Resumo Técnico: Marca-D'água Multi-bit Baseada em Semente Segura para Modelos de Difusão a partir de Primeiros Princípios

Declaração do Problema

O rápido surgimento de modelos generativos de imagem impulsionou o desenvolvimento de técnicas especializadas de marca-d'água, particularmente métodos "na geração", como a incorporação baseada em semente. No entanto, os autores argumentam que as avaliações atuais neste campo são fundamentalmente falhas porque dependem fortemente de testes empíricos vinculados a arquiteturas de modelo específicas (modelos de difusão, VAEs, agendadores) e pipelines de inversão. Essa dependência empírica impede conclusões claras e generalizáveis sobre o desempenho de esquemas de marca-d'água, especialmente no que diz respeito à segurança.

Além disso, as definições existentes de "qualidade" e "robustez" estão vinculadas ao modelo generativo, tornando impossível classificar sistemas de marca-d'água independentemente do modelo utilizado. Da mesma forma, a distinção entre segurança criptográfica e segurança de marca-d'água é frequentemente obscurecida; esquemas como Gaussian-Shading e PRC reivindicam segurança criptográfica, mas falham em prevenir "ataques de falsificação" onde um atacante pode recuperar a mensagem incorporada sem a chave secreta, porque o portador (a semente) não é ocultado.

Metodologia

1. Um Framework de Avaliação Desacoplado

A contribuição metodológica central é o desacoplamento da parte dependente do modelo (o processo de difusão inversa) do mecanismo de decisão do sistema de marca-d'água. Isso permite uma análise teórica rigorosa independente do modelo generativo. Os autores propõem um framework baseado em três quantidades-chave:

• Capacidade (Robustez): Em vez de testes empíricos de robustez, os autores modelam o mecanismo de decisão como um Canal Simétrico Binário (BSC) com uma probabilidade de inversão $p$. Eles definem a robustez da função de projeção $f$ pela variância $\sigma^2$ do ruído que ela introduz no espaço da marca-d'água. A capacidade do sistema é derivada usando a fórmula de capacidade de Shannon para um BSC, $C_\sigma = 1 - h_2(p_k(\sigma))$, onde $p_k(\sigma)$ é o mapeamento característico do canal que relaciona a variância do ruído à taxa de erro de bit.
• Fidelidade (Qualidade): Afastando-se de métricas de imagem empíricas como FID ou pontuações CLIP, que os autores argumentam serem insuficientes e dependentes do modelo, eles definem fidelidade como a divergência de Kullback-Leibler (KL) entre a distribuição padrão de sementes Gaussianas (a distribuição de cobertura) e a distribuição de sementes com marca-d'água. Um sistema é $\zeta$-fiel se $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$.
• Segurança: Os autores distinguem entre segurança criptográfica e segurança de marca-d'água. Eles definem uma razão de segurança $\eta$, medindo o número de amostras com marca-d'água necessárias para que um atacante estime a chave secreta melhor do que o palpite aleatório. Eles destacam que esquemas que falham em ocultar o portador da palavra-código (como Gaussian-Shading) têm uma razão de segurança de $\eta = 1/L$, tornando-os vulneráveis a ataques de Análise de Componentes Principais (PCA).

2. A Construção SSB (Baseada em Semente Segura)

Com base neste framework, os autores propõem o SSB, um método inovador de marca-d'água multi-bit inspirado em modulação de Voronoi e reticulados aninhados.

• Incorporação: O método usa uma chave secreta $U$ (uma matriz unitária) para rotacionar o espaço latente. Ele emprega dois reticulados unidimensionais aninhados: um reticulado grosso $\Lambda_\Delta$ e um reticulado fino $\Lambda_\delta$. O algoritmo de incorporação amostra um vetor $z_u$ tal que a função do reticulado grosso $\Lambda_\Delta(z_u)$ produz a palavra-código binária desejada $c$.
• Projeção: O vetor $z_u$ é projetado de volta para o espaço latente usando a chave secreta $U$ e um componente de ruído aleatório ortogonal a $U$, garantindo que a semente resultante seja válida para o processo de difusão.
• Decodificação: O detector projeta a imagem com marca-d'água de volta para o espaço latente, aplica a rotação $U^\top$ e aplica a função do reticulado grosso $\Lambda_\Delta$ para recuperar a palavra-código.

Contribuições Principais

1. Framework Teórico: O artigo introduz um framework de avaliação formal que separa o mecanismo de decisão da marca-d'água do modelo generativo. Isso permite comparações precisas de sistemas de marca-d'água baseadas em uma superfície característica que representa o trade-off entre segurança, capacidade e fidelidade, independente do modelo de difusão utilizado.
2. Algoritmo SSB: Os autores projetam o SSB, uma generalização de métodos anteriores baseados em semente. Ao ajustar os parâmetros do reticulado $(\Delta, \delta)$, o SSB pode operar em uma ampla gama do espaço de trade-off segurança-fidelidade-capacidade. Notavelmente, ele pode alcançar segurança perfeita (onde os autovalores da matriz de covariância com marca-d'água permanecem indistinguíveis da distribuição de cobertura) mesmo mantendo capacidade não nula.
3. Validação Empírica: O artigo fornece validação empírica das suposições teóricas. Ele demonstra que o ruído introduzido pela difusão inversa pode ser modelado com precisão como ruído gaussiano branco aditivo no espaço latente e que as previsões teóricas para capacidade e segurança alinham-se com os resultados empíricos para SSB, Gaussian-Shading e PRC.

Resultados

• Alinhamento Teórico vs. Empírico: Experimentos usando modelos de difusão Sana, Z-Image e Qwen confirmam que o modelo teórico (canal BSC com ruído gaussiano) prevê com precisão as taxas de erro de bit e a capacidade dos sistemas de marca-d'água.
• Comparação de Desempenho:
  • Gaussian-Shading e PRC: Esses métodos existentes mostram-se com baixas razões de segurança ($\eta = 1/L$) porque não ocultam o portador, tornando-os vulneráveis a ataques PCA. Eles também exibem trade-offs capacidade-fidelidade subótimos.
  • SSB: O método proposto supera as abordagens existentes ao permitir que o usuário selecione um regime. Por exemplo, uma configuração específica $(\Delta=1.6, \delta=0)$ alcança segurança perfeita ($\eta = +\infty$) enquanto mantém uma capacidade viável, um regime não alcançável por métodos anteriores.
• Robustez: O estudo quantifica a variância de ruído gaussiano equivalente ($\sigma^2$) introduzida por operações comuns de imagem (compressão JPEG, recorte, ajustes de brilho/contraste) em diferentes modelos de difusão, fornecendo uma métrica padronizada para robustez.

Significado e Reivindicações

O artigo reivindica mudar o paradigma da pesquisa em marca-d'água de otimizações empíricas ad-hoc para design com garantias teóricas. Ao desacoplar a lógica da marca-d'água do modelo generativo, os autores argumentam que:

• Torna-se possível fazer afirmações definitivas sobre a superioridade de um sistema de marca-d'água sobre outro (por exemplo, "O Sistema A é mais robusto que o Sistema B") sem necessidade de reavaliá-los contra cada novo modelo de difusão.
• O campo pode avançar além da confusão entre segurança criptográfica e segurança de marca-d'água, abordando a ameaça específica de ataques de falsificação onde o portador é exposto.
• O método SSB fornece uma solução flexível e fundamentada teoricamente que pode ser ajustada para atender requisitos específicos de segurança, capacidade e fidelidade, oferecendo um caminho para sistemas de marca-d'água modernos que não exigem avaliações empíricas custosas e específicas do modelo para cada nova iteração.

Os autores permanecem modestos, observando que sua análise assume um modelo BSC e que trabalhos futuros poderiam explorar a lacuna com modelos AWGN, melhorar a função de projeção (difusão inversa) e estender o framework para marca-d'água baseada em semente de 0 bits.