Technische Samenvatting: Leren watermerken in de latente ruimte van generatieve modellen

Probleemstelling

De snelle vooruitgang van generatieve modellen (diffusie en autoregressief) heeft de creatie van zeer realistische synthetische inhoud mogelijk gemaakt, wat zorgen oproept over misbruik, deepfakes en schendingen van intellectueel eigendom. Hoewel onzichtbaar watermerken een oplossing biedt voor herkomst (provenance), kampen bestaande benaderingen met aanzienlijke beperkingen:

1. Post-hoc pixelruimte-methoden: Deze modificeren reeds gegenereerde afbeeldingen in de pixelruimte. Hoewel ze flexibel en model-agnostisch zijn, brengen ze aanzienlijke computationele overhead met zich mee door verwerking op hoge resolutie (bijv. $512 \times 512 \times 3$) en introduceren ze latentie. Bovendien bieden ze zwakke beveiliging voor open-source implementaties, aangezien gebruikers ze gemakkelijk kunnen omzeilen door één regel code te verwijderen.
2. In-model methoden: Hoewel deze veiliger zijn, missen eerdere pogingen om watermerken direct in modelgewichten te integreren vaak robuustheid of vereisen ze complexe aanpassingen aan het samplingsproces.

De kernuitdaging is het ontwikkelen van een uniform watermerkframework dat direct binnen de latente ruimte van generatieve modellen opereert, waardoor in-model watermerken (het inbedden van het watermerk in de modelgewichten) mogelijk wordt die zowel computationeel efficiënt als robuust tegen verwijdering is, zonder latentiepenaliteiten te introduceren.

Methodologie: DISTSEAL

De auteurs introduceren DISTSEAL, een uniform framework voor latente ruimte-watermerken dat toepasbaar is op zowel diffusie- als autoregressieve modellen. De aanpak bestaat uit twee primaire stadia:

1. Post-hoc latente watermerken

Het eerste stadium omvat het trainen van een watermerk-embedder-extractor paar ($W_\theta, E_\theta$) dat in de latente ruimte van het generatieve model opereert in plaats van in de pixelruimte.

• Embedding: De embedder neemt een latente representatie $z$ en een binaire boodschap $m$, en geeft een watermerk-latente $z_w = z + \epsilon W_\theta(z, m)$ terug.
  • Voor diffusiemodellen (continue latentes) wordt de perturbatie direct toegepast op $z$.
  • Voor autoregressieve modellen (discrete tokens) kan de embedder ofwel vóór kwantisatie opereren (het modificeren van continue latentes) of na kwantisatie (het modificeren van token-embeddings). De auteurs maken gebruik van straight-through estimation om door de kwantisatiestap heen te backpropageren.
• Trainingsdoel: Het model wordt getraind met een combinatie van een watermerk-extractieverlies ($L_w$) en een discriminatorverlies ($L_{disc}$) toegepast in de pixelruimte om onzichtbaarheid te garanderen. In tegenstelling tot sommige eerdere werken vermijden de auteurs reconstructie- of perceptuele verliezen voor de embedder, en vertrouwen ze in plaats daarvan op de watermerksterkte $\epsilon$ en de discriminator om de output te beperken.
• Augmentatie: Training omvat diverse waarde-metrische, geometrische en compressie-augmentaties om gebruikersbewerkingen te simuleren en robuustheid te waarborgen.

2. Distillatie voor In-model Watermerken

Het tweede stadium distilleert de getrainde post-hoc latente watermarker naar het generatieve model zelf of naar de latente decoder, waardoor een aparte post-processing stap wordt geëlimineerd.

• Distillatie in het generatieve model: Het vooraf getrainde generatieve model (diffusietransformer of autoregressieve transformer) wordt gefinetuned om de watermerk-latentes $z_w$ te reconstrueren of te voorspellen in plaats van de oorspronkelijke schone latentes $z$. Dit dwingt het model om inherent watermerk-outputs te genereren.
• Distillatie in de latente decoder: De latente decoder $D$ wordt gefinetuned om watermerk-afbeeldingen te reconstrueren vanuit niet-watermerk-latentes. De verliesfunctie combineert een reconstructieverlies ($L_{rec}$) en een watermerk-extractieverlies ($L_w$) om de decoder te begeleiden bij het produceren van outputs die het watermerk signaal bevatten.

Belangrijkste Bijdragen

1. Uniform Framework (DISTSEAL): Een enkele aanpak die zowel continue latente ruimtes (diffusiemodellen) als discrete tokensequenties (autoregressieve modellen) afhandelt.
2. Efficiëntie en Robuustheid: De methode bereikt een tot 20× versnelling in inferentie vergeleken met pixelruimte-baselines door te opereren op gecomprimeerde latente representaties (bijv. $8 \times 8 \times 128$ vs. $512 \times 512 \times 3$) terwijl een concurrerende robuustheid tegen aanvallen behouden blijft.
3. Effectieve Distillatie: De auteurs demonstreren dat latente watermarkers effectief kunnen worden gedistilleerd in modelgewichten. Cruciaal is dat zij aantonen dat het distilleren van latente watermarkers beter presteert dan het distilleren van pixelruimte-watermarkers. Pixelruimte-watermarkers falen vaak bij het distilleren in latente decoders vanwege de moeilijkheid van het reconstrueren van hoogfrequente perturbaties, terwijl latente perturbaties meer gestructureerd zijn en gemakkelijker door de decoder geleerd kunnen worden.
4. Uitgebreide Analyse: Het artikel biedt een gedetailleerde studie van de trade-offs tussen post-hoc en in-model methoden, compatibiliteit van multi-watermerken en het vergeten van watermerken (gevoeligheid voor LoRA fine-tuning).

Experimentele Resultaten

De auteurs evalueerden DISTSEAL op DCAE (een diffusiemodel) en RAR-XL (een autoregressief model).

• Post-hoc Prestaties: Latente watermerken bereikten een gemiddelde bitnauwkeurigheid van 95,18% (DCAE) en 93,96% (RAR-XL) onder gecombineerde aanvallen, vergelijkbaar met pixelruimte-baselines (respectievelijk 97,78% en 97,27%). De visuele kwaliteit (FID) bleef hoog, met minimale degradatie.
• In-Model Prestaties (Distillatie):
  • Latente Decoder Distillatie: Het distilleren van de latente watermarker in de decoder bereikte een gemiddelde bitnauwkeurigheid van 96,77% (DCAE) en 90,57% (RAR-XL), wat vaak de prestaties van het post-hoc teacher-model overtrof. In tegen tegenstelling hiertoe resulteerde het distilleren van pixel-watermarkers in aanzienlijk lagere robuustheid (bijv. 65,69% voor DCAE) en hogere FID.
  • Generatief Model Distillatie: Het direct fine-tunen van het generatieve model leverde robuuste resultaten op (94,78% voor DCAE, 89,13% voor RAR-XL) met een iets betere visuele kwaliteit dan decoder-distillatie.
• Snelheid: De latente aanpak bood een 20× versnelling voor DCAE en een 2,4× versnelling voor RAR-XL vergeleken met pixelruimte-methoden.
• Geobserveerde Beperkingen:
  • Watermerk Vergeten: Gedistilleerde generatieve modellen zijn vatbaar voor het vergeten van het watermerk wanneer ze worden gefinetuned op niet-watermerk-data (bijv. via LoRA), terwijl gedistilleerde decoders robuust blijven tegen dergelijke veranderingen.
  • Sterke Aanvallen: De methode is nog niet volledig robuust tegen zeer sterke geometrische transformaties, een beperking die de auteurs erkennen.

Betekenis en Claims

Het artikel claimt dat DISTSEAL een praktische en efficiënte oplossing biedt voor het inbedden van robuuste watermerken direct in generatieve modellen. Door watermerken van de pixelruimte naar de latente ruimte te verplaatsen, bereiken de auteurs:

• Verminderde Overhead: Significante computationele besparingen en reductie van latentie, wat real-time of grootschalige implementatie haalbaarder maakt.
• Verbeterde Beveiliging voor Open Source: Door het watermerk in de modelgewichten te integreren (via distillatie), kan het watermerk niet triviaal worden uitgeschakeld door een post-processing script te verwijderen, wat een kritiek beveiligingsgat in open-source modelreleases aanpakt.
• Superieure Distillatie: De bevinding dat latente watermarkers effectiever distilleren dan pixelruimte-watermarkers suggereert een nieuw paradigma voor het creëren van "watermerk-door-ontwerp" generatieve modellen die een hoge getrouwheid en robuustheid behouden.

De auteurs positioneren dit werk als een stap richting betrouwbare provenance-mechanismen voor AI-gegenereerde content, waarbij een balans wordt gezocht tussen de noodzaak voor verantwoording en het behoud van contentkwaliteit en generatiesnelheid. Zij merken op dat hoewel de methode robuust is, deze niet immuun is voor verwijdering, en toekomstig werk zal de combinatie van latente watermerken met post-hoc synchronisatiemethoden verkennen om sterkere geometrische aanvallen aan te pakken.