SLICE: Semantic Latent Injection via Compartmentalized Embedding for Image Watermarking

Título: SLICE: Injeção Latente Semântica via Incorporação Compartimentada para Marca d'Água em Imagens

1. O Problema

A marca d'água em imagens geradas por modelos de difusão é crucial para estabelecer a proveniência e autenticidade do conteúdo. No entanto, as abordagens existentes enfrentam desafios significativos:

• Vulnerabilidade a Ataques de Geração: Métodos tradicionais que injetam marcas d'água no espaço de ruído inicial (como Tree-Ring ou Gaussian Shading) são independentes do conteúdo. Isso os torna suscetíveis a ataques de forjamento generativo (ex: Latent Forgery Attack e Regeneration with a Private Model), onde um adversário pode regenerar a imagem removendo ou transplantando a marca d'água.
• Limitação das Marcas Semânticas Globais: Métodos recentes que consideram a semântica da imagem (como SEAL) melhoraram a robustez, mas ainda dependem de um vínculo semântico global único. Isso os torna vulneráveis a ataques de injeção semântica que preservam a coerência (CSI). Um adversário pode realizar edições localizadas (ex: mudar o sujeito ou a ação) que são semanticamente coerentes com o restante da cena, mas que invalidam a marca d'água global, permitindo a injeção de conteúdo malicioso sem que o detector perceba a alteração específica.

2. Metodologia: SLICE

O SLICE (Semantic Latent Injection via Compartmentalized Embedding) propõe uma solução training-free (sem necessidade de re-treinamento do modelo de difusão) baseada na decomposição e compartimentalização da semântica.

Princípios Fundamentais:

1. Decomposição Semântica Fatorada:
   Em vez de tratar a imagem como um bloco único, o SLICE decompõe a semântica em quatro fatores distintos:

   • Sujeito (Subject)
   • Ambiente (Environment)
   • Ação (Action)
   • Detalhe (Detail)
     Um Modelo de Linguagem e Visão (VLM), como o Qwen3-VL, é utilizado com um meta-prompt específico para extrair descritores estruturados para cada um desses fatores a partir da imagem de referência.

2. Injeção Espacial Compartimentada:
   O espaço latente inicial (ruído gaussiano) do modelo de difusão é dividido em quatro regiões disjuntas e não sobrepostas ($\Omega_{sub}, \Omega_{env}, \Omega_{act}, \Omega_{det}$).

   • Cada fator semântico é vinculado exclusivamente a uma dessas regiões espaciais.
   • Utiliza-se uma função de síntese baseada em hash com chave secreta para gerar os valores do latente em cada região, dependendo apenas do descritor semântico correspondente, da posição espacial e da chave.

3. Mecanismo de Detecção de Três Estados:
   Durante a verificação de uma imagem suspeita:

   • A imagem é invertida (via DDIM) para recuperar o latente aproximado.
   • Os fatores semânticos são re-extraídos da imagem suspeita.
   • Um latente de referência é reconstruído com base nesses novos fatores.
   • Compara-se o latente invertido com o reconstruído, calculando a taxa de correspondência (match ratio) global e por região.
   • Saída do Detector:
     • Estado I (Autêntico e Intacto): Alta correspondência global e em todas as regiões.
     • Estado II (Tampering Semântico Localizado): Alta correspondência global, mas falha em uma ou mais regiões específicas. Isso indica onde a alteração ocorreu (ex: o "Sujeito" foi alterado, mas o "Ambiente" permanece).
     • Estado III (Sem Marca ou Corrompido Severamente): Baixa correspondência global.

3. Contribuições Chave

1. Identificação de Vulnerabilidade: Demonstrar que o vínculo semântico global é frágil contra edições localizadas que preservam a coerência global.
2. Arquitetura SLICE: Proposição de um framework que desacopla a semântica e a ancora em partições latentes distintas, permitindo a localização precisa de adulterações.
3. Garantias Teóricas: Fornecimento de justificativas teóricas para a robustez da localização de adulterações e limites estatísticos sobre as taxas de falsos positivos (falsos aceitos).
4. Desempenho Superior: Validação experimental de que o método supera os baselines existentes contra ataques de forjamento generativo avançados, mantendo a qualidade visual e a fidelidade semântica.

4. Resultados Experimentais

Os experimentos foram conduzidos utilizando o Stable Diffusion V2 e o VLM Qwen3-VL.

• Resistência a Ataques Generativos (Tabela 1):

  • Métodos independentes de conteúdo (Gaussian Shading, Tree-Ring, WIND) falharam completamente (Taxa de Sucesso do Ataque - ASR $\approx$ 100%) contra ataques LFA, RPM e CSI.
  • O método semântico anterior (SEAL) resistiu bem a LFA e RPM, mas falhou drasticamente contra o ataque CSI (ASR de 81%).
  • SLICE demonstrou robustez excepcional:
    • ASR de 0% contra LFA.
    • ASR de 5% contra RPM.
    • ASR de apenas 19% contra o ataque CSI (que derrubou o SEAL), provando sua eficácia contra edições localizadas.

• Robustez a Perturbações Comuns (Tabela 2):

  • O método manteve alta precisão (acima de 0.98) sob rotações, compressão JPEG, desfoque, ruído e ajustes de brilho.

• Fidelidade Visual e Semântica (Tabelas 3 e 4):

  • A injeção da marca d'água causou uma redução negligenciável nos escores CLIP (aprox. 0.25 pontos), indicando que a qualidade da imagem e a aderência ao prompt original foram preservadas.
  • Não foram observados artefatos visuais perceptíveis.

• Estudo de Caso (Figura 5):

  • O sistema conseguiu distinguir claramente entre uma imagem intacta, uma imagem com alteração localizada (ex: mudança de gênero do sujeito e ação) e uma imagem sem marca, identificando corretamente a região comprometida.

5. Significado e Conclusão

O SLICE representa um avanço significativo na proveniência de imagens geradas por IA ao resolver o dilema entre robustez global e sensibilidade local.

• Inovação: Ao transformar edições semânticas localizadas em falhas de verificação específicas de partição, o SLICE torna possível não apenas detectar que uma imagem foi manipulada, mas localizar exatamente qual conceito semântico foi alterado.
• Aplicabilidade: Sendo um método training-free, ele pode ser aplicado a qualquer pipeline de difusão existente sem custos computacionais de re-treinamento.
• Limitações e Mitigação: O método é sensível a distorções geométricas extremas (como cropping agressivo) que quebram a correspondência espacial. No entanto, os autores propõem uma defesa conjunta combinando o SLICE com técnicas forenses passivas (análise espectral, CNNs), que conseguem detectar essas manipulações destrutivas com alta precisão (AUC > 0.98).

Em resumo, o SLICE oferece uma solução prática, robusta e de alta granularidade para garantir a autenticidade e a integridade semântica de imagens geradas por IA.