ShapeMark: Robust and Diversity-Preserving Watermarking for Diffusion Models

O artigo "ShapeMark" apresenta um método de marca d'água robusto e que preserva a diversidade para modelos de difusão, superando as limitações das abordagens existentes ao codificar bits de marca d'água em padrões estruturados de ruído e introduzir um design de randomização que evita padrões fixos, garantindo alta qualidade de geração e resistência em cenários com perdas.

O essencial

Imagine que você tem uma máquina mágica de desenhar (chamada Modelo de Difusão) que cria imagens incríveis a partir de descrições de texto. O problema é: como saber quem criou a imagem, ou como provar que ela foi gerada por essa máquina específica, especialmente se alguém tentar editar, cortar ou comprimir a foto depois?

Aqui entra o ShapeMark, uma nova tecnologia descrita no artigo. Vamos explicar como ela funciona usando uma analogia simples: o "Código de Barras Invisível".

O Problema: A Marca D'Água Frágil

Antes do ShapeMark, existiam métodos para esconder marcas d'água nas imagens. Pense neles como tentar escrever uma mensagem secreta na areia da praia.

• O método antigo (Value Encoding): Era como escrever a mensagem com um dedo na areia, letra por letra. Se uma onda (ruído) ou um passo (compressão de imagem) passasse por cima, a letra mudava ou sumia, e a mensagem ficava ilegível.
• O problema da diversidade: Para garantir que a mensagem não sumisse, alguns métodos repetiam a escrita várias vezes na mesma areia. Isso fazia com que todas as imagens geradas com a mesma mensagem parecessem estranhamente iguais, perdendo a beleza e a variedade natural da arte.

A Solução: O ShapeMark (A "Dança" dos Pixels)

O ShapeMark muda a estratégia. Em vez de escrever na areia, ele organiza a areia em padrões de dança.

1. O Segredo da Estrutura (Structural Encoding - SE)

Imagine que você tem um grupo de 100 pessoas (os pixels ou "ruído" inicial da imagem) em uma sala escura.

• O método antigo: Tentava mudar a cor da camisa de cada pessoa individualmente para codificar uma mensagem. Se alguém trocasse de camisa, a mensagem quebrava.
• O método ShapeMark: Ele não muda a cor das camisas. Em vez disso, ele organiza as pessoas em grupos e pede que eles troquem de lugar de uma maneira específica.
  • Ele pega as pessoas mais altas e as mais baixas e as coloca em grupos diferentes.
  • Para esconder a mensagem, ele diz: "Grupo A, vocês trocam de lugar com o Grupo B".
  • Por que é forte? Mesmo que uma onda (ruído) mude a altura de uma pessoa ou a cor da camisa dela, a ordem em que os grupos estão dançando continua a mesma. O detector não precisa ver a cor exata de cada pessoa; ele só precisa ver quem está dançando com quem. Isso torna a marca d'água quase impossível de destruir com edições comuns.

2. A Dança Aleatória (Payload-Debiasing Structural Randomization - PDSR)

Aqui está a parte genial para a qualidade da imagem.

• Se você usar a mesma "dança" (a mesma mensagem) toda vez, as pessoas sempre vão se mover para os mesmos lugares. Com o tempo, você começa a ver um padrão fixo, e a imagem perde sua "alma" ou variedade.
• O ShapeMark adiciona um segundo passo: antes de começar a dança final, ele pega um dado (um número aleatório público) e embaralha a posição inicial de todos os grupos.
• O resultado: A mesma mensagem secreta pode ser escondida em milhões de configurações diferentes de "dança". Isso garante que cada imagem gerada seja única e diversa, sem que a marca d'água deixe rastros visíveis ou padrões repetitivos.

Resumo dos Benefícios (O que o ShapeMark ganha)

1. Robustez (Resistência): Como a mensagem está escondida na ordem e não no valor exato de cada pixel, ela sobrevive a cortes, filtros, compressão JPEG e até ruído. É como tentar apagar uma coreografia inteira apenas mudando a roupa de um dançarino; a dança ainda é reconhecível.
2. Diversidade (Beleza): Como ele embaralha a posição dos elementos a cada geração, as imagens continuam sendo únicas e artísticas, sem parecerem "cópia e cola" umas das outras.
3. Invisibilidade: A marca d'água não altera a imagem final de forma perceptível. Você não vê nada diferente, mas o sistema sabe exatamente quem criou.

Conclusão

O ShapeMark é como colocar um "DNA" na estrutura do caos inicial que cria a imagem. Em vez de pintar uma assinatura na tela (que pode ser raspada), ele organiza o caos de uma forma que só quem tem a chave secreta consegue ler, mesmo depois que a imagem foi distorcida, e sem estragar a beleza da obra de arte.

Isso é fundamental para proteger direitos autorais na era da Inteligência Artificial, permitindo que plataformas e criadores saibam de onde veio uma imagem, mesmo que ela tenha passado por muitas mãos e edições.

Resumo técnico

Resumo Técnico: ShapeMark

1. O Problema

Os modelos de difusão revolucionaram a síntese de imagens de alta qualidade, mas a disseminação massiva de seus outputs criou desafios críticos para a proteção de propriedade intelectual e a proveniência do conteúdo.

• Desafio Atual: Métodos existentes de marcação d'água baseados em "Ruído como Marca d'Água" (Noise-as-Watermark - NaW) falham em equilibrar robustez e diversidade de geração.
• Limitações dos Métodos Atuais:
  • Codificação de Valor: A maioria dos métodos codifica bits de marca d'água em valores amostrados individuais do ruído. Isso é extremamente frágil em cenários práticos onde ocorrem processamentos com perdas (compressão, recorte, ruído), pois pequenas perturbações nos valores podem inverter o estado da marca d'água.
  • Perda de Diversidade: Métodos que tentam aumentar a robustez através de repetição ou padrões fixos tendem a reduzir a diversidade das imagens geradas e introduzir artefatos visíveis, comprometendo a qualidade estética.

2. Metodologia Proposta: ShapeMark

O ShapeMark propõe uma abordagem de marcação d'água que codifica a informação na estrutura do padrão de ruído em vez de nos valores individuais, preservando a distribuição original do ruído. O método consiste em duas etapas principais:

A. Codificação Estrutural (Structural Encoding - SE)

• Conceito: Em vez de alterar valores, o SE reorganiza a posição dos elementos de ruído.
• Mecanismo:
  1. Binning por Quantil: Os elementos do ruído latente são classificados por magnitude e divididos em "bins" (quantis).
  2. Formação de Grupos: Elementos de diferentes bins são agrupados em blocos estruturais.
  3. Permutação: Os bits da carga útil (payload) são codificados controlando a permutação de quais blocos (oriundos de diferentes quantis) ocupam quais posições dentro de um grupo estrutural.
• Vantagem: A detecção depende da recuperação da ordem relativa (estrutura) dos blocos, que é muito mais estável contra distorções do que a recuperação de valores absolutos. Além disso, como a codificação apenas permuta coordenadas de uma amostra gaussiana existente, a distribuição de valores não é alterada.

B. Randomização Estrutural de Viés de Carga (Payload-Debiasing Structural Randomization - PDSR)

• Problema Resolvido: A codificação SE, se usada de forma determinística com a mesma chave e carga útil, pode criar padrões espaciais fixos dependentes da carga, reduzindo a diversidade visual e tornando a marca detectável por análise de padrões.
• Solução: O PDSR aplica uma permutação global aleatória nos blocos de ruído após a codificação SE.
  • Essa permutação é baseada em um "nonce" público (único por imagem) e uma chave secreta, mas é agnóstica à carga útil (não depende dos bits da mensagem).
  • Isso garante que a mesma mensagem de marca d'água possa corresponder a múltiplas realizações de ruído, preservando a diversidade de geração e eliminando artefatos espaciais fixos.
  • O processo é exatamente reversível para o verificador que possui a chave e o nonce.

C. Decodificação

• O verificador inverte o processo de difusão (DDIM Inversion) para recuperar o ruído latente aproximado.
• Reaplica a inversão do PDSR (usando o nonce) e reconstrói a estrutura de grupos.
• Compara a estrutura recuperada com um código de referência (codebook) para identificar a permutação correta e extrair os bits da mensagem.

3. Principais Contribuições

1. Codificação Estrutural (SE): Transição da codificação baseada em valores para uma baseada em relações estruturais (permutação de blocos entre quantis), aumentando drasticamente a robustez contra perturbações.
2. PDSR: Uma estratégia leve de randomização que desacopla a identidade da carga útil de um padrão espacial fixo, resolvendo o dilema entre robustez e diversidade de geração.
3. Preservação de Distribuição: O método não modifica os valores do ruído, apenas suas posições, mantendo a fidelidade visual e a qualidade da geração.

4. Resultados Experimentais

Os experimentos foram realizados no modelo Stable Diffusion v2.1, comparando o ShapeMark com métodos de pós-processamento, ajuste fino de modelo e outros métodos NaW (como Tree-Ring, Gaussian Shading, T2SMark).

• Robustez: O ShapeMark alcançou um TPR (Taxa de Verdadeiros Positivos) de 0,999 com uma FPR (Taxa de Falsos Positivos) de $10^{-6}$ em cenários de ataque.
• Resistência a Distorções: Mantém alta precisão na recuperação de bits (98,7%) mesmo sob distorções severas como compressão JPEG, recorte aleatório, redimensionamento, ruído gaussiano e borrão.
• Diversidade: Alcançou a maior diversidade entre todos os métodos testados (LPIPS de 0,7338), superando o modelo base sem marca d'água e outros métodos de marcação.
• Qualidade Visual: Mantém pontuações de CLIP e FID competitivas, indicando que a marca d'água é imperceptível e não degrada a qualidade da imagem.
• Capacidade: O método demonstrou escalabilidade, mantendo robustez significativa mesmo com cargas úteis elevadas (até 2048 bits).

5. Significado e Impacto

O ShapeMark representa um avanço significativo na segurança de modelos generativos:

• Viabilidade Prática: Oferece uma solução que não sacrifica a qualidade ou a diversidade das imagens geradas, um requisito essencial para adoção em pipelines de criação de conteúdo real.
• Proteção de Propriedade Intelectual: Permite a verificação confiável da proveniência e a atribuição de autoria mesmo após o conteúdo sofrer processamento com perdas comuns na internet.
• Dual-Use e Responsabilidade: Embora robusto, o artigo reconhece os riscos de uso indevido (como rastreamento oculto) e sugere o uso transparente, consentido e combinado com outras medidas de governança e criptografia.

Em suma, o ShapeMark resolve o trade-off histórico entre robustez e diversidade em marcações d'água para difusão, estabelecendo um novo estado da arte para a proteção de conteúdo gerado por IA.