Towards Robust Content Watermarking Against Removal and Forgery Attacks

Título: Rumo a uma Marca d'Água de Conteúdo Robusta Contra Ataques de Remoção e Falsificação

1. O Problema

Com o avanço de modelos de difusão para geração de imagens (como Stable Diffusion, DALL-E, Midjourney), surgiram preocupações críticas sobre direitos autorais, proveniência da imagem e atribuição de crédito. Embora a marca d'água (watermarking) tenha sido proposta como solução para verificar a origem das imagens geradas, as técnicas atuais apresentam vulnerabilidades graves:

• Ataques de Remoção: Adversários tentam modificar a imagem para remover a marca d'água sem degradar significativamente a qualidade visual, fazendo com que o detector falhe em identificar a origem.
• Ataques de Falsificação (Forgery): Adversários tentam injetar uma marca d'água em imagens benignas (não geradas pelo modelo) para fazê-las parecerem originárias de um modelo específico.
• Falha das Abordagens Atuais: Métodos existentes (como Tree-Ring, RingID, Gaussian-Shading) utilizam padrões estáticos e únicos injetados em momentos fixos do processo de geração. Isso concede aos atacantes "conhecimento prévio" sobre a estrutura da marca, facilitando a inferência e a remoção ou falsificação, especialmente quando apenas uma imagem marcada é vazada ou quando se usa a média de várias imagens.

2. Metodologia Proposta: ISTS

Os autores propõem um novo paradigma chamado Watermarking Específico da Instância com Detecção de Dois Lados (ISTS - Instance-Specific watermarking with Two-Sided detection). A abordagem divide-se em duas fases principais:

A. Watermarking Específico da Instância (Geração Dinâmica)

Ao contrário dos métodos estáticos que injetam o mesmo padrão em todos os prompts, o ISTS personaliza a marca d'água para cada geração individual:

1. Seleção de Parâmetros Baseada em Semântica:
   • Primeiro, gera-se uma imagem sem marca d'água a partir do prompt do usuário.
   • Os recursos semânticos dessa imagem são extraídos usando um codificador CLIP.
   • Um seletor baseado em semântica (treinado com K-Means) mapeia esses recursos para parâmetros dinâmicos: o tempo de injeção ($t$) e a posição do padrão ($l$) no espaço latente.
2. Injeção Dinâmica:
   • O processo de geração (DDIM) é executado até o passo $t$.
   • O padrão de marca d'água é injetado na coordenada $l$ no espaço de frequência (Fourier).
   • A geração continua até a imagem final.
3. Resiliência: Como a marca depende da semântica da imagem específica, um atacante não consegue prever onde ou quando a marca foi inserida sem conhecer o seletor e o prompt exato, tornando ataques baseados em média ou em uma única imagem ineficazes.

B. Detecção de Dois Lados (Two-Sided Detection)

O método identifica uma vulnerabilidade crítica na detecção unilateral tradicional: atacantes podem otimizar a imagem para criar representações latentes "opostas" que anulam a detecção.

• Métrica de Detecção: Em vez de apenas comparar o padrão extraído com o padrão original ($W - F(z)$), o ISTS calcula o mínimo entre a distância do padrão original e a distância do padrão invertido ($W + F(z)$).
• Fórmula: $d = \min(\frac{1}{|M|}\sum |W_i - F(z)_i|, \frac{1}{|M|}\sum |W_i + F(z)_i|)$.
• Vantagem: Isso neutraliza ataques que tentam inverter a representação latente, mantendo a precisão em cenários normais (já que a distribuição gaussiana é simétrica).

3. Principais Contribuições

1. Paradigma Dinâmico: Introdução de um sistema onde o padrão e o momento da injeção da marca d'água são únicos para cada instância de geração, baseados na semântica do prompt.
2. Mecanismo de Detecção Robusto: Proposta da detecção de dois lados para mitigar ataques que exploram a simetria das representações latentes.
3. Análise de Ameaças Abrangente: Avaliação rigorosa contra três tipos de ataques de remoção (baseados em gradiente, média e VAE) e três tipos de ataques de falsificação.
4. Desempenho Superior: Demonstração de que o ISTS supera os métodos state-of-the-art (como Tree-Ring, RingID, Gaussian-Shading) em robustez, mantendo a qualidade da imagem e a fidelidade semântica.

4. Resultados Experimentais

Os experimentos foram realizados no modelo Stable Diffusion 2.1, comparando o ISTS com várias técnicas existentes.

• Contra Ataques de Remoção:
  • O ISTS alcançou um AUC (Área sob a Curva ROC) de 0.821 contra o ataque Imp-Removal (baseado em gradiente), enquanto o melhor método anterior (Shallow Diffuse) caiu para 0.675.
  • Em cenários de "pior caso" (onde o atacante escolhe o melhor método de ataque), o ISTS manteve o melhor desempenho geral, com AUC > 0.93 em cenários médios.
• Contra Ataques de Falsificação:
  • Para falsificação, um AUC mais baixo indica melhor proteção (dificuldade em falsificar). O ISTS obteve AUC de 0.634 contra Imp-Forgery, superando significativamente o Shallow Diffuse (0.76) e outros métodos que falharam quase completamente (AUC > 0.95).
  • Isso indica que é muito difícil para um atacante falsificar uma imagem com o padrão do ISTS, pois o padrão correto depende da semântica específica da imagem gerada.
• Qualidade de Imagem e Robustez a Distorções:
  • O ISTS manteve qualidade de imagem comparável aos melhores métodos (ROBIN) em métricas como PSNR, SSIM e CLIP-Score.
  • Demonstrou alta robustez contra distorções comuns (rotação, ruído, blur, JPEG) e purificação por difusão, superando métodos como SEAL e Gaussian-Shading.

5. Significado e Conclusão

O trabalho ISTS representa um avanço significativo na segurança de conteúdo gerado por IA. Ao eliminar a previsibilidade dos padrões de marca d'água (tornando-os específicos da instância) e corrigir a vulnerabilidade da detecção unilateral, o método oferece uma barreira muito mais difícil de contornar para adversários.

• Impacto Prático: Oferece uma ferramenta viável para provedores de modelos de difusão garantirem a proveniência de suas imagens e protegerem a reputação e os direitos autorais associados ao conteúdo gerado.
• Limitações: Embora seja o estado da arte, os autores reconhecem que a robustez no "pior caso" ainda pode ser melhorada para ataques extremamente sofisticados, indicando que a pesquisa em marca d'água robusta é um campo em evolução contínua.

Em resumo, o ISTS transforma a marca d'água de um padrão estático e vulnerável em um sistema dinâmico e adaptativo, essencial para a confiança no ecossistema de IA generativa.