기술적 요약: 첫 원리에서 출발한 확산 모델을 위한 안전한 시드 기반 멀티비트 워터마킹

문제 제기

생성형 이미지 모델의 급속한 등장으로 인해, 특히 시드 기반 임베딩과 같은 '생성 중 (in-generation)' 방법론을 포함한 전문화된 워터마킹 기술 개발이 촉진되었습니다. 그러나 저자들은 현재 이 분야의 평가가 확산 모델, VAE, 스케줄러와 같은 특정 모델 아키텍처 및 역전파 파이프라인에 종속된 경험적 테스트에 크게 의존하고 있기 때문에 근본적으로 결함이 있다고 주장합니다. 이러한 경험적 의존성은 워터마킹 scheme 의 성능, 특히 보안에 관한 명확하고 일반화 가능한 결론을 도출하는 것을 방해합니다.

또한, 기존에 정의된 '품질 (quality)'과 '견고성 (robustness)'은 생성 모델에 종속되어 있어, 사용된 모델과 무관하게 워터마킹 시스템을 독립적으로 순위 매기는 것이 불가능합니다. 마찬가지로, 암호학적 보안과 워터마킹 보안 간의 구분이 종종 모호해지는데, Gaussian-Shading 및 PRC 와 같은 scheme 들은 암호학적 보안을 주장하지만, 운반체 (시드) 가 숨겨지지 않아 공격자가 비밀 키 없이도 임베딩된 메시지를 추출할 수 있는 '스푸핑 공격 (spoofing attacks)'을 방지하지는 못합니다.

방법론

1. 분리된 평가 프레임워크

핵심 방법론적 기여는 워터마킹 시스템의 의사결정 메커니즘을 **모델 의존적 부분 (역확산 과정)**으로부터 분리하는 것입니다. 이를 통해 생성 모델과 무관한 엄밀한 이론적 분석이 가능해집니다. 저자들은 세 가지 주요 양에 기반한 프레임워크를 제안합니다:

• 용량 (견고성): 경험적 견고성 테스트 대신, 저자들은 의사결정 메커니즘을 비트 반전 확률 $p$를 갖는 이진 대칭 채널 (BSC) 로 모델링합니다. 워터마크 공간에서 도입되는 잡음의 분산 $\sigma^2$로 투영 함수 $f$의 견고성을 정의합니다. 시스템의 용량은 BSC 에 대한 섀넌의 용량 공식 $C_\sigma = 1 - h_2(p_k(\sigma))$을 사용하여 유도되며, 여기서 $p_k(\sigma)$는 잡음 분산을 비트 오류율로 매핑하는 채널 특성입니다.
• 정확도 (품질): 저자들은 FID 나 CLIP 점수와 같은 경험적 이미지 지표가 불충분하고 모델 의존적이라고 주장하며, **정확도 (fidelity)**를 표준 가우시안 시드 분포 (커버 분포) 와 워터마크된 시드 분포 간의 쿨백 - 라이블러 (KL) 발산으로 정의합니다. 시스템이 $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$를 만족할 때 $\zeta$-신실 (faithful) 합니다.
• 보안: 저자들은 암호학적 보안과 워터마킹 보안을 구분합니다. 그들은 공격자가 무작위 추측보다 나은 비밀 키를 추정하는 데 필요한 워터마크된 샘플의 수를 측정하는 보안 비율 (security ratio) $\eta$를 정의합니다. 운반체 (코드워드) 를 숨기지 않는 scheme 들 (예: Gaussian-Shading) 은 $\eta = 1/L$의 보안 비율을 가지며, 이로 인해 주성분 분석 (PCA) 공격에 취약하다고 지적합니다.

2. SSB (Secure Seed-Based) 구성

이 프레임워크에 기반하여 저자들은 보로노이 변조와 중첩 격자에 영감을 받은 새로운 멀티비트 워터마킹 방법인 SSB를 제안합니다.

• 임베딩: 이 방법은 잠잠 공간 (latent space) 을 회전시키는 비밀 키 $U$(단위 행렬) 를 사용합니다. 두 개의 중첩된 1 차원 격자, 즉 거친 격자 $\Lambda_\Delta$와 정밀한 격자 $\Lambda_\delta$를 사용합니다. 임베딩 알고리즘은 거친 격자 함수 $\Lambda_\Delta(z_u)$가 원하는 이진 코드워드 $c$를 출력하도록 벡터 $z_u$를 샘플링합니다.
• 투영: 벡터 $z_u$는 비밀 키 $U$와 $U$에 직교하는 무작위 잡음 성분을 사용하여 잠잠 공간으로 다시 투영되어, 결과적인 시드가 확산 과정에 유효하도록 보장합니다.
• 복호화: 검출기는 워터마크된 이미지를 잠잠 공간으로 투영한 후 $U^\top$ 회전을 적용하고, 코드워드를 복구하기 위해 거친 격자 함수 $\Lambda_\Delta$를 적용합니다.

주요 기여

1. 이론적 프레임워크: 이 논문은 워터마킹 의사결정 메커니즘을 생성 모델로부터 분리하는 공식적인 평가 프레임워크를 도입합니다. 이를 통해 사용된 확산 모델과 무관하게 보안, 용량, 정확도 간의 트레이드오프를 나타내는 특성 곡선을 기반으로 워터마킹 시스템 간의 정밀한 비교가 가능해집니다.
2. SSB 알고리즘: 저자들은 이전 시드 기반 방법들의 일반화인 SSB 를 설계했습니다. 격자 매개변수 $(\Delta, \delta)$를 조정함으로써 SSB 는 보안 - 정확도 - 용량 트레이드오프 공간의 광범위한 범위에서 작동할 수 있습니다. 특히, 비영 (non-zero) 용량을 유지하면서도 완벽한 보안(워터마크된 공분산 행렬의 고유값이 커버 분포와 구별 불가능한 상태) 을 달성할 수 있습니다.
3. 경험적 검증: 이 논문은 이론적 가정의 경험적 검증을 제공합니다. 역확산에 의해 도입된 잡음이 잠잠 공간에서 가산 백색 가우시안 잡음으로 정확하게 모델링될 수 있음을 보여주며, SSB, Gaussian-Shading, PRC 에 대한 용량 및 보안에 대한 이론적 예측이 경험적 결과와 일치함을 입증합니다.

결과

• 이론적 대 경험적 일치: Sana, Z-Image, Qwen 확산 모델을 사용한 실험은 이론적 모델 (가우시안 잡음이 있는 BSC 채널) 이 워터마킹 시스템의 비트 오류율과 용량을 정확하게 예측함을 확인시켜 주었습니다.
• 성능 비교:
  • Gaussian-Shading 및 PRC: 이러한 기존 방법들은 운반체를 숨기지 않아 PCA 공격에 취약하고 낮은 보안 비율 ($\eta = 1/L$) 을 갖는 것으로 나타났습니다. 또한 이들은 하위 최적의 용량 - 정확도 트레이드오프를 보입니다.
  • SSB: 제안된 방법은 사용자가 특정 영역을 선택할 수 있게 함으로써 기존 접근법보다 우수합니다. 예를 들어, 특정 구성 $(\Delta=1.6, \delta=0)$은 실현 가능한 용량을 유지하면서 완벽한 보안($\eta = +\infty$) 을 달성할 수 있는데, 이는 이전 방법들로는 달성할 수 없는 영역입니다.
• 견고성: 이 연구는 다양한 확산 모델에 걸쳐 JPEG 압축, 자르기, 밝기/대비 조정과 같은 일반적인 이미지 연산에 의해 도입된 동등한 가우시안 잡음 분산 ($\sigma^2$) 을 정량화하여 견고성을 위한 표준화된 지표를 제공합니다.

중요성과 주장

이 논문은 워터마킹 연구의 패러다임을 임의의 경험적 최적화에서 이론적 보장을 갖춘 설계로 전환한다고 주장합니다. 워터마킹 논리를 생성 모델로부터 분리함으로써 저자들은 다음과 같이 주장합니다:

• 모든 새로운 확산 모델에 대해 다시 평가할 필요 없이 한 워터마킹 시스템이 다른 시스템보다 우월하다는 결정적인 진술 (예: "시스템 A 는 시스템 B 보다 더 견고하다") 을 내릴 수 있게 됩니다.
• 이 분야는 운반체가 노출되는 스푸핑 공격이라는 특정 위협을 해결하면서 암호학적 보안과 워터마킹 보안을 혼동하는 것을 넘어설 수 있습니다.
• SSB 방법은 보안, 용량, 정확도에 대한 특정 요구 사항을 충족하도록 조정 가능한 유연하고 이론적으로 근거 있는 솔루션을 제공하며, 모든 새로운 반복에 대해 비용이 많이 드는 모델별 경험적 평가를 필요로 하지 않는 현대적 워터마킹 시스템으로 가는 길을 제시합니다.

저자들은 분석이 BSC 모델을 가정하고 있으며, 향후 연구는 AWGN 모델과의 간극을 탐색하고, 투영 함수 (역확산) 를 개선하며, 프레임워크를 0 비트 시드 기반 워터마킹으로 확장할 수 있음을 지적하며 겸손하게 언급합니다.