기술 요약: 워터마크가 워터마크를 공격하다: 범용 제거 전략으로서의 재워터마킹

문제 제기

생성형 AI 의 급속한 발전은 합성 미디어에서 출처를 주장하고 지적 재산을 보호하기 위해 보이지 않는 워터마킹 체계의 배포를 필요로 하게 되었습니다. 규제 기관 (예: EU AI 법) 은 이러한 보호 조치를 의무화하고 있지만, 그 견고성은 정교한 제거 공격에 의해 빈번히 도전받고 있습니다. 기존 문헌은 생성적 재생성 및 적대적 교란을 포함한 다양한 제거 전략을 탐구해 왔습니다. 그러나 서로 다른 워터마킹 체계가 중첩될 때 발생하는 상호작용에 대한 이해에는 여전히 중요한 공백이 존재합니다. 저자들은 워터마킹 임베딩이 해결하는 근본적인 최적화 문제 (검출기를 트리거하기 위한 최소 교란을 찾는 것) 가 워터마킹 제거가 해결하는 문제 (검출기를 회피하기 위한 최소 교란을 찾는 것) 와 거의 동일하다고 주장합니다. 이러한 유추는 워터마킹 인코더 자체가 효과적이고 범용적인 제거 도구로 기능할 수 있음을 시사합니다.

방법론

본 논문은 "베이지-박스"(방법이 알려진) 및 "블랙박스"(방법이 알려지지 않은) 위협 모델 하에서 작동하는 "워터마크가 워터마크를 공격하다 (Watermarks Attack Watermarks, WAW)"라고 명명된 2 단계 공격 파이프라인을 제안합니다.

1. 공격 벡터로서의 재워터마킹

핵심 가설은 기존 워터마크 ("피해자 워터마크") 위에 두 번째 워터마크 ("공격 워터마크") 를 적용함으로써 원래 신호를 교란한다는 것입니다. 저자들은 8 가지 대표적인 워터마킹 체계를 사용하여 피해자와 공격 쌍의 96 가지 조합에 대해 이를 평가했습니다:

• 생성 중 처리 (In-processing): Tree-Ring, Stable Signature (생성 시 임베딩됨).
• 생성 후 처리 (Post-processing): StegaStamp, RoSteALS, ZoDiac, Pixel Seal, WAM, Video Seal (생성된 이미지에 적용됨).

저자들은 경험적 간섭 행렬을 기반으로 "정책 (policy)"을 정의했습니다. 두 가지 주요 전략을 테스트했습니다:

• 동일 방법 재적용: 동일한 워터마킹 알고리즘을 두 번 적용합니다.
• 교차 방법 간섭: 생성 중 처리 워터마크를 교란하기 위해 다른 알고리즘 (특히 ZoDiac) 을 적용합니다.

2. 워터마크 식별 분류기

공격자가 피해자의 방법을 알지 못하는 블랙박스 시나리오를 해결하기 위해 저자들은 경량 분류기를 훈련시켰습니다.

• 아키텍처: ImageNet-22K 로 사전 훈련된 파인튜닝된 ConvNeXt-V2 Large 모델.
• 작업: 8 가지 특정 워터마킹 방법과 워터마크가 없는 이미지를 구분하는 9 클래스 분류 문제.
• 입력: 검출 모델, 키, 또는 기울기에 대한 접근 없이 이미지 자체의 시각적 검사만 사용.
• 훈련 데이터: DiffusionDB 데이터셋에서 클래스당 500 장의 이미지로 구성되며, 80/10/10 비율로 분할됨.

3. 평가 프레임워크

파이프라인은 DiffusionDB 및 MS-COCO 의 하위 집합에서 평가되었습니다. 성공은 다음에 의해 측정됩니다:

• 검출 회피: 1% 거짓 양성률 (FPR) 에서의 참 양성률 (TPR).
• 페이로드 손상: 다중 비트 체계의 비트 정확도 (BA).
• 지각적 왜곡: 8 가지 표준 이미지 품질 지표를 집계한 정규화된 품질 저하 (NQD).
• 기준선: 공격은 WAVES 벤치마크의 최첨단 범용 제거 공격 (프롬프트 기반 확산 재생성, VAE 재생성, 반복적 확산 "세척" 포함) 과 비교됩니다.

주요 기여

1. 재워터마킹 가설의 검증

저자들은 재워터마킹이 피해자의 내부 매개변수에 대한 전문 지식이 필요 없는 매우 효과적이고 범용적인 제거 전략임을 입증했습니다.

• 생성 중 처리 피해자: Tree-Ring 또는 Stable Signature 위에 ZoDiac를 적용하면 지각적 왜곡을 최소화하면서 TPR 을 거의 0 으로 감소시킵니다.
• 생성 후 처리 피해자: 동일한 방법을 재적용 (예: StegaStamp 에 StegaStamp 적용) 하면 원래 신호를 일관되게 덮어쓰며, TPR 을 거의 0 으로, 비트 정확도를 기준선 수준으로 감소시킵니다.
• 효율성: 이 접근 방식은 가장 강력한 확산 기반 기준선보다 시각적 왜곡을 2 배 이상 적게 유발하면서 동등하거나 더 우수한 제거율을 달성합니다.

2. 고정확도 워터마크 식별

본 논문은 시각적 특징만으로 이미지에 적용된 특정 워터마킹 방법을 식별할 수 있는 최초의 분류기를 소개합니다.

• 성능: 분류기는 분포 내 (DiffusionDB) 및 분포 외 (MS-COCO) 데이터셋 전반에 걸쳐 **87.8% 에서 95.3%**의 전체 정확도를 달성합니다.
• 의의: 이 능력은 공격을 블랙박스 시행착오 과정에서 표적화된 베이지-박스 공격으로 변환하여 최적의 덮어쓰기 전략의 자동 선택을 가능하게 합니다.

3. 엔드투엔드 공격 파이프라인

식별 분류기와 유도된 재워터마킹 정책을 결합함으로써 저자들은 완전한 블라인드 자동화 공격 파이프라인을 구축했습니다.

• 결과: 이 파이프라인은 모든 피해자 방법에 대해 비트 정확도를 최소 **25% 에서 최대 48%**까지 감소시킵니다.
• 소유권 위조: 결정적으로, 이 공격은 단순히 신호를 지우는 것이 아니라 새로운 유효한 워터마크로 대체합니다. 공격자의 메시지는 높은 비트 정확도 (종종 >99%) 로 복구되어 공격자가 합리적으로 소유권을 주장하거나 원래 출처에 대한 모호함을 조성할 수 있게 합니다.

결과

• 신호 억제: 평가된 체계의 절반에 대해 공격은 비트 정확도를 워터마크가 없는 기준선으로, TPR 을 거의 0 으로 감소시킵니다. RoSteALS 및 WAM 과 같은 견고한 방법조차 비트 정확도가 75% 미만으로 떨어져 페이로드 복구가 불가능해집니다.
• 품질 보존: 재워터마킹 공격은 재생성 기반 공격 (예: Regen-Diff, Rinse) 보다 훨씬 적은 지각적 왜곡을 유발합니다.
• 일반화: 공격 정책은 서로 다른 데이터셋 (DiffusionDB 및 MS-COCO) 과 서로 다른 확산 백본 (SD 2.1 및 SD 3.5) 에서 유효하지만, 특정 잠재 공간 통계에 의존하는 방법 (예: SD 3.5 의 ZoDiac) 의 경우 성능이 약간 변합니다.

중요성과 주장

본 논문은 이미지 워터마크를 매력적으로 만드는 견고성과 비가시성 속성이 역설적으로 서로에 대한 취약점이 된다고 주장합니다.

• 현재 체계의 취약성: 저자들은 현재 워터마킹 체계가 공식적인 비검출성 보장을 충족하지 못한다고 주장합니다. 간단한 분류기가 서로 다른 워터마킹 방법을 구분할 수 있다는 사실은 이러한 체계가 키 없이도 복구 가능한 체계별 "지문"을 남긴다는 것을 시사합니다.
• 공격 비용: 이 공격은 "저렴하고" "범용적"입니다. 콘텐츠 제작자에게 무료로 제공되는 상용 워터마킹 인코더에 대한 접근만 필요하며, 기울기, 대리 모델, 또는 검출 키가 필요하지 않습니다.
• 보안에 대한 함의: 워터마크를 식별하고 덮어쓸 수 있는 능력은 규제 준수 및 저작권 보호를 위한 현재 체계의 신뢰성에 의문을 제기합니다. 저자들은 "방법의 비밀성"을 방어 수단으로 가정하는 것은 불충분하다고 제안합니다.
• 행동 촉구: 이 연구는 후보 체계에 대한 스트레스 테스트 역할을 하며, 일반적인 왜곡에 대한 견고성뿐만 아니라 진정한 비검출성에 주력하는 더 강력한 공식적 보안 보장을 갖춘 워터마킹 시스템 개발을 촉구합니다.

저자들은 그들의 파이프라인이 중요한 취약점이지만, 동시에 방어자들이 자신의 체계가 복구 가능한 지문을 남기는지 감사할 수 있는 진단 도구를 제공하며, 따라서 더 안전한 워터마킹 기술 개발을 동기부여한다고 결론지었습니다.