Do Modern Post-Hoc Watermarking Methods Beat Broken-Arrows?

Technische Samenvatting: Slagen Moderne Post-Hoc Watermerkingmethoden voor Gebroken-Pijlen?

Probleemstelling
De snelle verspreiding van generatieve AI, met name diffusiemodellen, heeft robuuste mechanismen vereist voor het identificeren van door AI gegenereerde inhoud. Hoewel regelgevende instanties (bijv. de EU-wetgeving inzake AI, uitvoeringsbesluiten van het Witte Huis) traceerbaarheid voorschrijven, bestaat er een lacune in de vergelijkende evaluatie van moderne post-hoc watermerkingmethoden tegenover klassieke technieken. Moderne benaderingen, die diepe neurale netwerken (DNN's) gebruiken voor het inbedden en decoderen, worden vaak als superieur verondersteld vanwege hun flexibiliteit en vermogen om complexe augmentaties tijdens het trainen te verwerken. Deze methoden missen echter de theoretische veiligheidsfundamenten van klassieke schema's, zoals het concept van een geheime sleutel, en erven kwetsbaarheden voor adversariële voorbeelden over. Dit artikel onderzoekt of moderne post-hoc methoden consistent beter presteren dan klassieke benaderingen in een realistische zero-bit detectiesetting, waarbij veiligheid en robuustheid prioriteit krijgen boven de hoog-capaciteit multi-bit payloads die vaak door moderne schema's worden nagestreefd.

Methodologie
De auteurs stellen een eerlijk vergelijkingskader voor dat robuustheid, onzichtbaarheid en veiligheid evalueert voor drie watermerkingsschema's: twee moderne post-hoc methoden (Videoseal en TrustMark) en één klassieke methode (Broken-Arrows).

• Zero-Bit Conversie: Om een eerlijke vergelijking te garanderen die zich richt op traceerbaarheid in plaats van communicatie, werden multi-bit moderne decoders omgezet in zero-bit detectoren. Dit werd bereikt door de projectie van de decoder in een deelruimte te behandelen als een hyperkegel-detecteur, waarbij het geëxtraheerde vector wordt vergeleken met een geheime vector aan de hand van de hoek tussen hen.
• Experimentele Opstelling: Experimenten maakten gebruik van 200 natuurlijke afbeeldingen (1024×1024) uit de MFlickr-dataset. Een vaste onzichtbaarheidsbeperking werd afgedwongen door het watermerksignaal te schalen om een PSNR van 42 dB te bereiken ten opzichte van de originele afbeelding.
• Veiligheidsscenario's: De evaluatie testte vier kennisniveaus van de aanvallers:
  1. White-box: Volledige toegang tot de detecteur (en sleutel voor Broken-Arrows). Aanvallen omvatten de DDN-grensprojectie-aanval voor DNN's en optimale gesloten-vorm aanvallen voor Broken-Arrows.
  2. Black-box: Toegang tot de detecteur uitsluitend via query/response. De CGBA-aanval werd gebruikt met een vast query-budget.
  3. Oracle: De aanvaler gebruikt een proxy (oracle) om de aanval te sturen. Twee methoden werden getest: WmForger (met een voorkeursmodel) en een aangepaste Watermark In the Sand (WIS) aanval (met VAE-reiniging en PSNR als oracle).
  4. Blind: Geen toegang tot de detecteur of oracle. Dit omvatte klassieke waarde-metrische transformaties (bijv. JPEG-compressie) en regeneratie-aanvallen met diffusiemodellen (SANA, Stable-Diffusion-2.1).
• Metingen: De prestaties werden gemeten aan de hand van de Aanvals Succesratio (ASR) bij een vaste vals-positieve waarschijnlijkheid ($\alpha = 10^{-6}$) en de vervorming (PSNR) die nodig was om succes te bereiken.

Belangrijkste Bijdragen

1. Gecombineerd Evaluatiekader: Het artikel stelt een methodologie vast om moderne en klassieke watermerking te vergelijken onder een zero-bitaanneming, door multi-bit moderne decoders om te zetten in hyperkegel-detectoren om uit te lijnen met klassieke detectietheorie.
2. Uitgebreide Veiligheidsanalyse: Het biedt een systematische vergelijking van robuustheid en veiligheid over vier verschillende bedreigingsmodellen, variërend van volledige white-box toegang tot blinde aanvallen, en benadrukt de specifieke kwetsbaarheden van DNN-gebaseerde detectoren.
3. Empirisch Bewijs van Trade-offs: De studie daagt de veronderstelde superioriteit van moderne methoden uit door aan te tonen dat, in een zero-bit setting, klassieke methoden vaak superieure veiligheid bieden zonder robuustheid op te offeren.

Resultaten

• White-box en Black-box Scenario's: Broken-Arrows presteerde aanzienlijk beter dan zowel Videoseal als TrustMark. Moderne DNN-gebaseerde detectoren bleken uiterst breekbaar; de aanval bereikte bijna 100% succes met minimale vervorming (sub-quantisatiegrenzen, 60 dB) voor moderne methoden, terwijl Broken-Arrows aanzienlijk meer vervorming vereiste (40 dB) voor 100% succes. De auteurs schrijven dit toe aan "blinde vlekken" in de pixel-ruimte detectiegebieden van DNN's, die gemakkelijk worden uitgebuit via op gradiënten gebaseerde aanvallen.
• Oracle Scenario: Voor aanvallen met lage vervorming ($PSNR \geq 35$ dB) bleef Broken-Arrows het veiligst. Hoewel Videoseal betere weerstand toonde bij hogere vervormingsniveaus, was de WmForger-aanval zeer effectief tegen TrustMark. De WIS-aanval (VAE-reiniging) verwijderde systematisch mid-frequentie golfletcoëfficiënten, wat Broken-Arrows meer beïnvloedde dan moderne methoden, hoewel Broken-Arrows overall robuust bleef.
• Blind Scenario: Alle drie de methoden waren robuust tegen standaard waarde-metrische bewerkingen en regeneratie-aanvallen, waarbij ten minste 30 dB vervorming nodig was om het watermerk te wissen. Hoewel Videoseal marginale winsten toonde in robuustheid tegen sterke JPEG-compressie vergeleken met Broken-Arrows, presteerde TrustMark het slechtst.

Betekenis en Beweringen
Het artikel concludeert dat moderne post-hoc watermerkingmethoden niet consistent beter presteren dan klassieke benaderingen in een zero-bit setting. De belangrijkste bevinding is een kritieke trade-off: terwijl moderne DNN-gebaseerde methoden geen significante winst in robuustheid bieden onder de geteste omstandigheden, vertonen ze een significante daling in veiligheid vanwege hun vatbaarheid voor adversariële verstoringen en het ontbreken van een mechanisme voor geheime sleutels.

De auteurs benadrukken dat moderne technieken primair zijn geoptimaliseerd voor hoog-capaciteit multi-bit payloads, een doel dat niet wordt aangepakt in deze zero-bit evaluatie. Bovendien erkent de studie beperkingen, met name dat het zich richt op waarde-metrische bewerkingen en geen rekening houdt met geometrische vervormingen (bijv. bijsnijden, roteren), die moderne methoden vaak verwerken via synchronisatietechnieken. Het werk dient als een waarschuwing dat de flexibiliteit van deep learning in watermerking gepaard gaat met een groter aanvalsoppervlak en verminderde veiligheidsgaranties in vergelijking met goed gevestigde klassieke ontwerpen.