신호를 임베딩하거나 주파수 투영 공격을 견딜 수 있도록 암호학적 인증을 통합해야 할 필요성을 강조한다고 주장합니다. 저자들은 DAWN 이 새로운 생성 능력을 가능하게 하지 않으며 이미 생성된 이미지에서만 작동한다고 명시적으로 언급하여, 악의적인 속성 우회를 용이하게 하기보다는 취약점을 이해하는 데 그 역할이 있음을 강조합니다.