Technische Samenvatting: Watermerken Aanvallen Watermerken: Her-watermerken als Algemene Verwijderstrategie

Probleemstelling

De snelle vooruitgang van generatieve AI heeft de inzet van onzichtbare watermerkschema's noodzakelijk gemaakt om herkomst te bevestigen en intellectueel eigendom in synthetische media te beschermen. Hoewel regelgevers (bijvoorbeeld de EU AI Act) deze beschermingen voorschrijven, wordt hun robuustheid regelmatig uitgedaagd door geavanceerde verwijderingsaanvallen. Bestaande literatuur heeft diverse verwijderstrategieën onderzocht, waaronder generatieve regeneratie en adversariale perturbaties. Er blijft echter een kritieke kloof bestaan in het begrijpen van de interactie tussen verschillende watermerkschema's wanneer ze worden over elkaar gelegd. De auteurs stellen dat het fundamentele optimalisatieprobleem dat wordt opgelost door watermerkinbedding (het vinden van een minimale verstoring om een detector te activeren) bijna identiek is aan dat wat wordt opgelost door watermerkverwijdering (het vinden van een minimale verstoring om een detector te ontlopen). Deze analogie suggereert dat watermerkcoderen zelf effectieve, algemene verwijderingshulpmiddelen kunnen zijn.

Methodologie

Het artikel stelt een tweestapsaanvalspijplijn voor, genaamd "Watermarks Attack Watermarks" (WAW), die werkt onder een "beige-box" (methode bekend) en "black-box" (methode onbekend) bedreigingsmodel.

1. Her-watermerken als Aanvalsvectoren

De kernhypothese is dat het toepassen van een tweede watermerk (het "aanvalswatermerk") bovenop een bestaand watermerk (het "slachtofferwatermerk") het oorspronkelijke signaal verstoort. De auteurs evalueren dit over 96 combinaties van slachtoffer- en aanvalsparen met behulp van acht representatieve watermerkschema's:

• In-processing: Tree-Ring, Stable Signature (ingebed tijdens de generatie).
• Post-processing: StegaStamp, RoSteALS, ZoDiac, Pixel Seal, WAM, Video Seal (toegepast op gegenereerde afbeeldingen).

De auteurs definiëren een "beleid" op basis van empirische interferentiematrixen. Ze testen twee primaire strategieën:

• Hertoepassing van dezelfde methode: Het tweemaal toepassen van hetzelfde watermerkalgoritme.
• Interferentie tussen methoden: Het toepassen van een ander algoritme (specifiek ZoDiac) om in-processing watermerken te verstoren.

2. Watermerkidentificatieclassificator

Om het black-box-scenario aan te pakken waarin de aanvaller de methode van het slachtoffer niet kent, trainen de auteurs een lichtgewicht classificator.

• Architectuur: Een fijnafgestemd ConvNeXt-V2 Large-model, voorgetraind op ImageNet-22K.
• Taak: Een 9-klassen classificatieprobleem dat onderscheid maakt tussen acht specifieke watermerkmethode en niet-gewatermerkte afbeeldingen.
• Input: Visuele inspectie van de afbeelding alleen, zonder toegang tot detectiemodellen, sleutels of gradiënten.
• Trainingsdata: 500 afbeeldingen per klasse uit de DiffusionDB-dataset, gesplitst 80/10/10.

3. Evaluatiekader

De pijplijn wordt geëvalueerd op subsets van DiffusionDB en MS-COCO. Succes wordt gemeten aan de hand van:

• Detectieontduiking: True Positive Rate (TPR) bij 1% False Positive Rate (FPR).
• Payload-corruptie: Bitnauwkeurigheid (BA) voor multi-bit schema's.
• Perceptuele vervorming: Genormaliseerde Kwaliteitsdegradatie (NQD), die acht standaard beeldkwaliteitsmetingen samenvoegt.
• Basislijnen: De aanval wordt vergeleken met state-of-the-art algemene verwijderingsaanvallen uit de WAVES-benchmark, waaronder geprompte diffusieregeneratie, VAE-regeneratie en iteratieve diffusie "spoeling".

Belangrijkste Bijdragen

1. Validatie van de Her-watermerkhypothese

De auteurs tonen aan dat her-watermerken een zeer effectieve, algemene verwijderstrategie is die geen gespecialiseerde kennis vereist van de interne parameters van het slachtoffer.

• In-processing Slachtoffers: Het toepassen van ZoDiac bovenop Tree-Ring of Stable Signature verlaagt de TPR tot bijna nul met minimale perceptuele degradatie.
• Post-processing Slachtoffers: Het opnieuw toepassen van dezelfde methode (bijvoorbeeld StegaStamp op StegaStamp) overschrijft consistent het oorspronkelijke signaal, verlaagt de TPR tot bijna nul en de bitnauwkeurigheid tot basislijnniveaus.
• Efficiëntie: Deze aanpak veroorzaakt aanzienlijk minder visuele degradatie (meer dan 2× minder dan de sterkste op diffusie gebaseerde basislijnen) terwijl gelijke of superieure verwijderingspercentages worden bereikt.

2. Hoog-nauwkeurige Watermerkidentificatie

Het artikel introduceert de eerste classificator die in staat is om de specifieke watermerkmethode die op een afbeelding is toegepast te identificeren, uitsluitend op basis van visuele kenmerken.

• Prestaties: De classificator bereikt een algehele nauwkeurigheid van 87,8% tot 95,3% over zowel in-distributie (DiffusionDB) als out-of-distributie (MS-COCO) datasets.
• Betekenis: Deze capaciteit transformeert de aanval van een black-box trial-and-error proces naar een gerichte beige-box aanval, waardoor de geautomatiseerde selectie van de optimale overschrijvingsstrategie mogelijk wordt.

3. De End-to-End Aanvalspijplijn

Door de identificatieclassificator te combineren met het afgeleide her-watermerkbeleid, construeren de auteurs een volledig blinde, geautomatiseerde aanvalspijplijn.

• Resultaten: De pijplijn verlaagt de bitnauwkeurigheid met minimaal 25% en tot 48% over alle slachtoffermethodes.
• Eigenaarschapvervalsing: Cruciaal is dat de aanval het signaal niet alleen wist; het vervangt het door een nieuw, geldig watermerk. Het bericht van de aanvaller wordt met hoge bitnauwkeurigheid (vaak >99%) hersteld, waardoor de aanvaller op plausibele wijze eigendom kan claimen of onduidelijkheid kan creëren over de oorspronkelijke herkomst.

Resultaten

• Signaalsuppressie: Voor de helft van de geëvalueerde schema's verlaagt de aanval de bitnauwkeurigheid tot de niet-gewatermerkte basislijn en de TPR tot bijna nul. Zelfs voor robuuste methoden zoals RoSteALS en WAM daalt de bitnauwkeurigheid onder de 75%, waardoor payload-herstel onmogelijk wordt.
• Kwaliteitsbehoud: De her-watermerkaanval introduceert aanzienlijk minder perceptuele vervorming dan op regeneratie gebaseerde aanvallen (bijvoorbeeld Regen-Diff, Rinse).
• Generalisatie: Het aanvalbeleid geldt voor verschillende datasets (DiffusionDB en MS-COCO) en verschillende diffusie-ruggengraten (SD 2.1 en SD 3.5), hoewel de prestaties iets variëren voor methoden die afhankelijk zijn van specifieke latentruimtestatistieken (bijvoorbeeld ZoDiac op SD 3.5).

Betekenis en Claims

Het artikel stelt dat de robuustheid en onwaarneembaarheidseigenschappen die beeldwatermerken aantrekkelijk maken, paradoxaal genoeg ook zijn wat ze kwetsbaar maakt voor elkaar.

• Kwetsbaarheid van Huidige Schema's: De auteurs claimen dat huidige watermerkschema's niet voldoen aan formele ondetecteerbaarheidsgaranties. Het feit dat een eenvoudige classificator onderscheid kan maken tussen verschillende watermerkmethode impliceert dat deze schema's schema-specifieke "vingerafdrukken" achterlaten die zonder sleutels herstelbaar zijn.
• Kostprijs van Aanval: De aanval is "goedkoop" en "algemeen". Het vereist alleen toegang tot kant-en-klare watermerkcoderen, die gratis beschikbaar zijn voor contentmakers. Het vereist geen gradiënten, surrogaatmodellen of detectiesleutels.
• Implicaties voor Beveiliging: Het vermogen om watermerken te identificeren en te overschrijven, vormt een uitdaging voor de betrouwbaarheid van huidige schema's voor naleving van regelgeving en auteursrechtbescherming. De auteurs suggereren dat de aanname van "mysterie van de methode" als verdediging onvoldoende is.
• Oproep tot Actie: Het werk dient als stress-test voor kandidaat-schema's en dringt aan op de ontwikkeling van watermerksystemen met sterkere formele beveiligingsgaranties en een primaire focus op echte ondetecteerbaarheid in plaats van alleen maar robuustheid tegen veelvoorkomende vervormingen.

De auteurs concluderen dat hoewel hun pijplijn een aanzienlijke kwetsbaarheid is, het ook een diagnostisch hulpmiddel biedt voor verdedigers om te controleren of hun schema's herstelbare vingerafdrukken achterlaten, waardoor de ontwikkeling van veiligere watermerktechnologieën wordt gestimuleerd.