Do Modern Post-Hoc Watermarking Methods Beat Broken-Arrows?

Resumo Técnico: Os Métodos Modernos de Marca D'água Pós-Hoc Superam os Broken-Arrows?

Declaração do Problema
A rápida proliferação da IA generativa, particularmente dos modelos de difusão, tornou necessária a criação de mecanismos robustos para identificar conteúdo gerado por IA. Embora órgãos reguladores (por exemplo, Lei de IA da UE, ordens executivas da Casa Branca) exijam rastreabilidade, existe uma lacuna na avaliação comparativa dos métodos modernos de marca d'água pós-hoc em relação às técnicas clássicas. Abordagens modernas, que utilizam redes neurais profundas (DNNs) para incorporação e decodificação, são frequentemente assumidas como superiores devido à sua flexibilidade e capacidade de lidar com ampliações complexas durante o treinamento. No entanto, esses métodos carecem das fundações teóricas de segurança dos esquemas clássicos, como o conceito de uma chave secreta, e herdam vulnerabilidades a exemplos adversariais. Este artigo investiga se os métodos modernos pós-hoc superam consistentemente as abordagens clássicas em um cenário realista de detecção de zero bits, priorizando segurança e robustez em detrimento das cargas úteis de múltiplos bits de alta capacidade frequentemente visadas por esquemas modernos.

Metodologia
Os autores propõem um quadro de comparação justo que avalia robustez, imperceptibilidade e segurança em três esquemas de marca d'água: dois métodos modernos pós-hoc (Videoseal e TrustMark) e um método clássico (Broken-Arrows).

• Conversão para Zero Bits: Para garantir uma comparação justa focada na rastreabilidade e não na comunicação, os decodificadores modernos de múltiplos bits foram convertidos em detectores de zero bits. Isso foi alcançado tratando a projeção do decodificador em um subespaço como um detector de hipercone, comparando o vetor extraído contra um vetor secreto usando o ângulo entre eles.
• Configuração Experimental: Os experimentos utilizaram 200 imagens naturais (1024×1024) do conjunto de dados MFlickr. Uma restrição fixa de imperceptibilidade foi imposta escalando o sinal da marca d'água para alcançar um PSNR de 42dB em relação à imagem original.
• Cenários de Segurança: A avaliação testou quatro níveis de conhecimento do atacante:
  1. Caixa Branca: Acesso total ao detector (e à chave para Broken-Arrows). Os ataques incluíram o ataque de projeção de fronteira DDN para DNNs e ataques ótimos de forma fechada para Broken-Arrows.
  2. Caixa Preta: Acesso ao detector apenas via consulta/resposta. O ataque CGBA foi utilizado com um orçamento fixo de consultas.
  3. Oráculo: O atacante utiliza um proxy (oráculo) para guiar o ataque. Dois métodos foram testados: WmForger (usando um modelo de preferência) e um ataque modificado Watermark In the Sand (WIS) (usando purificação VAE e PSNR como oráculo).
  4. Cego: Sem acesso ao detector ou oráculo. Isso incluiu transformações clássicas baseadas em métricas de valor (por exemplo, compressão JPEG) e ataques de regeneração usando modelos de difusão (SANA, Stable-Diffusion-2.1).
• Métricas: O desempenho foi medido pela Taxa de Sucesso do Ataque (ASR) em uma probabilidade fixa de falso alarme ($\alpha = 10^{-6}$) e pela distorção (PSNR) necessária para alcançar o sucesso.

Principais Contribuições

1. Quadro de Avaliação Unificado: O artigo estabelece uma metodologia para comparar marcas d'água modernas e clássicas sob uma suposição de zero bits, convertendo decodificadores modernos de múltiplos bits em detectores de hipercone para alinhar com a teoria de detecção clássica.
2. Análise de Segurança Abrangente: Fornece uma comparação sistemática de robustez e segurança em quatro modelos de ameaça distintos, variando do acesso total de caixa branca a ataques cegos, destacando as vulnerabilidades específicas dos detectores baseados em DNN.
3. Evidência Empírica de Trade-offs: O estudo desafia a suposta superioridade dos métodos modernos, demonstrando que, em um cenário de zero bits, os métodos clássicos frequentemente oferecem segurança superior sem sacrificar a robustez.

Resultados

• Cenários de Caixa Branca e Caixa Preta: Broken-Arrows superou significativamente tanto o Videoseal quanto o TrustMark. Detectores modernos baseados em DNN foram encontrados como altamente frágeis; o ataque alcançou sucesso próximo a 100% com distorção mínima (limites sub-quantização, 60dB) para métodos modernos, enquanto Broken-Arrows exigiu distorção significativamente maior (40dB) para 100% de sucesso. Os autores atribuem isso a "pontos cegos" nas regiões de detecção no espaço de pixels das DNNs, que são facilmente explorados via ataques baseados em gradiente.
• Cenário Oráculo: Para ataques de baixa distorção ($PSNR \geq 35$ dB), Broken-Arrows permaneceu o mais seguro. Embora o Videoseal tenha mostrado melhor resiliência em níveis de distorção mais altos, o ataque WmForger foi altamente eficaz contra o TrustMark. O ataque WIS (purificação VAE) removeu sistematicamente coeficientes de wavelet de frequência média, impactando mais o Broken-Arrows do que os métodos modernos, embora o Broken-Arrows tenha permanecido robusto no geral.
• Cenário Cego: Todos os três métodos foram robustos contra operações padrão baseadas em métricas de valor e ataques de regeneração, exigindo pelo menos 30dB de distorção para apagar a marca d'água. Embora o Videoseal tenha mostrado ganhos marginais em robustez contra forte compressão JPEG em comparação com Broken-Arrows, o TrustMark teve o pior desempenho.

Significado e Alegações
O artigo conclui que os métodos modernos de marca d'água pós-hoc não superam consistentemente as abordagens clássicas em um cenário de zero bits. A principal descoberta é um trade-off crítico: enquanto os métodos modernos baseados em DNN não oferecem ganho significativo em robustez sob as condições testadas, eles exibem um declínio significativo na segurança devido à sua suscetibilidade a perturbações adversariais e à falta de um mecanismo de chave secreta.

Os autores enfatizam que as técnicas modernas são primariamente otimizadas para cargas úteis de múltiplos bits de alta capacidade, um objetivo não abordado nesta avaliação de zero bits. Além disso, o estudo reconhece limitações, notando que foca em operações baseadas em métricas de valor e não leva em conta distorções geométricas (por exemplo, corte, rotação), que os métodos modernos frequentemente lidam via técnicas de sincronização. O trabalho serve como um aviso de que a flexibilidade da aprendizagem profunda em marcas d'água vem ao custo de uma superfície de ataque aumentada e garantias de segurança reduzidas em comparação com designs clássicos bem estabelecidos.