기술 요약: PGID (점진적 유도 역변환 및 노이즈 제거)

문제 제기

확산 모델을 통한 AI 생성 이미지의 급증으로 지적재산권 보호 및 출처 추적을 위한 강력한 디지털 워터마킹이 필요해졌습니다. 최근의 의미론적 워터마킹 방식 (예: Tree Ring, Gaussian Shading) 은 확산 과정의 초기 노이즈에 신호를 임베딩하며, 탐지를 위해 확산 역변환(일반적으로 DDIM) 에 의존하여 초기 노이즈를 복원합니다.

그러나 정확한 역변환에 대한 이러한 의존성은 치명적인 취약점을 만듭니다. Müller 등 (2025) 의 최근 연구는 이 패러다임이 두 가지 특정 블랙박스 공격에 취약함을 입증했습니다:

1. 임프린트 제거 공격: 공격자는 워터마크가 적용된 이미지를 교란시켜 잠재 표현을 "워터마크 영역"에서 "비워터마크 영역"으로 이동시켜 탐지 실패를 유발합니다.
2. 임프린트 위조 공격: 공격자는 깨끗한 (워터마크가 없는) 커버 이미지를 교란시켜 잠재 표현을 "워터마크 영역"으로 유도하여 위양성 (false positives) 을 유발합니다.

현재의 1 단계 역변환 접근법은 진정한 워터마크와 이러한 적대적 교란을 구별하지 못해 서비스 제공자가 저작권 도용과 평판 훼손에 취약하게 만듭니다.

방법론: 점진적 유도 역변환 및 노이즈 제거 (PGID)

저자들은 기존 확산 모델을 재학습하지 않고 제거 및 위조 공격 모두에 대응할 수 있는 플러그 앤 플레이 방식의 학습 불필요 프레임워크인 PGID를 제안합니다.

핵심 통찰

이 방법은 특정 워터마크 신호에 대해 잠재 공간이 워터마크 영역 ($R_w$) 과 비워터마크 영역 ($R_u$) 으로 나눌 수 있다는 관찰에 기반합니다.

• 제거 공격은 워터마크가 적용된 잠재 ($z_0 \in R_w$) 를 $R_u$로 이동시킵니다.
• 위조 공격은 워터마크가 없는 잠재 ($z_0 \in R_u$) 를 $R_w$로 이동시킵니다.
• 이러한 공격들은 역변환 궤적 중간의 중간 타임스텝에서 누적된 분포 편향을 유발합니다.

PGID 프레임워크

PGID는 교란된 잠재들을 원래 영역으로 투영하기 위해 세 단계로 작동합니다:

1. 궤적 사전 계산: 의심스러운 이미지에 표준 DDIM 역변환을 실행하여 공격된 중간 잠재 궤적 $\{z^{atk}_t\}$을 획득합니다.
2. 점진적 잠재 정제 (핵심 방어): 이 단계는 편향을 제거하고 적대적 교란을 완화하기 위해 비대칭 역변환 - 노이즈 제거 사이클을 활용합니다.
   • 이 과정은 $t=1$부터 중단 타임스텝 $k$까지 반복됩니다.
   • 각 사이클에서 알고리즘은 역변환 단계보다 더 많은 노이즈 제거 단계를 수행합니다. 구체적으로, $i-s$ 단계만큼 역변환한 후 $i$단계만큼 노이즈를 제거합니다.
   • 유도: 사전 계산된 공격된 경로에서 궤적을 벗어나도록 유도하는 $\gamma(\hat{z} - z^{atk}_t)$ 항이 적용됩니다.
   • 메커니즘: 역변환보다 더 많은 노이즈 제거를 수행함으로써, 이 방법은 적대적 교란을 추가적인 노이즈로 간주합니다. 확산 모델의 고유한 노이즈 제거 능력이 이러한 교란을 효과적으로 필터링하여 잠재 ($R_w$ 또는 $R_u$) 를 깨끗한 매니폴드로 투영합니다.
3. 최종 역변환: 탐지를 위한 최종 노이즈 $z_T$를 복원하기 위해 정제된 잠재 $z_0$에 표준 전체 역변환을 수행합니다.

변형

• PGID-R: 공격된 잠재들을 워터마크 영역으로 투영하여 제거 공격에 대응하도록 구성됩니다.
• PGID-F: 위조된 잠재들을 비워터마크 영역으로 투영하여 위조 공격에 대응하도록 구성됩니다.

주요 기여

1. 잠재 영역의 형식화: 저자들은 잠재 공간에서 워터마크 영역과 비워터마크 영역 개념을 형식화하고, PCA 를 통해 임프린트 공격이 탐지를 방해하기 위해 잠재들을 respective 영역 밖으로 성공적으로 이동시킨다는 것을 실증적으로 입증했습니다.
2. 통합 방어 프레임워크: PGID는 임프린트 위조 및 제거 공격에 대한 방어를 통합한 최초의 플러그 앤 플레이 방식의 학습 불필요 노이즈 추출 프레임워크입니다.
3. 복원 및 구별: 이 프레임워크는 제거 공격으로 가려진 워터마크를 성공적으로 복원하고 위조된 이미지를 진정한 이미지와 구별하며, 이는 이전에는 통합된 방식으로 입증되지 않은 능력입니다.

실험 결과

저자들은 Stable Diffusion v2.1 및 v1.5 와 PixArt-$\alpha$ 아키텍처를 사용하여 네 가지 의미론적 워터마킹 방식 (Tree Ring, Gaussian Shading, PRC, T2SMark) 에 대해 PGID 를 평가했습니다.

• 제거 공격에 대해:
  • 기준 방식 (표준 역변환) 은 제거 공격 후 탐지 실패가 거의 전적으로 발생했습니다 (예: 탐지율이 약 0.00–0.25 로 하락).
  • PGID-R은 모든 방식과 공격자 모델에 대해 탐지율을 **약 1.00(100%)**으로 복원하고 비트 정확도를 거의 완벽 수준으로 회복시켰습니다. 이는 AUC 점수가 1.0 에 가까워 제거된 이미지를 깨끗한 비워터마크 이미지와 효과적으로 구별했습니다.
• 위조 공격에 대해:
  • 기준 방식은 매우 취약하여 위조된 이미지가 거의 항상 워터마크가 있는 것으로 탐지되었습니다 (탐지율 약 1.00).
  • PGID-F는 위조 신호를 억제하여 탐지율을 거의 0.00으로 낮추고 비트 정확도를 무작위 추측 수준 (~0.5) 으로 감소시켰습니다.
  • 중요한 점은 PGID-F 가 진정한 워터마크의 무결성을 유지했다는 것입니다. 진정한 워터마크 이미지가 PGID-F 를 통과했을 때 탐지율은 높게 (>0.93) 유지되었고 비트 정확도가 보존되었으며, 위조된 이미지는 거부되었습니다.
• 일반화 능력: 이 방법은 다양한 모델 아키텍처 (SD 2.1, SD 1.5, PixArt-$\alpha$) 와 다양한 공격 스케줄러 (DDIM, DPM) 에서 견고한 성능을 입증했습니다.

중요성 및 주장

이 논문은 PGID 가 단순한 1 단계 역변환을 넘어 의미론적 워터마킹의 치명적인 보안 격차를 해소한다고 주장합니다. 점진적이고 비대칭적인 사이클을 통해 확산 모델의 고유한 노이즈 제거 능력을 활용함으로써, PGID 는 적대적 교란을 잠재 표현에서 효과적으로 "정화"합니다.

저자들은 PGID 가 학습 불필요이며 플러그 앤 플레이 방식이라고 강조하며, 서비스 제공자의 모델만으로도 정교한 블랙박스 공격에 대응할 수 있다고 말합니다. 그들은 하이퍼파라미터 (중단 타임스텝 $k$, 건너뛰기 단계 $s$, 유도 강도 $\gamma$) 가 특정 방식 (특히 PRC 와 같이 민감한 방식) 에 맞게 조정될 수 있음을 지적하지만, 이 프레임워크는 콘텐츠 출처를 위한 견고하고 통합된 솔루션을 제공한다고 말합니다. 이 연구는 제거 공격으로부터 워터마크를 복원하고 위조된 인스턴스를 거부하는 것이 가능하며, AI 생성 콘텐츠 탐지의 신뢰성을 크게 향상시킬 수 있음을 입증합니다.