Resumo Técnico: DEMARK – Um Ataque de Caixa-Preta Sem Consulta a Marcas d'Água de Deepfakes

1. Declaração do Problema

A rápida proliferação de deepfakes realistas gerados por modelos como Stable Diffusion e ChatGPT criou riscos de segurança urgentes, necessitando de marcas d'água defensivas para atribuição e detecção. Os paradigmas de defesa atuais dependem de arquiteturas codificador–decodificador que inserem sinais invisíveis em imagens, seja pós-geração ou durante o processo de geração. Esses esquemas assumem que as marcas d'água são inerentemente resistentes à remoção. No entanto, os autores contestam essa suposição, observando que as defesas existentes são mal compreendidas sob adversários avançados.

Os métodos de ataque anteriores enfrentam limitações significativas:

• Ataques de Distorção: Frequentemente introduzem artefatos visíveis e degradam a qualidade da imagem.
• Ataques de Regeneração: Dependem de modelos generativos pré-treinados de grande escala (VAEs ou modelos de Difusão) que preservam representações latentes que carregam informações da marca d'água, limitando sua eficácia.
• Ataques Adversários: Tipicamente requerem acesso aos parâmetros do modelo ou capacidades extensas de consulta (querying), tornando-os impraticáveis em cenários reais de caixa-preta.

Existe uma lacuna crítica para um ataque de caixa-preta sem consulta (query-free) que possa remover efetivamente marcas d'água enquanto preserva o realismo perceptual e estrutural necessário para imagens de deepfake.

2. Metodologia: DEMARK

Os autores propõem o DEMARK, um framework de ataque de caixa-preta sem consulta que explora vulnerabilidades no espaço latente de modelos de marca d'água de codificador–decodificador. A inovação central reside na adaptação da teoria de Sensoriamento Comprimido de Imagem (ICS) para o domínio do aprendizado profundo.

Princípios de Design Central

O DEMARK substitui matrizes de medição fixas e bases esparsificantes encontradas no ICS tradicional por uma arquitetura codificador–decodificador aprendível.

1. Codificação Esparsa: Um codificador baseado em CNN ($T_{CNN}$) transforma uma imagem com marca d'água em uma representação latente esparsa ($Z$). Este processo é guiado por uma Perda de Codificação Esparsa ($L_{SEL}$), definida como a norma $\ell_1$ de $Z$, que força a maioria dos elementos latentes em direção ao zero.
2. Reconstrução de Imagem: Um módulo de reconstrução ($R_{CNN}$) restaura a imagem a partir da representação esparsa. Para garantir que a saída permaneça um deepfake convincente, este módulo é otimizado usando uma Perda Estrutural-Perceptual ($L_{SPL}$), que combina:
   • SSIM: Para consistência estrutural ao nível de pixel.
   • LPIPS: Para alinhamento perceptual ao nível de características.

O Efeito de Dispersão

O ataque opera induzindo um "efeito de dispersão" no espaço latente, caracterizado por três propriedades derivadas da teoria ICS:

• Mudança de Esparsidade (SC): Reduz a densidade de coeficientes significativos, dispersando atributos da marca d'água por menos posições ativas.
• Redistribuição de Intensidade (IR): Dilui a energia dos sinais da marca d'água ao redistribuir a intensidade de forma mais uniforme.
• Redistribuição Posicional (PR): Desloca as posições dos elementos não nulos, interrompendo o alinhamento entre os padrões da marca d'água e seus locais latentes originais.

Esses mecanismos coletivamente enfraquecem as marcas d'água incorporadas sem exigir conhecimento do modelo de marca d'água ou a capacidade de consultar um detector.

3. Principais Contribuições

O artigo apresenta as seguintes contribuições específicas:

• Primeiro Ataque de Caixa-Preta Sem Consulta: O DEMARK é o primeiro framework que visa a marca d'água defensiva de imagens para deepfakes sem exigir parâmetros do modelo ou acesso a consultas.
• Conexão Teórica: Estabelece a primeira ligação entre a teoria de Sensoriamento Comprimido de Imagem e ataques a marcas d'água de deepfakes, formalizando o efeito de dispersão através de Mudança de Esparsidade, Redistribuição de Intensidade e Redistribuição Posicional.
• Eficácia Abrangente: O ataque é validado em oito esquemas de última geração, incluindo seis métodos de pós-processamento (MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R) e dois métodos de processamento interno (PTW, SS).
• Eficiência: O DEMARK demonstra alta praticidade, reduzindo o uso de memória em 2,2×–14,9× e melhorando a eficiência computacional em 1,3×–5,7× em comparação com os ataques baseados em regeneração existentes (RegenVAE e RegenDM).
• Avaliação de Mitigação: Os autores avaliam três estratégias de defesa — Super-Resolução de Imagem (ISR), Marca d'Água Esparsa (SW) e Treinamento Adversário (AT) — e descobrem que são amplamente ineficazes contra o DEMARK.

4. Resultados Experimentais

A avaliação foi conduzida nos conjuntos de dados OpenImage e COCO contra os oito esquemas de marca d'água mencionados anteriormente.

• Capacidade de Ataque: O DEMARK reduziu a precisão média de detecção de marca d'água (DetectAcc) de 100% para 32,9% em todos os esquemas. Superou significativamente os ataques de linha de base (Distorção, RegenVAE, RegenDM) na redução tanto da Precisão de Bits quanto da Precisão de Detecção.
  • Exemplo: Contra esquemas de pós-processamento, o DEMARK reduziu a DetectAcc em uma média de 54,4% em relação à Distorção, 9,9% em relação ao RegenVAE e 51,0% em relação ao RegenDM.
• Integridade da Imagem: Apesar da remoção agressiva das marcas d'água, o DEMARK manteve alta qualidade visual. Seu desempenho em PSNR, SSIM, FID e LPIPS foi comparável ou superior ao RegenVAE e substancialmente superior ao Distortion e RegenDM.
  • Exemplo: O DEMARK alcançou um PSNR médio de 28,45 e SSIM de 0,85, preservando a aparência visual natural adequada para deepfakes.
• Robustez da Mitigação:
  • Super-Resolução de Imagem (ISR): Surpreendentemente, aplicar ISR após o ataque amplificou o impacto do DEMARK, reduzindo ainda mais a precisão de detecção (por exemplo, de 29,7% para 12,1% em média).
  • Marca d'Água Esparsa (SW) & Treinamento Adversário (AT): Essas estratégias ofereceram apenas melhorias modestas (elevando a precisão média de detecção de ~25% para ~36%), mas falharam em neutralizar o DEMARK, que ainda superou outros ataques.

5. Significância e Alegações

O artigo conclui que os esquemas atuais de marca d'água de codificador–decodificador permanecem altamente vulneráveis a manipulações no espaço latente. A significância do DEMARK reside em sua capacidade de demonstrar que:

1. O Espaço Latente é uma Superfície de Ataque Crítica: A dependência de representações latentes para a incorporação de marcas d'água cria uma fraqueza estrutural que pode ser explorada via esparsificação.
2. As Defesas Existentes são Insuficientes: Estratégias de mitigação padrão, como super-resolução, treinamento esparso e treinamento adversário, não fornecem proteção robusta contra esta classe de ataques.
3. Necessidade de Redesenho: Os resultados enfatizam a necessidade urgente de métodos de marca d'água mais robustos que possam salvaguardar contra a manipulação de deepfakes, sugerindo que as defesas futuras devem ir além dos simples paradigmas de codificador–decodificador ou incorporar codificação de características latentes de múltiplos níveis e distribuição de redundância adaptativa.

Os autores enfatizam que seu trabalho tem o intuito de identificar riscos de segurança para promover o desenvolvimento de técnicas de marca d'água mais resilientes para IA Generativa, e não para facilitar o uso malicioso.