Technische Samenvatting: Het heroverwegen van vervalsingsaanvallen op semantische watermerken in black-box omgevingen

1. Probleemstelling

De proliferatie van door AI gegenereerde inhoud (AIGC) heeft robuuste mechanismen voor bronattributie en vertrouwensverificatie noodzakelijk gemaakt. Semantische watermerken, die informatie inbedden in de initiële latente ruis van diffusiemodellen, zijn een veelbelovende oplossing geworden vanwege hun robuustheid tegen veelvoorkomende beeldtransformaties. Recente studies hebben echter aangetoond dat deze systemen kwetsbaar zijn voor black-box vervalsingsaanvallen (forgery attacks). In dergelijke aanvallen kan een tegenstander met enkel black-box toegang tot het model van een serviceprovider (SP), gebruikmakend van een proxy-diffusiemodel, een watermerkbeeld inverteren, een geschatte latente representatie herstellen en een nieuw beeld regenereren dat het watermerk van de SP behoudt terwijl de herkomst van de inhoud wordt vervalst.

Bestaande literatuur vertrouwt primair op empirisch bewijs om deze aanvallen aan te tonen, maar mist een rigoureuze theoretische onderbouwing van de condities waaronder vervalsing slaagt of faalt. Het blijft daarom onduidelijk wat de fundamentele beveiligingslimieten van semantische watermarkersystemen in de praktijk zijn en hoe men verdedigingen kan ontwerpen die generaliseren buiten specifieke implementaties van aanvallen.

2. Methodologie en Theoretisch Kader

Rate-Distortion Perspectief

De auteurs herformuleren het black-box vervalsingsprobleem vanuit het perspectief van de rate-distortion theorie in de latente ruimte. Zij modelleren de taak van de tegenstander als een verlieslatend compressieprobleem waarbij het proxy-model fungeert als een decoder die een doelwit watermerk-latent probeert te benaderen.

• Onherleidbare Distortie-vloer: De auteurs bewijzen dat een mismatch tussen het doelmodel ($\Theta$) en het proxy-model van de tegenstander ($\Theta_A$) een onherleidbaar informatieverlies ($D_{irr}$) induceert. Dit verlies creëert een ondergrens voor de haalbare distortie, wat betekent dat zelfs met oneindige computationele middelen een black-box tegenstander niet tot een willekeurig kleine inversie-distortie kan komen als de modellen verschillen.
• Effectieve Rate-straf: De mismatch tussen de modellen legt ook een effectieve rate-straf ($I_{pen}$) op, waardoor de bruikbare informatierate van de tegenstander wordt verminderd en de afname van de distortie bij een toenemende informatierate wordt vertraagd.

Geometrische Karakterisering van Distortie

Voorbij stochastische ruis-aannames karakteriseert het artikel de door proxy-modellen geïntroduceerde distortie als gestructureerde geometrische afwijkingen op de intrinsieke latente manifold. Deze afwijkingen manifesteren zich in twee specifieke vormen:

1. Globale Drift (Richting): Op de hypersfeer van de latente ruimte veroorzaken vervalsingsperturbaties een systematische hoekverplaatsing. Dit wordt gekwantificeerd met behulp van Spherical Angular Distortion (SAD), gemeten via cosinus-gelijkenis. Theoretisch wordt verwacht dat de oriëntatie van een vervalst latent significant afwijkt van het originele watermerk-latent, terwijl een correct hersteld latent goed uitgelijnd blijft.
2. Lokale Deformatie (Structuur): Vervalsingsaanvallen verstoren de lokale structurele integriteit van de latente manifold. De auteurs mappen lokale token-statistieken naar de manifold van Symmetric Positive Definite (SPD) matrices en meten de afwijking met behruik van de Affine-Invariant Riemannian Metric (AIRM). Dit levert een metriek op genaamd Local SPD Geometric Inconsistency (LGI), die niet-congruente deformaties in de lokale buurt van tokens vastlegt die afwezig zijn in authentieke watermerk-samples.

Detectieschema

Gebruikmakend van deze geometrische inzichten, stellen de auteurs een schema-agnostische detectiemethode voor. Deze methode werkt als een pre-verificatiestap door de herstelde latente ruis ($\hat{z}_T$) te analyseren voordat de extractie van het watermerk wordt geprobeerd. Door de gezamenlijke geometrische ruimte van globale drift (G-Cos) en lokale deformatie (L-SPD) te evalueren, kan de detector vervalste samples onderscheiden van authentieke watermerk-samples zonder bestaande watermerkingsschema's te wijzigen.

3. Belangrijkste Bijdragen

• Theoretische Formalisering: Het artikel is de eerste die black-box vervalsingsaanvallen formaliseert binnen een rate-distortion kader, waarbij een onherleidbare distortie-vloer wordt geïdentificeerd die de capaciteiten van een tegenstander fundamenteel beperkt wanneer deze een mismatchend proxy-model gebruikt.
• Geometrische Karakterisering: Het karakteriseert vervalsing-geïnduceerde distortie niet als willekeurige ruis, maar als gestructureerde geometrische afwijkingen (globale drift en lokale deformatie) op de latente manifold.
• Robuuste Detectie: De auteurs stellen een detectiemethode voor gebaseerd op deze geometrische bevindingen. Uit uitgebreide evaluaties blijkt dat de methode effectief is in diverse black-box scenario's, inclusief zowel guidance-gebaseerde als optimalisatie-gebaseerde aanvallen, terwijl de robuustheid tegen veelvoorkomende beeldvervormingen behouden blijft.

4. Experimentele Resultaten

De auteurs evalueerden hun methode tegen zes state-of-the-art semantische watermerkingsschema's (Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading, en TAG) over vijf doelmodellen (SD2.1, SDXL, PixArt-$\Sigma$, FLUX.1, SD3) met gebruik van SD2.1 en SD3 als proxies.

• Succes van Vervalsing: Experimenten bevestigden dat vervalsingsaanvallen zeer succesvol zijn wanneer het doel- en proxy-model identiek zijn (bijv. SD2.1 $\to$ SD2.1), waarbij een bijna perfecte True Positive Rate (TPR) voor watermerkbehoud wordt bereikt. Echter, de effectiviteit van de aanval neemt significant af in cross-model scenario's (bijv. SD3 doelwit met SD2.1 proxy), wat consistent is met de theoretische distortie-vloer.
• Detectieprestaties: De voorgestelde geometrische metrieken (G-Cos en L-SPD) behaalden bijna perfecte Area Under the Curve (AUC) waarden (vaak boven de 0.99) in cross-model scenario's. Zelfs in de uitdagende identieke-model setting (waar de theoretische distortie-vloer wordt geminimaliseerd), behield de methode een sterke detectieprestatie (bijv. AUC > 0.95 voor G-Cos).
• Robuustheid: De detectiemethode behield een hoge consistentie onder diverse post-processing distorties (bijv. JPEG-compressie, ruis, cropping), hoewel de prestaties licht afnamen onder stochastische ruis en niet-lineaire signaaldegradaties die de structurele coherentie van de latente ruimte corrumperen.
• Vergelijking: De methode presteerde beter dan of gelijk aan alternatieve metrieken en bleef effectief, zelfs tegen geavanceerde schema's zoals PRC watermerken, die steunen op pseudo-willekeur om vervalsing te weerstaan.

5. Betekenis en Claims

Het artikel claimt een nieuw perspectief te bieden op de beveiliging van semantische watermarkersystemen. Door te identificeren dat de mismatch tussen proxy- en doelmodel de fundamentele bron van kwetsbaarheid is voor tegenstanders (en de bron van detecteerbaar signaal voor verdedigers), bieden de auteurs een principieel fundament voor vervalsingsdetectie.

• Orthogonale Verdediging: De voorgestelde methode dient als een orthogonale verdediging die bestaande watermerkingsschema's complementeert. Het vereist geen hertraining van het generatieve model of wijziging van het watermerkingsalgoritme.
• Praktisch Nut: Het detectiekader opereert uitsluitend op de latente ruis, waarbij het voldoet aan de zero-storage principes die inherent zijn aan watermarking, waardoor het lichtgewicht en compatibel is met grootschalige implementaties.
• Beveiligingsgrenzen: Het werk verheldert dat hoewel identieke-model settings een beveiligingsgrens vertegenwoordigen waar de architecturale mismatch wordt geminimaliseerd, onvermijdelijke interne cumulatieve fouten (door de asymmetrie tussen forward-generatie versus backward-inversie) nog steeds meetbare latente discrepanties induceren, wat zorgt voor robuuste detectie zelfs in deze extreme gevallen.

De auteurs concluderen dat hun bevindingen de intrinsieke beperkingen van black-box vervalsingsaanvallen benadrukken en suggereren dat toekomstige robuuste semantische watermarkingsontwerpen rekening moeten houden met deze geometrische eigenschappen om de beveiliging te versterken.