Resumo Técnico: Marcas D'Água Atacam Marcas D'Água: Re-marcação como Estratégia Genérica de Remoção

Declaração do Problema

O avanço rápido da IA generativa tornou necessária a implementação de esquemas de marcação d'água invisíveis para afirmar a proveniência e proteger a propriedade intelectual em mídias sintéticas. Embora reguladores (por exemplo, o Ato de IA da UE) exijam essas proteções, sua robustez é frequentemente desafiada por ataques sofisticados de remoção. A literatura existente explorou várias estratégias de remoção, incluindo regeneração generativa e perturbações adversariais. No entanto, permanece uma lacuna crítica na compreensão da interação entre diferentes esquemas de marcação d'água quando sobrepostos. Os autores postulam que o problema de otimização fundamental resolvido pela incorporação de marca d'água (encontrar uma perturbação mínima para ativar um detector) é quase idêntico ao resolvido pela remoção de marca d'água (encontrar uma perturbação mínima para evadir um detector). Essa analogia sugere que os próprios codificadores de marca d'água poderiam servir como ferramentas de remoção eficazes e genéricas.

Metodologia

O artigo propõe um pipeline de ataque em duas etapas, denominado "Marcas D'Água Atacam Marcas D'Água" (WAW), que opera sob um modelo de ameaça "caixa-bege" (método conhecido) e "caixa-preta" (método desconhecido).

1. Re-marcação como Vetor de Ataque

A hipótese central é que a aplicação de uma segunda marca d'água (a "marca d'água de ataque") sobre uma existente (a "marca d'água da vítima") interrompe o sinal original. Os autores avaliam isso em 96 combinações de pares de vítima e ataque, utilizando oito esquemas de marcação d'água representativos:

• Durante o processamento: Tree-Ring, Stable Signature (incorporadas durante a geração).
• Pós-processamento: StegaStamp, RoSteALS, ZoDiac, Pixel Seal, WAM, Video Seal (aplicadas a imagens geradas).

Os autores definem uma "política" baseada em matrizes de interferência empíricas. Eles testam duas estratégias principais:

• Reaplicação do mesmo método: Aplicar o mesmo algoritmo de marcação d'água duas vezes.
• Interferência entre métodos: Aplicar um algoritmo diferente (especificamente ZoDiac) para interromper marcas d'água incorporadas durante o processamento.

2. Classificador de Identificação de Marca D'Água

Para abordar o cenário de caixa-preta, onde o atacante não conhece o método da vítima, os autores treinam um classificador leve.

• Arquitetura: Um modelo ConvNeXt-V2 Large ajustado finamente, pré-treinado no ImageNet-22K.
• Tarefa: Um problema de classificação de 9 classes que distingue entre oito métodos específicos de marcação d'água e imagens sem marca d'água.
• Entrada: Inspeção visual da imagem apenas, sem acesso a modelos de detecção, chaves ou gradientes.
• Dados de Treinamento: 500 imagens por classe do conjunto de dados DiffusionDB, divididas em 80/10/10.

3. Framework de Avaliação

O pipeline é avaliado em subconjuntos do DiffusionDB e MS-COCO. O sucesso é medido por:

• Evasão de Detecção: Taxa de Verdadeiros Positivos (TPR) em uma Taxa de Falsos Positivos (FPR) de 1%.
• Corrupção de Carga Útil: Precisão de Bits (BA) para esquemas de múltiplos bits.
• Distorção Perceptiva: Degradação de Qualidade Normalizada (NQD), agregando oito métricas padrão de qualidade de imagem.
• Linhas de Base: O ataque é comparado contra ataques genéricos de remoção mais recentes do benchmark WAVES, incluindo regeneração de difusão com prompts, regeneração VAE e "enxágue" iterativo de difusão.

Principais Contribuições

1. Validação da Hipótese de Re-marcação

Os autores demonstram que a re-marcação é uma estratégia de remoção genérica altamente eficaz, que não requer conhecimento especializado dos parâmetros internos da vítima.

• Vítimas Durante o Processamento: A aplicação de ZoDiac sobre Tree-Ring ou Stable Signature reduz o TPR a quase zero com degradação perceptiva mínima.
• Vítimas de Pós-processamento: Reaplicar o mesmo método (por exemplo, StegaStamp sobre StegaStamp) consistentemente sobrescreve o sinal original, reduzindo o TPR a quase zero e a precisão de bits para níveis de linha de base.
• Eficiência: Esta abordagem causa significativamente menos degradação visual (mais de 2× menos do que as linhas de base mais fortes baseadas em difusão) enquanto alcança taxas de remoção iguais ou superiores.

2. Identificação de Alta Precisão de Marca D'Água

O artigo apresenta o primeiro classificador capaz de identificar o método específico de marcação d'água aplicado a uma imagem com base apenas em características visuais.

• Desempenho: O classificador alcança precisão geral de 87,8% a 95,3% em conjuntos de dados dentro da distribuição (DiffusionDB) e fora da distribuição (MS-COCO).
• Significado: Essa capacidade transforma o ataque de um processo de tentativa e erro em caixa-preta em um ataque direcionado em caixa-bege, permitindo a seleção automatizada da estratégia de sobrescrita ótima.

3. O Pipeline de Ataque End-to-End

Ao combinar o classificador de identificação com a política de re-marcação derivada, os autores constroem um pipeline de ataque totalmente cego e automatizado.

• Resultados: O pipeline reduz a precisão de bits em pelo menos 25% e até 48% em todos os métodos de vítima.
• Falsificação de Propriedade: Crucialmente, o ataque não apenas apaga o sinal; ele o substitui por uma nova marca d'água válida. A mensagem do atacante é recuperada com alta precisão de bits (frequentemente >99%), permitindo que o atacante reivindique plausivelmente a propriedade ou crie ambiguidade sobre a proveniência original.

Resultados

• Supressão de Sinal: Para metade dos esquemas avaliados, o ataque reduz a precisão de bits à linha de base sem marca d'água e o TPR a quase zero. Mesmo para métodos robustos como RoSteALS e WAM, a precisão de bits cai abaixo de 75%, tornando impossível a recuperação da carga útil.
• Preservação de Qualidade: O ataque de re-marcação introduz significativamente menos distorção perceptiva do que ataques baseados em regeneração (por exemplo, Regen-Diff, Rinse).
• Generalização: A política de ataque mantém-se válida em diferentes conjuntos de dados (DiffusionDB e MS-COCO) e diferentes backbones de difusão (SD 2.1 e SD 3.5), embora o desempenho varie ligeiramente para métodos dependentes de estatísticas específicas do espaço latente (por exemplo, ZoDiac no SD 3.5).

Significado e Alegações

O artigo argumenta que as propriedades de robustez e imperceptibilidade que tornam as marcas d'água em imagens atraentes são, paradoxalmente, o que as tornam vulneráveis umas às outras.

• Vulnerabilidade dos Esquemas Atuais: Os autores afirmam que os esquemas de marcação d'água atuais não atendem a garantias formais de indetectabilidade. O fato de um classificador simples poder distinguir entre diferentes métodos de marcação d'água implica que esses esquemas deixam "impressões digitais" específicas do método recuperáveis sem chaves.
• Custo do Ataque: O ataque é "barato" e "genérico". Requer apenas acesso a codificadores de marcação d'água prontos para uso, que estão livremente disponíveis para criadores de conteúdo. Não requer gradientes, modelos substitutos ou chaves de detecção.
• Implicações para a Segurança: A capacidade de identificar e sobrescrever marcas d'água desafia a confiabilidade dos esquemas atuais para conformidade regulatória e proteção de direitos autorais. Os autores sugerem que a suposição de "sigilo do método" como defesa é insuficiente.
• Chamada à Ação: O trabalho serve como um teste de estresse para esquemas candidatos, instando o desenvolvimento de sistemas de marcação d'água com garantias de segurança formal mais fortes e um foco primário na verdadeira indetectabilidade, e não apenas na robustez contra distorções comuns.

Os autores concluem que, embora seu pipeline seja uma vulnerabilidade significativa, ele também fornece uma ferramenta de diagnóstico para defensores auditarem se seus esquemas deixam impressões digitais recuperáveis, motivando assim o desenvolvimento de tecnologias de marcação d'água mais seguras.