🤖 machine learning

PGID: Progressive Guided Inversion and Denoising for Robust Watermark Detection

Dit artikel stelt PGID voor, een trainingsvrij, plug-and-play raamwerk dat zich verdedigt tegen watermerkverwijdering en vervalsingsaanvallen op door AI gegenereerde afbeeldingen door gebruik te maken van progressieve geleide inversie en ontdoening van ruis om verstoorte latente ruimtes terug te projecteren naar hun oorspronkelijke gebieden, waardoor robuuste detectiebetrouwbaarheid wordt hersteld.

Oorspronkelijke auteurs: Minh Quoc Duong, Chun Tong Lei, Chun Pong Lau

Gepubliceerd 2026-05-12

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Minh Quoc Duong, Chun Tong Lei, Chun Pong Lau

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Het Grote Plaatje: Het Probleem van Digitale Watermerken

Stel je AI-afbeeldingsgeneratoren (zoals Stable Diffusion) voor als een magische fabriek die prachtige plaatjes uit het niets kan creëren. Om hun werk te beschermen, gebruiken de fabriekseigenaren (dienstverleners) digitale watermerken. Denk aan deze watermerken niet als een zichtbaar logo op de foto, maar als een geheime vingerafdruk verborgen in de aller eerste vonk elektriciteit die het creatieproces start.

Om te controleren of een plaatje tot de fabriek behoort, moet je het creatieproces achterstevoren uitvoeren (zoals het terugspoelen van een film) om die oorspronkelijke vonk te vinden. Als de vonk de vingerafdruk van de fabriek draagt, is het plaatje van hen.

Het Probleem:
Onlangs ontdekten hackers een manier om dit systeem te breken. Ze ontdekten dat als ze het plaatje net iets aanpassen, ze kunnen:

Het plaatje stelen: Een fabrieksplaatje nemen, de vingerafdruk eruit wissen en het als hun eigen werk claimen (De "Verwijderingsaanval").
Het plaatje vervalsen: Een willekeurig plaatje van internet nemen en de vingerafdruk van de fabriek erin injecteren, zodat het lijkt alsof de fabriek het heeft gemaakt (De "Vervalsingsaanval").

Huidige bewakers (standaard detectiemethoden) worden hierdoor makkelijk voor de gek gehouden. Ze missen óf de gestolen plaatjes, óf ze worden bedrogen door de vervalsingen.

De Oplossing: PGID (De "Slimme Terugspoeling")

De auteurs stellen een nieuw hulpmiddel voor genaamd PGID (Progressive Guided Inversion and Denoising). Het is als een super-slimme detective die niet alleen de film terugspoelt; het repareert de film terwijl het terugspoelt.

Zo werkt het, met een analogie:

1. Het Concept van "Twee Buurten"

Stel je de ruimte waar deze afbeeldingen leven voor als verdeeld in twee buurten:

De Gewatermerkte Buurt: Waar alle echte afbeeldingen van de fabriek wonen.
De Ongewatermerkte Buurt: Waar willekeurige, niet-fabrieksafbeeldingen wonen.

De aanvallen van hackers werken door de afbeeldingen fysiek tussen deze buurten te verplaatsen:

Verwijderingsaanval: Ze duwen een echte fabrieksafbeelding uit de Gewatermerkte Buurt en de Ongewatermerkte in.
Vervalsingsaanval: Ze duwen een willekeurig plaatje in de Gewatermerkte Buurt.

2. Het Probleem van de "Bultenweg"

Wanneer hackers deze afbeeldingen verplaatsen, laten ze een spoor van "bulten" en "afwijkingen" in het pad achter. Als je probeert het plaatje normaal terug te spoelen (zoals met een standaard camera), blijft je steken op deze bulten en eindig je in de verkeerde buurt.

3. Hoe PGID Het Oplost (De "Progressieve Gids")

PGID fungeert als een geleidetoer die het terrein perfect kent. In plaats van gewoon achteruit te lopen, gebruikt het een speciale techniek:

Stap 1: De Voorvertoning: Het voert eerst een standaard terugspoeling uit om te zien waar de hacker het plaatje naartoe heeft geduwd.
Stap 2: De "Teruglopen, Vooruitrennen" Dans: Dit is de kernmagie. PGID beweegt het plaatje een paar stappen achteruit (inverteren), maar beweegt het dan vooruit (denoising) meer stappen dan het achteruit bewogen is.
- Analogie: Stel je voor dat je probeert je weg terug te vinden naar je huis, maar iemand heeft obstakels (de veranderingen van de hacker) op het pad verspreid. Als je gewoon achteruit loopt, struikel je. Maar als je een paar stappen achteruit doet, en dan een paar langere stappen vooruit, gebruik je de "schone lucht" van het voorwaartse pad om de obstakels glad te strijken.
Stap 3: De Correctie: Door deze "achteruit-dan-meer-vooruit" dans herhaaldelijk uit te voeren, strijkt het hulpmiddel de bulten van de hacker glad. Het duwt het plaatje effectief terug naar de buurt waar het oorspronkelijk toe behoorde.

Wat PGID Bereikt

Het paper beweert dat met dit nieuwe "Slimme Terugspoel"-hulpmiddel:

Het gestolen goed herstelt: Als een hacker probeert een watermerk te verwijderen, kan PGID het plaatje "schoonmaken" en het terugduwen naar de Gewatermerkte Buurt, waardoor de verborgen vingerafdruk zichtbaar wordt. Het is als het vinden van een verborgen boodschap die iemand probeerde uit te wissen.
Het vervalsingen onthult: Als een hacker probeert een watermerk te vervalsen, duwt PGID dat nepplaatje terug naar de Ongewatermerkte Buurt. De detector zegt dan: "Dit hoort hier niet thuis", en verwierpt de vervalsing.

De Resultaten (In Gewone Taal)

De auteurs testten dit op vier verschillende soorten digitale watermerken en twee verschillende AI-modellen.

Voor PGID: Hackers konden ongeveer 90-100% van de tijd succesvol plaatjes stelen of vervalsen. Het beveiligingssysteem faalde.
Na PGID: Het systeem werd bijna perfect.
- Het herstelde gestolen watermerken bijna 100% van de tijd.
- Het verwierp vervalste afbeeldingen bijna 100% van de tijd.
- Het werkte zelfs als de hacker een iets ander AI-model gebruikte om de aanval te creëren.

De Vangst (Beperkingen)

Het paper geeft een paar dingen toe:

Het is iets trager: Omdat PGID deze "dans" van heen en weer bewegen moet uitvoeren, kost het meer computer tijd dan een simpele terugspoeling. De auteurs zeggen echter dat dit een eerlijke ruil is voor veiligheid.
Het moet afgesteld worden: De "stappen" van de dans (hoe ver terug en hoe ver vooruit) moeten aangepast worden afhankelijk van welk specifiek watermerk of AI-model er gebruikt wordt. Er is nog geen enkele "perfecte instelling" voor elke mogelijke situatie.
Het bestrijdt alleen "duw"-aanvallen: Dit hulpmiddel is ontworpen om afbeeldingen te repareren die fysiek zijn rondgeduwd (geperturbeerd). Het werkt mogelijk niet tegen aanvallen waarbij het plaatje niet rondgeduwd wordt (zoals het simpelweg middelen van veel afbeeldingen samen).

Samenvatting

Denk aan PGID als een zelfcorrigerende GPS voor digitale watermerken. Wanneer een hacker probeert een auto (het plaatje) om te leiden naar de verkeerde bestemming, volgt PGID niet alleen de verkeerde weg; het berekent de bulten, strijkt ze glad en leidt de auto terug naar zijn oorspronkelijke, juiste bestemming, zodat de identiteit van de eigenaar altijd herkend wordt.

Technische Samenvatting: PGID (Progressive Guided Inversion and Denoising)

Probleemstelling

De proliferatie van door AI gegenereerde afbeeldingen via diffusiemodellen heeft robuuste digitale watermerking vereist voor bescherming van intellectueel eigendom en het traceren van herkomst. Recente semantische watermerking-schema's (bijv. Tree Ring, Gaussian Shading) embedden signalen in het initiële ruis van het diffusieproces, waarbij ze vertrouwen op diffusie-inversie (typisch DDIM) om het initiële ruis te achterhalen voor detectie.

Deze afhankelijkheid van accurate inversie creëert echter een kritieke kwetsbaarheid. Recent werk van Müller et al. (2025) toonde aan dat dit paradigma vatbaar is voor twee specifieke black-box-aanvallen:

Imprint Removal Attacks: Aanvallers perturberen een gewatermerkte afbeelding om zijn latente representatie te verplaatsen van het "gewatermerkte gebied" naar het "ongewatermerkte gebied", wat leidt tot detectiefouten.
Imprint Forgery Attacks: Aanvallers perturberen een schone (ongewatermerkte) cover-afbeelding om zijn latente representatie te sturen naar het "gewatermerkte gebied", wat leidt tot vals-positieven.

Huidige één-staps inversie-benaderingen falen in het onderscheiden tussen authentieke watermerken en deze adversariële perturbaties, waardoor dienstverleners kwetsbaar blijven voor auteursrechtendiefstal en reputatieschade.

Methodologie: Progressive Guided Inversion and Denoising (PGID)

De auteurs stellen PGID voor, een plug-and-play, training-free framework ontworpen om zich te verdedigen tegen zowel verwijderings- als vervalsingsaanvallen zonder het onderliggende diffusiemodel opnieuw te trainen.

Kerninzicht

De methode is gebaseerd op de observatie dat de latente ruimte kan worden gepartitioneerd in een gewatermerkt gebied ( $R_w$ ) en een ongewatermerkt gebied ( $R_u$ ) voor een specifiek watermerksignaal.

Verwijderingsaanvallen verschuiven gewatermerkte latenten ( $z_0 \in R_w$ ) naar $R_u$ .
Vervalsingsaanvallen verschuiven ongewatermerkte latenten ( $z_0 \in R_u$ ) naar $R_w$ .
Deze aanvallen veroorzaken cumulatieve verdelingsbias op tussenliggende tijdstappen tijdens de inversietrajectorie.

Het PGID-framework

PGID werkt in drie fasen om geperturbeerde latenten terug te projecteren naar hun oorspronkelijke gebieden:

Trajectvoorberekening: De standaard DDIM-inversie wordt uitgevoerd op de verdachte afbeelding om het aangevallen tussenliggende latente traject $\{z^{atk}_t\}$ te verkrijgen.
Progressieve Latente Verfijning (De Kernverdediging): Deze fase maakt gebruik van asymmetrische inversie-denoising-cycli om afwijkingen te elimineren en adversariële perturbaties te mitigeren.
- Het proces iterert van $t=1$ tot een stop-tijdstap $k$ .
- In elke cyclus voert het algoritme meer denoising-stappen uit dan inversiestappen. Specifiek invert het $i-s$ stappen en denoist het vervolgens $i$ stappen.
- Leiding: Een leidingsterm $\gamma(\hat{z} - z^{atk}_t)$ wordt toegepast om het traject weg te sturen van het vooraf berekende aangevallen pad.
- Mechanisme: Door meer te denoisen dan te inverseren, behandelt de methode de adversariële perturbatie als extra ruis. Het inherente vermogen van het diffusiemodel om effectief te denoisen filtert deze perturbaties eruit en projecteert de latent terug naar het schone manifold (hetzij $R_w$ of $R_u$ ).
Definitieve Inversie: Een standaard volledige inversie wordt uitgevoerd op de verfijnde latent $z_0$ om de definitieve ruis $z_T$ te verkrijgen voor detectie.

Varianten

PGID-R: Geconfigureerd om zich te verdedigen tegen verwijderingsaanvallen door aangevallen latenten terug te projecteren naar het gewatermerkte gebied.
PGID-F: Geconfigureerd om zich te verdedigen tegen vervalsingsaanvallen door vervalste latenten terug te projecteren naar het ongewatermerkte gebied.

Belangrijkste Bijdragen

Formalisatie van Latente Gebieden: De auteurs formaliseren de concepten van gewatermerkte en ongewatermerkte gebieden in de latente ruimte en demonstreren empirisch (via PCA) dat imprint-aanvallen latenten succesvol uit hun respectieve gebieden verplaatsen om detectie te verstoren.
Unificerend Verdedigingsframework: PGID is het eerste plug-and-play, training-free ruisextractieframework dat verdediging tegen zowel imprint-vervalsing als verwijderingsaanvallen verenigt.
Herstel en Differentiatie: Het framework herstelt succesvol verduisterde watermerken van verwijderingsaanvallen en onderscheidt vervalste afbeeldingen van authentieke exemplaren, een capaciteit die eerder niet op een verenigde manier was aangetoond.

Experimentele Resultaten

De auteurs evalueerden PGID over vier semantische watermerking-schema's (Tree Ring, Gaussian Shading, PRC, T2SMark) met behulp van Stable Diffusion v2.1 en v1.5, evenals de PixArt- $\alpha$ -architectuur.

Tegen Verwijderingsaanvallen:
- Baseline-schema's (standaard inversie) leden aan bijna totale detectiefouten (bijv. detectiesnelheden daalden tot ~0,00–0,25) na verwijderingsaanvallen.
- PGID-R herstelde detectiesnelheden tot ~1,00 (100%) en bitnauwkeurigheid tot bijna perfecte niveaus over alle schema's en aanvalmodellen heen. Het behaalde AUC-scores dicht bij 1,0, waardoor verwijderde afbeeldingen effectief werden onderscheiden van schone ongewatermerkte afbeeldingen.
Tegen Vervalsingsaanvallen:
- Baseline-schema's waren zeer vatbaar, waarbij vervalste afbeeldingen bijna altijd werden gedetecteerd als gewatermerkt (Detectiesnelheid ~1,00).
- PGID-F onderdrukte het vervalste signaal, waardoor detectiesnelheden werden verlaagd tot bijna 0,00 en bitnauwkeurigheid tot willekeurig-gokniveaus (~0,5).
- Cruciaal behield PGID-F de integriteit van authentieke watermerken. Wanneer authentieke gewatermerkte afbeeldingen door PGID-F werden geleid, bleven de detectiesnelheden hoog (>0,93) en werd de bitnauwkeurigheid behouden, terwijl vervalste afbeeldingen werden afgewezen.
Generaliseerbaarheid: De methode toonde robuuste prestaties over verschillende modelarchitecturen (SD 2.1, SD 1.5, PixArt- $\alpha$ ) en verschillende aanvalsschedulers (DDIM, DPM).

Betekenis en Claims

Het artikel claimt dat PGID een kritieke beveiligingskloof in semantische watermerking aanpakt door voorbij te gaan aan eenvoudige één-staps inversie. Door het intrinsieke denoising-vermogen van het diffusiemodel te benutten via progressieve, asymmetrische cycli, "reinigt" PGID de latente representatie effectief van adversariële perturbaties.

De auteurs benadrukken dat PGID training-free en plug-and-play is, waarbij alleen het model van de dienstverlener vereist is om zich te verdedigen tegen geavanceerde black-box-aanvallen. Zij merken op dat hoewel hyperparameters (stop-tijdstap $k$ , skip-stappen $s$ , leidingsterkte $\gamma$ ) mogelijk moeten worden afgestemd voor specifieke schema's (met name gevoelige zoals PRC), het framework een robuuste, verenigde oplossing biedt voor contentherkomst. Het werk stelt vast dat het mogelijk is om watermerken te herstellen van verwijderingsaanvallen en vervalste instanties af te wijzen, waardoor de betrouwbaarheid van detectie van door AI gegenereerde inhoud aanzienlijk wordt verbeterd.