Technische Samenvatting: DEMARK – Een Query-vrije Black-Box Aanval op Deepfake Watermerkverdedigingen

1. Probleemstelling

De snelle proliferatie van realistische deepfakes gegenereerd door modellen zoals Stable Diffusion en ChatGPT heeft urgente beveiligingsrisico's gecreëerd, wat defensieve watermerking voor attributie en detectie noodzakelijk maakt. Huidige defensieve paradigma's vertrouwen op encoder-decoder architecturen die onzichtbare signalen in afbeeldingen inbedden, ofwel na de generatie ofwel tijdens het generatieproces. Deze schema's gaan ervan uit dat watermerken inherent resistent zijn tegen verwijdering. De auteurs dagen deze aanname echter uit, waarbij zij opmerken dat bestaande verdedigingen slecht begrepen worden onder geavanceerde tegenstanders.

Eerdere aanvallengestructuren kampen met aanzienlijke beperkingen:

• Distortie-aanvallen (Distortion Attacks): Veroorzaken vaak zichtbare artefacten en verslechteren de beeldkwaliteit.
• Regeneratie-aanvallen (Regeneration Attacks): Vertrouwen op grote vooraf getrainde generatieve modellen (VAE's of Diffusiemodellen) die latente representaties bevatten die watermerkinformatie dragen, wat hun effectiviteit beperkt.
• Adversariële Aanvallen (Adversarial Attacks): Vereisen doorgaans toegang tot modelparameters of uitgebreide query-mogelijkheden, wat hen onpraktisch maakt in real-world black-box scenario's.

Er is een kritiek gat voor een query-vrije, black-box aanval die effectief watermerken kan verwijderen terwijl de perceptuele en structurele realiteit vereist voor deepfake-beelden behouden blijft.

2. Methodologie: DEMARK

De auteurs stellen DEMARK voor, een query-vrije black-box aanvalsframework dat gebruikmaakt van kwetsbaarheden in de latente ruimte van encoder-decoder watermerkmodellen. De kerninnovatie ligt in het aanpassen van Image Compressive Sensing (ICS) theorie aan het deep learning domein.

Kernontwerpprincipes

DEMARK vervangt de vaste meetmatrices en sparsifying bases uit traditionele ICS door een leerbare encoder-decoder architectuur.

1. Sparse Encoding: Een CNN-gebaseerde encoder ($T_{CNN}$) transformeert een watermerk-gecodeerde afbeelding naar een ijle (sparse) latente representatie ($Z$). Dit proces wordt gestuurd door een Sparse Encoding Loss ($L_{SEL}$), gedefinieerd als de $\ell_1$-norm van $Z$, die de meeste latente elementen richting nul dwingt.
2. Beeldreconstructie: Een reconstructiemodule ($R_{CNN}$) herstelt de afbeelding vanuit de ijle representatie. Om te garanderen dat de output een overtuigende deepfake blijft, wordt deze module geoptimaliseerd met behulp van een Structural-Perceptual Loss ($L_{SPL}$), die bestaat uit:
   • SSIM: Voor structurele consistentie op pixelniveau.
   • LPIPS: Voor perceptuele uitlijning op feature-niveau.

Het Dispersie-effect

De aanval werkt door een "dispersie-effect" te induceren in de latente ruimte, gekenmerkt door drie eigenschappen afgeleid van de ICS-theorie:

• Sparsity Change (SC): Vermindert de dichtheid van significante coëfficiënten, waardoor watermerkattributen over minder actieve posities worden verspreid.
• Intensity Redistribution (IR): Verdund de energie van watermerksignalen door de intensiteit meer uniform te herverdelen.
• Positional Redistribution (PR): Verschuift de posities van niet-nul elementen, waardoor de uitlijning tussen watermerkpatronen en hun oorspronkelijke latente locaties wordt verstoord.

Deze mechanismen verzwakken gezamenlijk de robuustheid van ingebedde watermerken zonder kennis te vereisen van het watermerkmodel of de mogelijkheid om een detector te bevragen (query).

3. Belangrijkste Bijdragen

Het artikel levert de volgende specifieke bijdragen:

• Eerste Query-vrije Black-Box Aanval: DEMARK is het eerste framework dat defensieve afbeelding-watermerken voor deepfakes aanvalt zonder dat modelparameters of query-toegang vereist zijn.
• Theoretische Verbinding: Het legt de eerste link tussen Image Compressive Sensing theorie en aanvallen op deepfake watermerking, waarbij het dispersie-effect formaliseert via Sparsity Change, Intensity Redistribution en Positional Redistribution.
• Brede Effectiviteit: De aanval wordt gevalideerd over acht state-of-the-art schema's, inclus\nsluitend zes post-processing methoden (MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R) en twee in-processing methoden (PTW, SS).
• Efficiëntie: DEMARK demonstreert hoge praktische bruikbaarheid door het geheugengebruik met 2,2×–14,9× te verminderen en de computationele efficiëntie met 1,3×–5,7× te verbeteren vergeleken met bestaande regeneratie-gebaseerde aanvallen (RegenVAE en RegenDM).
• Mitigatie Evaluatie: De auteurs evalueren drie defensiestrategieën—Image Super-Resolution (ISR), Sparse Watermarking (SW) en Adversarial Training (AT)—en stellen vast dat deze grotendeels ineffectief zijn tegen DEMARK.

4. Experimentele Resultaten

De evaluatie werd uitgevoerd op de OpenImage en COCO datasets tegen de acht eerder genoemde watermerkschema's.

• Aanvalscapaciteit: DEMARK verminderde de gemiddelde detectienauwkeurigheid van het watermerk (DetectAcc) van 100% naar 32,9% over alle schema's. Het presteerde aanzienlijk beter dan baseline aanvallen (Distortion, RegenVAE, RegenDM) in het reduceren van zowel Bit Accuracy als Detection Accuracy.
  • Voorbeeld: Tegenover post-processing schema's verminderde DEMARK de DetectAcc met gemiddeld 54,4% vergeleken met Distortion, 9,9% vergeleken met RegenVAE en 51,0% vergeleken met RegenDM.
• Beeldintegriteit: Ondanks de agressieve verwijdering van watermerken, behield DEMARK een hoge visuele kwaliteit. De prestaties in PSNR, SSIM, FID en LPIPS waren vergelijkbaar met of beter dan RegenVAE en aanzienlijk superieur aan Distortion en RegenDM.
  • Voorbeeld: DEMARK behaalde een gemiddelde PSNR van 28,45 en SSIM van 0,85, waardoor het natuurlijke visuele uiterlijk geschikt voor deepfakes behield.
• Mitigatie Robuustheid:
  • Image Super-Resolution (ISR): Verrassend genoeg versterkte het toepassen van ISR na de aanval de impact van DEMARK, waardoor de detectienauwkeurigheid verder daalde (bijv. van 29,7% naar 12,1% gemiddeld).
  • Sparse Watermarking (SW) & Adversarial Training (AT): Deze strategieën boden slechts bescheiden verbeteringen (het verhoogde de gemiddelde detectienauwkeurigheid van ~25% naar ~36%), maar slaagden er niet in DEMARK te neutraliseren, dat nog steeds uitblonk ten opzichte van andere aanvallen.

5. Betekenis en Claims

Het artikel concludeert dat huidige encoder-decoder watermerkschema's zeer kwetsbaar blijven voor manipulaties in de latente ruimte. De betekenis van DEMARK ligt in het vermogen om aan te tonen dat:

1. Latente Ruimte een Kritiek Aanvalsoppervlak is: De afhankelijkheid van latente representaties voor het inbedden van watermerken creëert een structurele zwakte die geëxploiteerd kan worden via sparsificatie.
2. Bestaande Verdedigingen Onvoldoende zijn: Standaard mitigatiestrategieën zoals super-resolutie, sparse training en adversarial training bieden geen robuuste bescherming tegen deze klasse van aanvallen.
3. Noodzaak voor Herontwerp: De resultaten onderstrepen een dringende behoefte aan robuustere watermerkmethoden die deepfake-manipulatie kunnen beschermen, wat suggereert dat toekomstige verdedigingen verder moeten gaan dan eenvoudige encoder-decoder paradigma's of meervoudige latente feature encoding en adaptieve redundantie-distributie moeten incorporeren.

De auteurs benadrukken dat hun werk bedoeld is om beveiligingsrisico's te identificeren ter bevordering van de ontwikkeling van veerkrachtigere watermerktechnieken voor Generatieve AI, in plaats van om kwaadaardig misbruik te faciliteren.