Spread them Apart: Towards Robust Watermarking of Generated Content

Este artigo propõe um método de marcação d'água robusto e sem necessidade de retreinamento, aplicado durante a inferência de modelos generativos como os de difusão, para garantir a detecção de conteúdo sintético e a identificação do usuário mesmo sob ataques de remoção ou perturbações.

O essencial

Imagine que você tem uma máquina mágica que desenha quadros incríveis baseados apenas em uma descrição que você dá. Hoje, essas máquinas (chamadas de Modelos de Difusão, como o Stable Diffusion) são tão boas que é quase impossível dizer se uma foto foi tirada por um humano ou criada por um computador.

O problema? Alguém pode usar essa máquina para criar uma imagem, e depois mentir dizendo: "Eu desenhei isso! É minha obra-prima!", roubando o crédito ou violando direitos autorais.

É aqui que entra o artigo "Espalhe-os" (Spread them Apart). Os autores criaram um método inteligente para colocar uma "assinatura invisível" nas imagens geradas, sem precisar reprogramar a máquina mágica.

Aqui está a explicação simplificada, usando analogias do dia a dia:

1. A Ideia Principal: O "Pulo do Gato" Invisível

Em vez de tentar esconder uma marca d'água (como um logotipo transparente) na imagem, que pode ser apagada facilmente, os autores decidiram alterar a própria estrutura da imagem enquanto ela está sendo criada.

A Analogia do Sinal de Trânsito:
Imagine que a máquina de desenhar é um pintor. Normalmente, o pintor segue suas instruções e pinta o gato preto.
Com o método "Espalhe-os", o sistema diz ao pintor: "Pinte o gato, mas faça um truque específico: o olho esquerdo deve ser ligeiramente mais brilhante que o direito, e a orelha direita deve ser ligeiramente mais escura que a esquerda."

Essa diferença é tão pequena que o olho humano não percebe (a imagem continua linda), mas é uma regra matemática que só o dono da máquina conhece.

2. Como Funciona a "Chave Secreta"

Cada usuário que usa o sistema recebe uma chave secreta única.

• O Segredo: Imagine que sua chave é um mapa que diz: "Olhe para o pixel 10 e o pixel 20. Se o pixel 10 for mais claro que o 20, significa que a imagem é sua."
• A Geração: Quando você pede uma imagem, o sistema ajusta os pixels para obedecer ao seu mapa secreto.
• A Verificação: Se alguém tentar roubar a imagem e dizer que é dele, o dono da máquina olha para a imagem, usa a chave secreta do suposto dono e verifica: "Ei, o pixel 10 não está mais claro que o 20 como deveria estar. Essa imagem não é sua!"

3. Por que é "Robusto" (Difícil de Apagar)?

O grande trunfo desse método é que ele é matematicamente garantido para resistir a tentativas de remoção.

A Analogia do Balão:
Imagine que a imagem é um balão e a marca d'água é um desenho feito com caneta no balão.

• Métodos antigos: Se você esfregar o balão (ajustar brilho, contraste, cortar a imagem), o desenho some.
• Método "Espalhe-os": O desenho não está "na tinta" do balão, mas na tensão entre dois pontos do balão. Se você tentar apertar o balão (adicionar ruído) ou mudar a cor (ajustar brilho), a relação entre os dois pontos (um estar mais esticado que o outro) permanece.

O artigo prova matematicamente que, se alguém tentar "apagar" a marca d'água com pequenas alterações (como mudar o brilho ou adicionar um pouco de ruído), a mensagem secreta continua lá. É como tentar apagar a diferença de altura entre duas torres de blocos apenas soprando ar nelas; a torre maior continua sendo a maior.

4. A Versão Avançada: "Três Marcas em Vez de Uma"

O artigo também propõe uma versão mais forte para quando alguém tenta girar ou mover a imagem (como se você pegasse a foto e a virasse de lado).

A Analogia da Receita de Bolo:

• Versão 1 (Pixel): A marca d'água está na posição exata dos ingredientes na tigela. Se você virar a tigela, a posição muda e a marca some.
• Versão 2 (Invariante): O sistema cria a marca d'água baseada na fórmula da receita, não na posição. Se você girar a foto (como girar um bolo), a fórmula matemática que define a marca d'água continua válida, mesmo que a imagem tenha sido rotacionada. É como dizer: "O bolo é redondo", independentemente de como você olha para ele.

5. O Resultado na Prática

Os autores testaram isso contra "ataques" que tentam apagar a marca:

• Mudar o brilho? Falha.
• Mudar o contraste? Falha.
• Comprimir a imagem (como no JPEG)? Falha.
• Tentar usar inteligência artificial para "limpar" a imagem? Falha.

Eles conseguiram manter a marca d'água quase intacta, enquanto outros métodos famosos perderam a marca d'água facilmente.

Resumo Final

O artigo "Espalhe-os" é como dar a cada usuário de uma máquina de gerar imagens uma impressão digital única e invisível que é parte da própria estrutura da imagem.

• Para o usuário: A imagem continua perfeita.
• Para o ladrão: É impossível remover a marca sem destruir a imagem inteira.
• Para o dono: É fácil provar quem criou o que, mesmo anos depois.

É uma solução elegante que usa a matemática para garantir honestidade em um mundo onde "ver para crer" não é mais suficiente.

Resumo técnico

Resumo Técnico: Spread them Apart

1. Problema e Motivação

O avanço recente em modelos generativos, particularmente os Modelos de Difusão (como o Stable Diffusion), permitiu a criação de imagens de qualidade fotográfica, tornando difícil distinguir entre conteúdo real e sintético. Isso levanta sérias preocupações éticas e legais:

• Rastreabilidade e Atribuição: É necessário identificar se uma imagem foi gerada por um modelo específico e, mais importante, quem (qual usuário) a gerou.
• Propriedade Intelectual: Usuários desonestos podem gerar conteúdo protegido por licença e reivindicar a autoria exclusiva, violando acordos de direitos autorais.
• Limitações das Abordagens Atuais: Muitos métodos de marcação d'água exigem o re-treinamento do modelo generativo ou são frágeis a ataques de remoção (como ajustes de brilho, compressão JPEG ou ataques adversariais).

O objetivo deste trabalho é desenvolver uma técnica de marcação d'água robusta que seja inserida durante o processo de inferência (geração) do modelo, sem a necessidade de re-treinamento, permitindo a detecção do conteúdo e a atribuição ao usuário específico.

2. Metodologia: "Spread them Apart"

A abordagem proposta, chamada "Spread them Apart", baseia-se na otimização da representação latente da imagem durante a geração para satisfazer um conjunto de desigualdades pré-definidas específicas para cada usuário.

A. Princípio Fundamental (Nível de Pixel)
Cada usuário $u_i$ recebe um par de chaves:

• Marca d'água ($w(u_i)$): Uma string binária de comprimento $n$.
• Segredo ($s(u_i)$): Um conjunto de pares de índices de pixels $(a_j, b_j)$.

A marca d'água é inserida forçando uma relação de intensidade entre pares de pixels específicos na imagem gerada $x$:

• Se o bit $w_j = 0$, então $x_{a_j} \ge x_{b_j}$.
• Se o bit $w_j = 1$, então $x_{a_j} < x_{b_j}$.

Para garantir robustez, é imposta uma margem mínima $\epsilon$ entre os pixels: $|x_{a_j} - x_{b_j}| \ge \epsilon$.

B. Otimização durante a Inferência
O método não altera os pesos do modelo generativo. Em vez disso, durante a geração da imagem (no espaço latente $z$), otimiza-se uma função de perda composta:
$$\mathcal{L} = \lambda_{wm} \mathcal{L}_{wm} + \lambda_{qual} \mathcal{L}_{qual}$$

• $\mathcal{L}_{wm}$: Penaliza a violação das desigualdades impostas pela marca d'água e pelo segredo do usuário.
• $\mathcal{L}_{qual}$: Preserva a qualidade da imagem (usando a métrica LPIPS) para evitar distorções visuais.

O processo de detecção e atribuição utiliza uma regra de cauda dupla: um objeto é atribuído a um usuário se a distância de Hamming entre a marca extraída e a marca original for muito pequena (correspondência direta) ou muito grande (correspondência invertida), o que protege contra ataques de "flip" (inversão de bits).

C. Extensão para Robustez Geométrica (Várias Marcas)
Para lidar com transformações geométricas (rotação, translação), o método é estendido para inserir a marca d'água simultaneamente em três domínios:

1. Domínio do Pixel: Como descrito acima.
2. Domínio da Frequência (Invariante à Translação): Utiliza a magnitude da Transformada de Fourier.
3. Domínio Logarítmico-Polar (Invariante à Rotação): Utiliza a Transformada de Fourier-Mellin.

Ao otimizar a perda em todos os três domínios simultaneamente, a marca d'água torna-se robusta a rotações e translações, pois as propriedades invariantes são preservadas.

3. Contribuições Principais

1. Framework "Spread them Apart": Uma nova abordagem para inserir marcas d'água em conteúdo gerativo contínuo sem re-treinar o modelo.
2. Garantias Teóricas de Robustez: Prova matemática de que as marcas inseridas são robustas contra:
   • Perturbações aditivas de magnitude limitada (norma $l_\infty$).
   • Perturbações multiplicativas e exponenciação (ajustes de brilho/contraste/gama).
3. Atribuição de Usuário e Detecção: O sistema resolve simultaneamente a tarefa de detectar se uma imagem é sintética e identificar qual usuário a gerou.
4. Desempenho Experimental: Demonstração de que o método supera ou compete com o estado da arte (SOTA) em robustez contra ataques de remoção sintéticos e adversariais.

4. Resultados Experimentais

Os experimentos foram realizados no modelo Stable Diffusion 2-base com imagens de 512x512.

• Robustez a Ataques de Remoção:

  • O método apresentou uma Taxa de Erro de Bits (ABWE) extremamente baixa (ex: 0.001 a 0.003) para ajustes de brilho, contraste e nitidez.
  • Em comparação com métodos SOTA (Stable Signature, SSL, AquaLora, WOUAF), o método proposto manteve alta taxa de acerto (TPR) mesmo sob ataques agressivos como PGD (White-box adversarial attack) e compressão JPEG.
  • Enquanto outros métodos falharam drasticamente em ataques de inversão de contraste ou PGD (TPR caindo para 0.000), o "Spread them Apart" manteve TPRs superiores a 0.99 na maioria dos cenários.

• Atribuição e Detecção:

  • Com uma taxa de falso positivo (FPR) fixada em $10^{-6}$, o método alcançou uma Taxa de Verdadeiros Positivos (TPR) de 1.000 para a maioria dos ataques (brilho, contraste, ruído, etc.).
  • A extensão com três marcas (pixel + invariantes) melhorou significativamente a robustez contra rotação e translação, onde a versão básica (pixel apenas) falhou (TPR = 0.000 para rotação).

5. Significado e Conclusão

O trabalho "Spread them Apart" oferece uma solução prática e teoricamente fundamentada para o problema de autenticidade e responsabilidade no conteúdo gerado por IA.

• Não invasivo: Não requer re-treinamento do modelo, podendo ser aplicado a modelos pré-treinados existentes.
• Segurança: A prova de robustez contra perturbações limitadas e a estratégia de "cauda dupla" tornam o sistema resistente a tentativas comuns de remoção.
• Escalabilidade: A capacidade de atribuir imagens a milhares de usuários diferentes com baixa taxa de erro torna o sistema viável para plataformas de geração de imagens em larga escala.

Em suma, o método estabelece um novo padrão para a marcação d'água em modelos de difusão, equilibrando a qualidade da imagem gerada com a necessidade crítica de rastreabilidade e proteção de direitos autorais.