SemBind: Binding Diffusion Watermarks to Semantics Against Black-Box Forgery Attacks

Resumo Técnico: SemBind – Vinculando Marcas d'Água de Difusão a Semânticas Contra Ataques de Falsificação de Caixa Preta

Definição do Problema

As marcas d'água baseadas em latentes, que incorporam informações no ruído inicial de Modelos de Difusão Latente (LDMs), oferecem um método robusto para atribuição de imagens e proteção de direitos autorais. Elas são favorecidas por sua capacidade de permanecerem indetectáveis (estatisticamente indistinguíveis de saídas não marcadas) e robustas a transformações comuns de imagem. No entanto, esses esquemas enfrentam uma vulnerabilidade crítica: ataques de falsificação de caixa preta (black-box forgery attacks).

Nesses ataques, um adversário com acesso de caixa preta ao modelo de um provedor e pelo menos uma imagem marcada pode transferir a marca d'água para conteúdo ilícito gerado sob diferentes prompts ou a partir de diferentes modelos. Duas estratégias principais permitem isso:

1. Imprinting (Impregnação): O atacante otimiza uma perturbação em o latente de uma imagem alvo para que, ao ser invertido através de um modelo proxy, coincida com o latente da marca d'água roubada.
2. Reprompting (Repromptagem): O atacante reutiliza o latente inicial invertido de uma imagem marcada para gerar novas imagens com diferentes prompts, potencialmente maliciosos.

As defesas atuais são ineficazes porque as marcas d'água baseadas em latente residem puramente no ruído inicial. Fortalecer a robustez contra perturbações naturais aumenta inadvertidamente a tolerância a latentes falsificados, criando um compromisso onde a melhoria de uma métrica degrada a segurança contra falsificação.

Metodologia: SemBind

Os autores propõem o SemBind, o primeiro framework de defesa projetado para resistir à falsificação de caixa preta ao vincular os sinais de marca d'água latente à semântica da imagem. O mecanismo central envolve um mascarador semântico aprendido que modula o latente marcado com base no conteúdo semântico da imagem gerada.

1. Arquitetura e Treinamento do Mascarador Semântico

• Arquitetura: O mascarador $f_\theta$ consiste em um codificador de imagem semântica congelado (ex: DINOv2-Giant) acoplado a uma rede de hashing leve baseada em MLP. Ele mapeia uma imagem $x$ para um código binário $m \in \{0, 1\}^B$.
• Objetivo de Treinamento: O mascarador é treinado usando aprendizado contrastivo em um grande corpus de imagens condicionadas a prompts. O objetivo é produzir:
  • Códigos quase invariantes para imagens geradas a partir do mesmo prompt (baixa distância de Hamming).
  • Códigos quase ortogonais para imagens de diferentes prompts (distância de Hamming $\approx B/2$).
• Treinamento em Duas Etapas:
  • Estágio 1: Aprende um espaço de representação compacto e agrupável usando perda contrastiva supervisionada em características normalizadas.
  • Estágio 2: Treina uma cabeça de hash para quantizar essas características em códigos binários, otimizadas com uma perda contrastiva no espaço de código mais regularizadores para quantização, equilíbrio de bits, decorrelação e consistência.

2. Procedimento de Incorporação (Embedding)
Para incorporar uma marca d'água, o SemBind não altera o esquema de marca d'água subjacente (ex: Tree-Ring, Gaussian Shading). Em vez disso:

1. O provedor gera uma imagem limpa auxiliar $x$ para o prompt alvo usando o modelo de difusão.
2. O mascarador semântico extrai um código binário $m = f_\theta(x)$.
3. Este código é expandido em uma máscara espacial via tiling, seleção de razão (controlada pelo parâmetro $\sigma$) e permutação usando uma chave secreta.
4. A máscara de sinal resultante $S(x; \sigma, K_{perm}) \in \{-1, +1\}^{C \times H \times W}$ é multiplicada elemento a elemento com o latente inicial marcado padrão $z_T^{(w)}$:
   $$z_T^{(w, sem)} = S(x; \sigma, K_{perm}) \odot z_T^{(w)}$$
5. O scheduler de denoising prossegue a partir deste latente modulado para gerar a imagem final.

3. Procedimento de Extração
Durante a verificação:

1. O verificador extrai o código binário da imagem marcada $\hat{x}$ usando o mesmo mascarador semântico para reconstruir a máscara $\hat{S}$.
2. A imagem é invertida para estimar o latente inicial $\hat{z}_T^{(w, sem)}$.
3. A modulação semântica é removida multiplicando pela máscara: $\hat{z}_T^{(w)} = \hat{S} \odot \hat{z}_T^{(w, sem)}$.
4. O decodificador da marca d'água subjacente processa $\hat{z}_T^{(w)}$ para extrair a mensagem.

Mecanismo de Defesa: Se um atacante tentar forjar uma imagem com semânticas diferentes (prompt diferente), a máscara reconstruída $\hat{S}$ será incompatível com a máscara de modulação original. Essa incompatibilidade introduz uma perturbação forte que faz com que a extração da marca d'água falhe, mesmo que a estrutura do latente se assemelhe à marca d'água roubada.

Principais Contribuições

1. Primeira Defesa Contra Falsificação de Caixa Preta: O SemBind é o primeiro framework especificamente projetado para proteger marcas d'água baseadas em latente contra ataques de falsificação de caixa preta sem sacrificar as capacidades generativas do modelo.
2. Vinculação Semântica via Aprendizado Contrastivo: Introduz um mascarador semântico aprendido que vincula os sinais latentes à semântica da imagem, garantindo que as marcas d'água sejam válidas apenas quando a semântica da imagem corresponde ao contexto de geração original.
3. Preservação da Indetectabilidade Teórica: Os autores provam teoricamente que, para esquemas que admitem indetectabilidade comprovável (ex: Gaussian Shading, PRC), a variante SemBind preserva essa garantia. Como a máscara de sinal é independente e $\{-1, +1\}$, multiplicar um latente distribuído Gaussianamente por esta máscara deixa a distribuição invariante.
4. Compromisso Ajustável (Tunable Trade-off): Um único parâmetro, a razão de máscara ($\sigma$), permite que os usuários controlem o equilíbrio entre a força anti-falsificação e a robustez a distorções naturais.

Resultados Experimentais

Os autores avaliaram o SemBind em quatro esquemas representativos de marca d'água baseada em latente: Tree-Ring, Gaussian Shading, PRC e Gaussian Shading++.

• Qualidade da Imagem: O SemBind mantém a qualidade da imagem comparável aos modelos de referência. Os scores FID e CLIP mostram uma degradação não estatisticamente significativa (testes t confirmam a indistinguibilidade dos outputs originais do SD 2.1). Para o Tree-Ring, o SemBind até melhorou ligeiramente o FID.
• Defesa Contra Imprinting:
  • Em cenários de "correspondência" (atacante usa o mesmo modelo, SD 2.1), o SemBind reduziu as taxas de detecção de 100% para <10% para Tree-ring e Gaussian Shading, e a precisão de bits caiu para próximo do acaso (0.5).
  • Em cenários de "incompatibilidade" (atacante usa SD 1.5), as taxas de detecção caíram para quase zero em todos os esquemas, com a precisão de bits aproximando-se de 0.5.
• Defesa Contra Reprompting: O SemBind reduziu as taxas de detecção em mais de 40% e a precisão de bits em pelo menos 25% em todos os esquemas e datasets (SDP e COCO). Em configurações de incompatibilidade, as imagens forjadas raramente eram aceitas.
• Robustez: O SemBind introduz apenas uma queda suave na robustez contra perturbações comuns (compressão JPEG, ruído, desfoque, etc.). Esquemas com alta robustez de base (Tree-Ring, Gaussian Shading) mantiveram o desempenho próximo ao original, enquanto esquemas com bases mais fracas (PRC, Gaussian Shading++) mostraram degradação moderada, mas aceitável (queda de 3–5% na detecção).

Significância e Alegações

O artigo afirma que o SemBind resolve a tensão fundamental entre robustez e segurança em marcas d'água baseadas em latente. Ao vincular a marca d'água à semântica, ele impede que atacantes transfiram marcas d'água para imagens com conteúdos diferentes, neutralizando efetivamente a falsificação de caixa preta.

Crucialmente, os autores enfatizam que o SemBind preserva a indetectabilidade comprovável dos esquemas subjacentes. Este é um avanço significativo, pois tentativas anteriores de endurecer marcas d'água frequentemente comprometiam a invisibilidade estatística necessária para o deployment de IA responsável. O framework é apresentado como uma defesa geral do tipo "plug-in", compatível com métodos existentes de marca d'água baseada em latente, oferecendo um compromisso controlável entre segurança e robustez através do parâmetro de razão de máscara.