SHIFT: Stochastic Hidden-Trajectory Deflection for Removing Diffusion-based Watermark

1. O Problema

As técnicas de marcação d'água (watermarking) baseadas em modelos de difusão tornaram-se a solução padrão para rastrear a proveniência de conteúdo gerado por IA. Métodos como Tree-Ring, RingID e SEAL inserem marcas d'água diretamente no processo de geração, manipulando o ruído inicial, latentes intermediários ou trajetórias de reversão.

A vulnerabilidade fundamental identificada pelos autores é que todos esses métodos compartilham uma suposição crítica e não verificada: a consistência da trajetória. A verificação da marca d'água depende da capacidade de reconstruir fielmente a trajetória de difusão original (do ruído à imagem) através de uma inversão determinística (como DDIM). Se a trajetória original puder ser recuperada, a marca d'água é detectada; caso contrário, a verificação falha. Ataques anteriores baseados em regeneração determinística ou otimização de perturbações adversariais falharam em quebrar marcas d'água semânticas robustas porque não conseguem romper essa dependência estrutural sem degradar severamente a qualidade da imagem ou exigir otimização cara por imagem.

2. Metodologia: SHIFT

Os autores propõem o SHIFT (Stochastic Hidden-Trajectory Deflection), um ataque sem treinamento (training-free) e agnóstico à marca d'água, que explora a fragilidade da consistência da trajetória. O ataque opera em duas etapas principais no espaço latente:

• Etapa I: Difusão Parcial para Frente (Partial Forward Diffusion)

  • A imagem marcada é codificada para o espaço latente usando um VAE pré-treinado.
  • Em vez de adicionar ruído aleatório no espaço de pixels, o método aplica um processo de difusão controlado para frente no espaço latente.
  • Isso injeta ruído gaussiano isotrópico, atenuando progressivamente as informações específicas da trajetória original (onde a marca d'água está codificada) enquanto preserva a estrutura semântica grosseira da imagem. Um parâmetro $\lambda$ controla a profundidade desse re-ruído.

• Etapa II: Remostragem Reversa Estocástica (Stochastic Reverse Resampling)

  • A partir do latente parcialmente ruidoso, a imagem é regenerada usando um amostrador estocástico (como o amostrador ancestral de Euler), em vez de um amostrador determinístico (como DDIM).
  • A chave aqui é a injeção de ruído browniano fresco em cada passo de reversão. Isso faz com que a trajetória de geração se desvie aleatoriamente do caminho original.
  • Embora a função de pontuação (score function) do modelo mantenha a fidelidade visual e semântica da imagem final, o caminho no espaço latente torna-se estatisticamente desacoplado da trajetória original que continha a marca d'água.

Resultado: Quando o defensor tenta realizar a inversão DDIM na imagem atacada, ele recupera um ruído inicial que não tem relação estatística com o ruído original da marca d'água, levando à falha da verificação.

3. Contribuições Principais

1. Identificação de uma Vulnerabilidade Unificada: O trabalho revela que a consistência da trajetória é um ponto fraco comum a todos os esquemas de marcação d'água baseados em difusão, independentemente de como a marca é inserida (espaço de ruído, frequência ou otimização).
2. Ataque Sem Treinamento (Training-Free): O SHIFT não requer re-treinamento do modelo, conhecimento da chave da marca d'água, algoritmo de incorporação ou otimização adversarial cara por imagem. Utiliza apenas um modelo de difusão pré-treinado publicamente disponível.
3. Garantias Teóricas: Os autores fornecem uma análise formal baseada na Distância de Wasserstein, provando que o ruído recuperado após o ataque é estatisticamente independente do ruído original da marca d'água, formalizando o conceito de "desacoplamento da trajetória".
4. Desempenho Superior: Demonstração experimental de que o ataque supera métodos existentes (como Black-box forgery e Latent-noise forgery) em eficácia e qualidade de imagem.

4. Resultados Experimentais

Os autores avaliaram o SHIFT em nove métodos de marcação d'água representativos, cobrindo três paradigmas (espaço de ruído, domínio da frequência e baseado em otimização), incluindo Tree-Ring, RingID, Gaussian Shading e SEAL.

• Taxa de Sucesso do Ataque (ASR): O SHIFT alcançou taxas de sucesso entre 95% e 100% em todos os métodos testados, com uma média de 97,8%. Isso supera significativamente os ataques de black-box (96,8%) e forgery (81,3%).
• Qualidade da Imagem: Diferente de ataques baseados em otimização que degradam a imagem, o SHIFT preserva a qualidade visual.
  • Obteve a maior pontuação CLIP (32,194), indicando alta consistência semântica com o prompt original.
  • Obteve o menor FID (73,471), indicando que as imagens geradas estão mais próximas da distribuição de imagens reais do que as geradas por outros métodos de ataque.
• Análise de Desacoplamento: Medições de distância ($L_1$ e $L_2$) entre o ruído recuperado e o ruído original mostraram que o SHIFT empurra consistentemente as amostras para uma região de maior distância, efetivamente quebrando a ligação com a trajetória da marca d'água.

5. Significado e Implicações

O artigo representa um avanço crítico na segurança de IA generativa:

• Desafio à Proveniência: O SHIFT demonstra que a confiança atual em marcas d'água baseadas em difusão, que dependem da reconstrução determinística, é fundamentalmente falha.
• Mudança de Paradigma: O trabalho sugere que futuras soluções de proveniência não podem depender da reconstrução de uma única trajetória de difusão. Elas devem ser robustas contra desvios estocásticos de trajetória.
• Ameaça Universal: Como o ataque não depende do esquema específico de marcação d'água, ele representa uma ameaça universal para a categoria atual de tecnologias de rastreamento de conteúdo gerado por IA.

Em resumo, o SHIFT expõe que a "segurança" das marcas d'água atuais é ilusória quando confrontada com a natureza estocástica inerente aos processos de difusão, oferecendo uma ferramenta poderosa para remover essas marcas sem sacrificar a qualidade visual do conteúdo.