기술 요약: DEMARK – 딥페이크 워터마킹 방어 체계에 대한 쿼리 프리 블랙박스 공격

1. 문제 정의

Stable Diffusion 및 ChatGPT와 같은 모델에 의해 생성된 사실적인 딥페이크의 급격한 확산은 추적 및 탐지를 위한 방어적 워터마킹의 필요성을 제기하며 긴급한 보안 위험을 초래하고 있습니다. 현재의 방어 패러다임은 생성 후 또는 생성 과정 중에 이미지에 보이지 않는 신호를 삽입하는 인코더-디코더 구조에 의존합니다. 이러한 체계는 워터마크가 본질적으로 제거에 저항력이 있다고 가정합니다. 그러나 저자들은 기존의 방어 기제들이 고도화된 공격자 환경에서 충분히 이해되지 못하고 있다는 점을 지적하며 이 가정에 이의를 제기합니다.

이전의 공격 방법들은 다음과 같은 상당한 한계에 직면해 있습니다:

• 왜곡 공격(Distortion Attacks): 종종 눈에 보이는 아티팩트를 유발하고 이미지 품질을 저하시킵니다.
• 재생 공격(Regeneration Attacks): 워터마크 정보를 담고 있는 잠재 표현(latent representations)을 보존하는 대규모 사전 학습된 생성 모델(VAE 또는 확산 모델)에 의존하므로 효과가 제한적입니다.
• 적대적 공격(Adversarial Attacks): 일반적으로 모델 파라미터나 광범위한 쿼리 능력을 필요로 하며, 이는 실제 환경의 블랙박스 시나리오에서는 비현실적입니다.

따라서 딥페이크 이미지에 필요한 지각적 및 구조적 사실성을 유지하면서도 효과적으로 워터마크를 제거할 수 있는 쿼리 프리(query-free), 블랙박스 공격에 대한 공백이 존재합니다.

2. 방법론: DEMARK

저자들은 인코더-디코더 워터마킹 모델의 잠재 공간(latent-space) 취약점을 악용하는 쿼리 프리 블랙박스 공격 프레임워크인 DEMARK를 제안합니다. 핵심 혁신은 이미지 압축 센싱(Image Compressive Sensing, ICS) 이론을 딥러닝 도메인에 적응시킨 데 있습니다.

핵심 설계 원칙

DEMARK는 전통적인 ICS에서 발견되는 고정된 측정 행렬과 희소 기저(sparsifying bases)를 학습 가능한 인코더-디코더 구조로 대체합니다.

1. 희소 인코딩(Sparse Encoding): CNN 기반 인코더($T_{CNN}$)가 워터마크가 삽입된 이미지를 희소한 잠재 표현($Z$)으로 변환합니다. 이 과정은 $Z$의 $\ell_1$-노름(norm)으로 정의되는 **희소 인코딩 손실($L_{SEL}$)**에 의해 유도되며, 이는 대부분의 잠재 요소들을 0으로 수렴하게 만듭니다.
2. 이미지 재구성(Image Reconstruction): 재구성 모듈($R_{CNN}$)은 희소 표현으로부터 이미지를 복원합니다. 출력물이 설득력 있는 딥페이크로 남도록 하기 위해, 이 모듈은 다음을 결합한 **구조-지각 손실($L_{SPL}$)**을 사용하여 최적화됩니다:
   • SSIM: 픽셀 수준의 구조적 일관성을 위해.
   • LPIPS: 특징 수준의 지각적 정렬을 위해.

분산 효과(The Dispersal Effect)

공격은 ICS 이론에서 유도된 세 가지 특성으로 특징지어지는 잠재 공간에서의 "분산 효과"를 유도함으로써 작동합니다:

• 희소성 변화(Sparsity Change, SC): 유의미한 계수의 밀도를 줄여 워터마크 속성을 더 적은 활성 위치로 분산시킵니다.
• 강도 재분배(Intensity Redistribution, IR): 강도를 더 균일하게 재분배함으로써 워터마크 신호의 에너지를 희석합니다.
• 위치 재분배(Positional Redistribution, PR): 비제로(non-zero) 요소의 위치를 이동시켜 워터마크 패턴과 원래의 잠재 위치 간의 정렬을 방해합니다.

이러한 메커즘들은 워터마킹 모델에 대한 지식이나 검출기에 대한 쿼리 능력 없이도 삽입된 워터마크의 견고성을 집단적으로 약화시킵니다.

3. 주요 기여

본 논문은 다음과 같은 구체적인 기여를 합니다:

• 최초의 쿼리 프리 블랙박스 공격: DEMARK는 모델 파라미터나 쿼리 접근 권한 없이 딥페이크 방어용 이미지 워터마킹을 타겟팅하는 최초의 프레임워크입니다.
• 이론적 연결: ICS 이론과 딥페이크 워터마킹 공격 사이의 최초의 연결 고리를 구축하였으며, 희소성 변화, 강도 재분배, 위치 재분배를 통해 분산 효과를 공식화했습니다.
• 광범적 효과성: DEMARK는 6개의 사후 처리 방식(MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R)과 2개의 과정 중 삽입 방식(PTW, SS)을 포함한 8가지 최첨단(SOTA) 체계에 대해 검증되었습니다.
• 효율성: DEMARK는 기존의 재생 기반 공격(RegenVAE, RegenDM)과 비교하여 메모리 사용량을 2.2배~14.9배 줄이고 계산 효율성을 1.3배~5.7배 향상시켜 높은 실용성을 입증했습니다.
• 완화 평가: 저자들은 세 가지 방어 전략인 이미지 초해상도(ISR), 희소 워터마킹(SW), 적대적 훈련(AT)을 평가하였으며, 이들이 DEMARK에 대해 대체로 효과적이지 않음을 발견했습니다.

4. 실험 결과

평가는 OpenImage 및 COCO 데이터셋을 대상으로 상기 언급된 8가지 워터마킹 체계에 대해 수행되었습니다.

• 공격 능력: DEMARK는 모든 체계에 대해 평균 워터마크 검출 정확도(DetectAcc)를 **100%에서 32.9%**로 감소시켰습니다. 이는 비트 정확도(Bit Accuracy)와 검출 정확도를 모두 낮추는 데 있어 기존 베이스라인 공격들(Distortion, RegenVAE, RegenDM)보다 우수한 성능을 보였습니다.
  • 예시: 사후 처리 체계에 대해, DEMARK는 Distortion 대비 평균 54.4%, RegenVAE 대비 9.9%, RegenDM 대비 51.0% 더 높게 DetectAcc를 감소시켰습니다.
• 이미지 무결성: 공격적인 워터마크 제거에도 불구하고, DEMARK는 높은 시각적 품질을 유지했습니다. PSNR, SSIM, FID, LPIPS 성능은 RegenVAE와 비슷하거나 더 우수했으며, Distortion 및 RegenDM보다는 실질적으로 뛰어났습니다.
  • 예시: DEMARK는 평균 PSNR 28.45, SSIM 0.85를 달성하여 딥페이크에 적합한 자연스러운 시각적 외관을 보존했습니다.
• 완화 강건성:
  • 이미지 초해상도(ISR): 놀랍게도, 공격 후에 ISR을 적용하면 DEMARK의 영향이 증폭되어 검출 정확도를 더욱 낮추었습니다 (예: 평균적으로 29.7%에서 12.1%로 감소).
  • 희소 워터마킹(SW) 및 적대적 훈련(AT): 이러한 전략들은 평균 검출 정확도를 약 25%에서 36%로 높이는 등 미미한 개선만을 제공했을 뿐, 여전히 DEMARK를 무력화하는 데 실패했습니다.

5. 의의 및 주장

본 논문은 현재의 인코더-디코더 워터마킹 체계가 잠재 공간 조작에 매우 취약하다는 결론을 내립니다. DEMARK의 의의는 다음과 같은 사실을 입증했다는 데 있습니다:

1. 잠재 공간은 핵심적인 공격 표면이다: 워터마크를 삽 삽입하기 위해 잠재 표현에 의존하는 것은 희소화를 통해 악용될 수 있는 구조적 약점을 생성합니다.
2. 기존 방어책은 불충분하다: 초해상도, 희소 훈련, 적대적 훈련과 같은 표준 완화 전략은 이러한 유형의 공격에 대해 강력한 보호를 제공하지 못합니다.
3. 재설계의 필요성: 본 결과는 딥페이크 조작으로부터 안전을 보장할 수 있는 더 강력한 워터마킹 방법의 시급한 필요성을 강조하며, 미래의 방어 체계는 단순한 인코더-디코더 패러다임을 넘어서거나 다층적 잠재 특징 인코딩 및 적응형 중복 분포를 포함해야 함을 시사합니다.

저자들은 본 연구의 목적이 악의적인 오용을 촉진하기 위함이 아니라, 생성형 AI를 위한 더 탄력적인 워터마킹 기술 개발을 장려하기 위해 보안 위험을 식별하는 데 있음을 강조합니다.