Do Modern Post-Hoc Watermarking Methods Beat Broken-Arrows?

기술 요약: 현대적 사후 워터마킹 방법이 브로큰-애로우를 능가하는가?

문제 제기
생성형 AI, 특히 확산 모델의 급속한 확산은 AI 생성 콘텐츠를 식별하기 위한 강력한 메커니즘을 필요로 하게 만들었습니다. 규제 기관 (예: EU AI 법, 백악관 행정명령) 이 추적 가능성을 의무화하고 있지만, 현대적 사후 워터마킹 방법과 고전적 기법 간의 비교 평가에는 격차가 존재합니다. 심층 신경망 (DNN) 을 활용한 임베딩 및 디코딩을 기반으로 하는 현대적 접근법은 훈련 중 복잡한 증강을 처리할 수 있는 유연성으로 인해 종종 우월하다고 가정됩니다. 그러나 이러한 방법들은 비밀 키와 같은 개념과 같은 고전적 체계의 이론적 보안 기반이 부족하며, 적대적 예시에 대한 취약점을 물려받습니다. 본 논문은 현대적 사후 방법이 보안과 견고성을 우선시하는 현실적인 제로 비트 (zero-bit) 검출 환경에서 고전적 접근법보다 일관되게 우월한지 조사합니다. 이는 현대적 체계가 종종 목표로 하는 고용량 멀티 비트 페이로드보다 보안과 견고성을 우선시합니다.

방법론
저자들은 세 가지 워터마킹 scheme(두 가지 현대적 사후 방법인 Videoseal과 TrustMark, 그리고 한 가지 고전적 방법인 Broken-Arrows) 에 대한 견고성, 비가시성, 보안을 평가하는 공정한 비교 프레임워크를 제안합니다.

• 제로 비트 변환: 통신이 아닌 추적 가능성에 초점을 맞춘 공정한 비교를 위해, 멀티 비트 현대적 디코더를 제로 비트 검출기로 변환했습니다. 이는 디코더의 부분 공간으로의 투영을 하이퍼콘 (hypercone) 검출기로 취급하고, 추출된 벡터를 비밀 벡터와 각도를 비교함으로써 달성되었습니다.
• 실험 설정: 실험은 MFlickr 데이터셋의 200 개 자연 이미지 (1024×1024) 를 활용했습니다. 고정된 비가시성 제약 조건은 원본 이미지 대비 PSNR 이 42dB 가 되도록 워터마크 신호를 스케일링하여 강제되었습니다.
• 보안 시나리오: 평가는 네 가지 공격자 지식 수준을 테스트했습니다:
  1. 화이트박스: 검출기 (Broken-Arrows 의 경우 키 포함) 에 대한 완전한 접근 권한. 공격에는 DNN 에 대한 DDN 경계 투영 공격과 Broken-Arrows 에 대한 최적의 폐쇄형 (closed-form) 공격이 포함되었습니다.
  2. 블랙박스: 쿼리/응답을 통한 검출기 접근만 가능. 고정된 쿼리 예산으로 CGBA 공격이 사용되었습니다.
  3. 오라클: 공격자가 공격을 안내하기 위해 프록시 (오라클) 를 사용합니다. 두 가지 방법이 테스트되었습니다: WmForger(선호도 모델 사용) 와 VAE 정제 및 PSNR 을 오라클로 사용하는 수정된 Watermark In the Sand (WIS) 공격.
  4. 블라인드: 검출기나 오라클에 대한 접근이 없음. 여기에는 고전적 값 기반 변환 (예: JPEG 압축) 과 확산 모델 (SANA, Stable-Diffusion-2.1) 을 사용한 재생성 공격이 포함되었습니다.
• 지표: 성능은 고정된 오경보 확률 ($\alpha = 10^{-6}$) 에서의 공격 성공률 (ASR) 과 성공을 위해 필요한 왜곡 (PSNR) 으로 측정되었습니다.

주요 기여

1. 통합 평가 프레임워크: 본 논문은 제로 비트 가정 하에서 현대적 및 고전적 워터마킹을 비교하는 방법론을 수립하며, 멀티 비트 현대적 디코더를 하이퍼콘 검출기로 변환하여 고전적 검출 이론과 정렬시킵니다.
2. 종합적 보안 분석: 완전한 화이트박스 접근부터 블라인드 공격까지 네 가지 다른 위협 모델을 통해 견고성과 보안을 체계적으로 비교하여 DNN 기반 검출기의 특정 취약점을 강조합니다.
3. 상충 관계에 대한 경험적 증거: 이 연구는 제로 비트 설정에서 고전적 방법이 견고성을 희생하지 않으면서 종종 더 우수한 보안을 제공함을 보여줌으로써 현대적 방법의 우월성에 대한 가정에 도전합니다.

결과

• 화이트박스 및 블랙박스 시나리오: Broken-Arrows는 Videoseal 과 TrustMark 모두를 크게 능가했습니다. 현대적 DNN 기반 검출기는 매우 취약한 것으로 밝혀졌습니다. 현대적 방법의 경우 최소 왜곡 (양자화 한계 미만, 약 60dB) 으로 공격이 거의 100% 성공했으며, 반면 Broken-Arrows 는 100% 성공을 위해 훨씬 더 높은 왜곡 (약 40dB) 을 필요로 했습니다. 저자들은 이를 DNN 의 픽셀 공간 검출 영역에 있는 "블라인드 스팟"으로 귀인하며, 이는 경계 기반 공격을 통해 쉽게 악용될 수 있다고 설명합니다.
• 오라클 시나리오: 저왜곡 공격 ($PSNR \geq 35$ dB) 의 경우 Broken-Arrows 가 가장 안전한 상태로 남았습니다. Videoseal 은 더 높은 왜곡 수준에서 더 나은 회복력을 보였지만, WmForger 공격은 TrustMark 에 대해 매우 효과적이었습니다. WIS 공격 (VAE 정제) 은 중주파 웨이블릿 계수를 체계적으로 제거하여 현대적 방법보다 Broken-Arrows 에 더 큰 영향을 미쳤지만, Broken-Arrows 는 전반적으로 견고했습니다.
• 블라인드 시나리오: 세 가지 방법 모두 표준 값 기반 연산 및 재생성 공격에 대해 견고했으며, 워터마크를 지우기 위해 최소 30dB 의 왜곡이 필요했습니다. Videoseal 은 Broken-Arrows 에 비해 강력한 JPEG 압축에 대한 견고성에서 미미한 향상을 보였지만, TrustMark 는 가장 나쁜 성능을 보였습니다.

의의 및 주장
본 논문은 현대적 사후 워터마킹 방법이 제로 비트 설정에서 고전적 접근법보다 일관되게 우월하지 않다고 결론지었습니다. 주요 발견은 중요한 상충 관계입니다: 테스트된 조건 하에서 현대적 DNN 기반 방법은 견고성에서 유의미한 이득을 제공하지 않는 반면, 적대적 교란에 대한 취약성과 비밀 키 메커니즘의 부재로 인해 보안이 크게 저하됩니다.

저자들은 현대적 기법이 주로 고용량 멀티 비트 페이로드를 위해 최적화되어 있으며, 이는 본 제로 비트 평가에서 다루지 않는 목표라고 강조합니다. 또한, 연구는 한계를 인정하며 값 기반 연산에 초점을 맞추고 있으며, 현대적 방법이 종종 동기화 기법을 통해 처리하는 기하학적 왜곡 (예: 잘라내기, 회전) 은 고려하지 않았음을 지적합니다. 이 작업은 딥러닝의 유연성이 워터마킹에 적용될 때 잘 정립된 고전적 설계에 비해 공격 표면이 증가하고 보안 보장이 감소하는 대가를 치른다는 경고의 역할을 합니다.