Resumo Técnico: SafeMark para Edição de Imagens Guiada por Texto com Preservação de Marca d'Água

Declaração do Problema

O avanço rápido dos modelos de texto para imagem (por exemplo, Stable Diffusion, DALL-E 3) permitiu uma edição de imagens poderosa e orientada por semântica por meio de remoção iterativa de ruído. Embora a marcação d'água invisível em imagens tenha sido estabelecida como uma ferramenta crítica para verificação de propriedade e rastreamento de proveniência na geração estática, sua robustez sob edição de difusão guiada por texto permanece amplamente inexplorada.

Os métodos existentes de marcação d'água robusta (por exemplo, HiDDeN, VINE, SleeperMark) tipicamente empregam um paradigma de defesa adversarial, treinando codificadores contra distorções predefinidas (JPEG, redimensionamento) ou comportamentos específicos de edição. No entanto, o artigo demonstra que esses métodos falham em generalizar-se através de editores de difusão diversos e heterogêneos. Quando imagens são editadas usando editores guiados por texto como DiffusionCLIP, Asyrp ou Eff-Diff, a precisão dos bits da marca d'água degrada-se significativamente (por exemplo, caindo de ~0,99 para ~0,30 em alguns casos). A questão central de pesquisa é: Imagens com marca d'água podem permanecer editáveis sem comprometer a integridade da marca d'água? O artigo argumenta que as marcas d'água "robustas" atuais são dependentes do editor e que uma nova abordagem é necessária para impor integridade durante o próprio processo de edição.

Metodologia: SafeMark

Os autores propõem o SafeMark, um framework que trata a preservação da marca d'água como um objetivo explícito dentro do processo de otimização de edição de imagens, em vez de depender apenas da robustez intrínseca da marca d'água.

1. Formulação do Problema

O SafeMark enquadra a edição com preservação de marca d'água como um problema de otimização restrita. Dada uma imagem com marca d'água $x_{orig}$ com mensagem $w$, um editor $E_\theta$ e um prompt $p$, o objetivo é encontrar parâmetros $\theta^*$ que minimizem a perda semântica enquanto satisfazem uma restrição de precisão da marca d'água:
$$\min_\theta \mathbb{E}[L_{sem}(x_{edit}, x_{ref})] \quad \text{s.t.} \quad \text{Acc}(\hat{w}, w) \geq \tau$$
onde $x_{edit} = E_\theta(x_{orig}, p)$, $\hat{w}$ é a marca d'água decodificada e $\tau$ é um limiar de precisão alvo.

2. Fundamentação Teórica da Informação

O artigo fornece uma justificativa teórica para a otimização direta da precisão dos bits.

• Limite de Informação Mútua: A recuperabilidade da marca d'água é limitada pela informação mútua $I_\theta(W; X_e)$ preservada pelo canal do editor.
• Precisão de Bits como Substituto: Os autores provam (via desigualdade de Fano e Lema 1) que manter uma alta precisão média de bits $\bar{a}$ limita inferiormente essa informação mútua. Especificamente, impor $\bar{a} \geq \tau$ garante um nível mínimo de preservação de informação necessário para a recuperação.

3. Objetivo de Treinamento e Penalidade de Dobradiça

Como a precisão de bits rígida não é diferenciável, o SafeMark relaxa a restrição usando uma penalidade de dobradiça com limiar em um substituto diferenciável (tipo perda de Brier):
$$L_{wm} = \max(0, \tau - \hat{g}_{Acc}(\hat{w}, w))$$
onde $\hat{g}_{Acc}$ é uma aproximação suave da precisão de bits. O objetivo total de treinamento combina fidelidade semântica e preservação da marca d'água:
$$L_{total} = \lambda_{sem} L_{sem} + \lambda_{wm} L_{wm}$$

• Alinhamento Semântico: Para garantir que a edição permaneça fiel à intenção do usuário, uma edição de referência $x_{ref}$ é gerada usando um editor pré-treinado congelado $E_{\theta_0}$. A perda semântica $L_{sem}$ incentiva a saída do editor treinável a permanecer próxima a essa referência (distância $L_1$).
• Arquitetura: O SafeMark não requer modificação arquitetural no editor de difusão subjacente. Ele opera ajustando finamente os parâmetros do editor $\theta$ enquanto mantém o codificador/decodificador da marca d'água fixo. Os gradientes fluem apenas através da saída final desruidada.

Contribuições Principais

1. Identificação Empírica da Dependência do Editor: O artigo demonstra que os métodos existentes de marcação d'água robusta falham em generalizar-se através de diferentes pipelines de edição guiada por texto, com o desempenho variando drasticamente dependendo do editor específico utilizado.
2. Fundamentação Teórica: Estabelece uma base teórica da informação para edição com preservação de marca d'água, mostrando que a precisão de bits é um proxy tratável para a preservação de informação mútua, justificando o uso de objetivos de penalidade de dobradiça.
3. Framework SafeMark: Um método inovador que integra a supervisão da marca d'água diretamente no objetivo de edição, alcançando recuperação quase perfeita da marca d'água (precisão de bits $\approx 1,0$) através de editores e conjuntos de dados diversos sem sacrificar a qualidade da edição semântica.
4. Validação de Robustez: Os autores mostram que imagens protegidas pelo SafeMark permanecem robustas a distorções pós-edição comuns (rotação, desfoque, redimensionamento), confirmando que impor preservação durante a edição não degrada a resiliência a corrupções padrão de imagem.

Resultados Experimentais

O framework foi avaliado em imagens reais (LSUN-Church, LSUN-Bedroom, CelebA, AFHQ-Dog) e imagens geradas por IA, usando múltiplos esquemas de marcação d'água (HiDDeN, VINE, Stable Signature, SleeperMark) e três editores de difusão distintos (DiffusionCLIP, Asyrp, Eff-Diff).

• Preservação da Marca d'Água: Enquanto a edição direta ("Mani") causou uma queda significativa na precisão de bits (por exemplo, VINE em imagens de Quarto caiu de 0,999 para 0,299 sob Asyrp), o SafeMark consistentemente restaurou a precisão para 1,000 (ou níveis quase perfeitos como 0,999) em todas as configurações.
• Fidelidade Semântica: O SafeMark não comprometeu a qualidade da edição. Métricas como FID, Pontuação de Inception (IS) e similaridade CLIP mostraram que as saídas do SafeMark permaneceram perceptual e semanticamente próximas das edições diretas. A métrica "Comp" (comparando edições do SafeMark com edições diretas) produziu valores baixos de FID, indicando que a restrição da marca d'água não forçou a imagem de volta para a original ou colapsou a saída.
• Robustez Pós-Edição: Sob distorções como recorte e desfoque, o SafeMark manteve alta precisão de bits (taxas de falha geralmente abaixo de 0,15), demonstrando que o sinal de marca d'água preservado é robusto ao processamento subsequente.

Significado e Alegações

O artigo alega que a editabilidade semântica e a integridade da marca d'água são fundamentalmente compatíveis. A degradação das marcas d'água sob edição semântica não é uma limitação inerente do processo de edição, mas sim um resultado de dinâmicas de edição não restritas.

Ao mudar o paradigma de "marcação d'água robusta contra edição" para "edição com preservação de marca d'água", o SafeMark fornece uma solução de tempo de projeto para proveniência confiável de imagens. Os autores posicionam o SafeMark como um mecanismo que permite aos provedores de serviços de edição de imagem oferecer manipulação de alta qualidade orientada por semântica, garantindo ao mesmo tempo que os sinais de propriedade permaneçam recuperáveis. Isso reformula a proteção de proveniência como uma parte integral do pipeline de edição, em vez de um complemento externo, permitindo proveniência confiável de imagens em fluxos de trabalho de edição generativa.

O artigo reconhece modestamente limitações: o SafeMark atualmente requer acesso de caixa branca ao editor e uma etapa separada de ajuste fino para cada arquitetura, e pode enfrentar desafios com edições estruturais extremamente agressivas que alteram fundamentalmente o layout da cena além da capacidade da marca d'água. No entanto, estabelece uma prova de conceito crítica de que a preservação da marca d'água pode ser imposta por projeto.