Technische Samenvatting: Veilige Zaad-gebaseerde Multi-bit Watermerking voor Diffusiemodellen vanuit Eerste Principes

Probleemstelling

De snelle opkomst van generatieve beeldmodellen heeft de ontwikkeling van gespecialiseerde watermerkingstechnieken gestimuleerd, met name "in-generation"-methoden zoals zaad-gebaseerde embedden. De auteurs betogen echter dat de huidige evaluaties op dit gebied fundamenteel gebrekkig zijn omdat ze sterk afhankelijk zijn van empirische tests die gekoppeld zijn aan specifieke modelarchitecturen (diffusiemodellen, VAE's, schedulers) en inversiepijplijnen. Deze empirische afhankelijkheid verhindert duidelijke, generaliseerbare conclusies over de prestaties van watermerkingsschema's, vooral wat betreft veiligheid.

Bovendien zijn bestaande definities van "kwaliteit" en "robustheid" gekoppeld aan het generatieve model, waardoor het onmogelijk is om watermerkingssystemen onafhankelijk van het gebruikte model te rangschikken. Evenzo is het onderscheid tussen cryptografische veiligheid en watermerkingveiligheid vaak vervaagd; schema's zoals Gaussian-Shading en PRC claimen cryptografische veiligheid maar falen om "spoofing-aanvallen" te voorkomen, waarbij een aanvaller het ingebedde bericht kan achterhalen zonder de geheime sleutel omdat de drager (het zaad) niet verborgen is.

Methodologie

1. Een Ontkoppelde Evaluatiekader

De kernmethodologische bijdrage is de ontkoppeling van het modelafhankelijke deel (het inverse diffusieproces) van het beslissingsmechanisme van het watermerkingssysteem. Dit maakt een rigoureuze theoretische analyse mogelijk die onafhankelijk is van het generatieve model. De auteurs stellen een kader voor op basis van drie kernkwantiteiten:

• Capaciteit (Robustheid): In plaats van empirische robustheidstests modelleren de auteurs het beslissingsmechanisme als een Binaire Symmetrische Kanaal (BSC) met een flip-kans $p$. Ze definiëren de robustheid van de projectiefunctie $f$ door de variantie $\sigma^2$ van het ruis die deze introduceert in de watermerkruimte. De capaciteit van het systeem wordt afgeleid met behulp van Shannons capaciteitsformule voor een BSC, $C_\sigma = 1 - h_2(p_k(\sigma))$, waarbij $p_k(\sigma)$ de kanaalkarakteristiek is die ruisvariantie afbeeldt op bit-foutratio.
• Fideliteit (Kwaliteit): Weg van empirische beeldmetrieken zoals FID of CLIP-scores, die de auteurs onvoldoende en modelafhankelijk achten, definiëren ze fideliteit als de Kullback-Leibler (KL)-divergentie tussen de standaard Gaussische zaadverdeling (de cover-verdeling) en de gewatermerkte zaadverdeling. Een systeem is $\zeta-trouw$ als $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$.
• Veiligheid: De auteurs onderscheiden tussen cryptografische veiligheid en watermerkingveiligheid. Ze definiëren een veiligheidsratio $\eta$, die het aantal gewatermerkte samples meet dat een aanvaller nodig heeft om de geheime sleutel beter te schatten dan willekeurig gissen. Ze benadrukken dat schema's die de codewoorddrager niet verbergen (zoals Gaussian-Shading) een veiligheidsratio hebben van $\eta = 1/L$, waardoor ze kwetsbaar zijn voor Principal Component Analysis (PCA)-aanvallen.

2. De SSB (Secure Seed-Based) Constructie

Gebaseerd op dit kader stellen de auteurs SSB voor, een nieuw multi-bit watermerkingsschema geïnspireerd door Voronoi-modulatie en geneste roosters.

• Embedden: De methode gebruikt een geheime sleutel $U$ (een unitaire matrix) om de latente ruimte te roteren. Het maakt gebruik van twee geneste één-dimensionale roosters: een grof rooster $\Lambda_\Delta$ en een fijn rooster $\Lambda_\delta$. Het embed-algoritme samplet een vector $z_u$ zodat de grof-roostervunctie $\Lambda_\Delta(z_u)$ het gewenste binaire codewoord $c$ output.
• Projectie: De vector $z_u$ wordt terug geprojecteerd in de latente ruimte met behulp van de geheime sleutel $U$ en een willekeurig ruisonderdeel dat orthogonaal is op $U$, zodat het resulterende zaad geldig blijft voor het diffusieproces.
• Decodering: De detector projecteert het gewatermerkte beeld terug naar de latente ruimte, past de rotatie $U^\top$ toe en past de grof-roostervunctie $\Lambda_\Delta$ toe om het codewoord te herstellen.

Kernbijdragen

1. Theoretisch Kader: Het paper introduceert een formeel evaluatiekader dat het watermerkingbeslissingsmechanisme scheidt van het generatieve model. Dit maakt nauwkeurige vergelijkingen van watermerkingssystemen mogelijk op basis van een karakteristiek oppervlak dat de afweging tussen veiligheid, capaciteit en fideliteit weergeeft, onafhankelijk van het gebruikte diffusiemodel.
2. SSB-algoritme: De auteurs ontwerpen SSB, een generalisatie van eerdere zaad-gebaseerde methoden. Door de roosterparameters $(\Delta, \delta)$ af te stemmen, kan SSB opereren over een breed scala van de veiligheids-fideliteit-capaciteit afwegingsruimte. Opmerkelijk is dat het perfecte veiligheid kan bereiken (waarbij de eigenwaarden van de gewatermerkte covariantiematrix ononderscheidbaar blijven van de cover-verdeling), zelfs terwijl het een niet-nul capaciteit behoudt.
3. Empirische Validatie: Het paper biedt empirische validatie van de theoretische aannames. Het toont aan dat het door inverse diffusie geïntroduceerde ruis nauwkeurig gemodelleerd kan worden als additief wit Gaussisch ruis in de latente ruimte en dat de theoretische voorspellingen voor capaciteit en veiligheid overeenkomen met empirische resultaten voor SSB, Gaussian-Shading en PRC.

Resultaten

• Theoretische versus Empirische Overeenstemming: Experimenten met Sana, Z-Image en Qwen diffusiemodellen bevestigen dat het theoretische model (BSC-kanaal met Gaussisch ruis) de bit-foutratio's en capaciteit van de watermerkingssystemen nauwkeurig voorspelt.
• Prestatievergelijking:
  • Gaussian-Shading en PRC: Deze bestaande methoden blijken lage veiligheidsratio's te hebben ($\eta = 1/L$) omdat ze de drager niet verbergen, waardoor ze kwetsbaar zijn voor PCA-aanvallen. Ze vertonen ook suboptimale capaciteit-fideliteit afwegingen.
  • SSB: De voorgestelde methode presteert beter dan bestaande benaderingen door de gebruiker in staat te stellen een regime te selecteren. Een specifieke configuratie $(\Delta=1.6, \delta=0)$ bereikt bijvoorbeeld perfecte veiligheid ($\eta = +\infty$) terwijl het een levensvatbare capaciteit behoudt, een regime dat door eerdere methoden niet haalbaar is.
• Robustheid: De studie kwantificeert de equivalente Gaussische ruisvariantie ($\sigma^2$) die wordt geïntroduceerd door veelvoorkomende beeldbewerkingen (JPEG-compressie, bijsnijden, helderheid/contrast-aanpassingen) over verschillende diffusiemodellen, waardoor een gestandaardiseerde metriek voor robustheid wordt geboden.

Betekenis en Claims

Het paper claimt het paradigma van watermerkingsonderzoek te verschuiven van ad-hoc empirische optimalisaties naar ontwerp met theoretische garanties. Door de watermerkinglogica te ontkoppelen van het generatieve model, betogen de auteurs dat:

• Het mogelijk wordt om definitieve uitspraken te doen over de superioriteit van het ene watermerkingssysteem ten opzichte van het andere (bijvoorbeeld "Systeem A is robuuster dan Systeem B") zonder ze opnieuw te hoeven evalueren tegen elk nieuw diffusiemodel.
• Het vakgebied voorbij kan gaan aan het vermengen van cryptografische veiligheid met watermerkingveiligheid, en specifiek de dreiging van spoofing-aanvallen aanpakt waarbij de drager blootgesteld is.
• De SSB-methode een flexibele, theoretisch onderbouwde oplossing biedt die kan worden afgestemd op specifieke eisen voor veiligheid, capaciteit en fideliteit, en een weg biedt naar moderne watermerkingssystemen die geen kostbare, model-specifieke empirische evaluaties vereisen voor elke nieuwe iteratie.

De auteurs blijven bescheiden en merken op dat hun analyse een BSC-model veronderstelt en dat toekomstig werk de kloof met AWGN-modellen kan verkennen, de projectiefunctie (inverse diffusie) kan verbeteren en het kader kan uitbreiden naar 0-bit zaad-gebaseerde watermerking.