Resumo Técnico: Repensando Ataques de Falsificação em Marcas d'Água Semânticas em Configurações de Caixa Preta

1. Declaração do Problema

A proliferação de conteúdo gerado por IA (AIGC) tornou necessários mecanismos robustos para atribuição de origem e verificação de confiança. As marcas d'água semânticas, que embutem informações no ruído latente inicial de modelos de difusão, surgiram como uma solução promissora devido à sua robustez contra transformações comuns de imagem. No entanto, estudos recentes demonstraram que esses sistemas são vulneráveis a ataques de falsificação de caixa preta (black-box forgery attacks). Em tais ataques, um adversário com apenas acesso de caixa preta ao modelo de um provedor de serviço (SP) pode usar um modelo de difusão substituto (proxy) para inverter uma imagem com marca d'água, recuperar uma representação latente estimada e regenerar uma nova imagem que preserva a marca d'água do SP enquanto falsifica a proveniência do conteúdo.

A literatura existente baseia-se primariamente em evidências empíricas para demonstrar esses ataques, carecendo de uma compreensão teórica rigorosa das condições sob as quais a falsificação tem sucesso ou falha. Consequentemente, permanece incerto quais limites de segurança fundamentais os sistemas de marca d'água semântica possuem na prática ou como projetar defesas que se generalizem além de implementações de ataque específicas.

2. Metodologia e Estrutura Teórica

Perspectiva de Taxa-Distorção

Os autores reformulam o problema da falsificação de caixa preta através da lente da teoria de taxa-distorção no espaço latente. Eles modelam a tarefa do adversário como um problema de compressão com perda, onde o modelo substituto atua como um decodificador tentando aproximar um latente alvo com marca d'água.

• Piso de Distorção Irredutível: Os autores provam que um descompasso entre o modelo alvo ($\Theta$) e o modelo substituto do adversário ($\Theta_A$) induz uma perda de informação irredutível ($D_{irr}$). Essa perda cria um limite inferior para a distorção alcançável, o que significa que, mesmo com recursos computacionais infinitos, um adversário de caixa preta não pode alcançar uma distorção de inversão arbitrariamente pequena se os modelos forem diferentes.
• Penalidade de Taxa Efetiva: O descompasso do modelo também impõe uma penalidade de taxa efetiva ($I_{pen}$), reduzindo a taxa de informação utilizável do adversário e retardando o decaimento da distorção à medida que a taxa de informação aumenta.

Caracterização Geométrica da Distorção

Indo além das suposições de ruído estocástico, o artigo caracteriza a distorção introduzida pelos modelos substitutos como desvios geométricos estruturados na variedade (manifold) intrínseca latente. Esses desvios manifestam-se em duas formas específicas:

1. Deriva Global (Direcional): Na hiperesfera do espaço latente, as perturbações de falsificação causam um deslocamento angular sistemático. Isso é quantificado usando a Distorção Angular Esférica (SAD), medida via similaridade de cosseno. Teoricamente, a orientação de um latente falsificado deve desviar-se significativamente do latente original com marca d'água, enquanto um latente recuperado corretamente permanece bem alinhado.
2. Deformação Local (Estrutural): Ataques de falsificação interrompem a integridade estrutural local da variedade latente. Os autores mapeiam as estatísticas de tokens locais para a variedade de matrizes Positivas Definidas Simétricas (SPD) e medem o desvio usando a Métrica Riemanniana Invariante por Afim (AIRM). Isso resulta em uma métrica chamada Inconsistência Geométrica de SPD Local (LGI), que captura deformações não congruentes na vizinhança local dos tokens que estão ausentes em amostras genuínas com marca d'água.

Esquema de Detecção

Aproveitando essas percepções geométricas, os autores propõem um método de detecção agnóstico ao esquema. Este método opera como uma etapa de pré-verificação, analisando o ruído latente recuperado ($\hat{z}_T$) antes de tentar extrair a marca d'água. Ao avaliar o espaço geométrico conjunto de deriva global (G-Cos) e deformação local (L-SPD), o detector pode distinguir amostras falsificadas de amostras genuínas com marca d'água sem modificar os esquemas de marca d'água existentes.

3. Principais Contribuições

• Formalização Teórica: O artigo é o primeiro a formalizar ataques de falsificação de caixa preta dentro de uma estrutura de taxa-distorção, identificando um piso de distorção irredutível que restringe fundamentalmente a capacidade de um adversário quando utilizando um modelo substituto incompatível.
• Caracterização Geométrica: Caracteriza a distorção induzida pela falsificação não como ruído aleatório, mas como desvios geométricos estruturados (deriva global e deformação local) na variedade latente.
• Detecção Robusta: Os autores propõem um método de detecção baseado nessas descobertas geométricas. Avaliações extensas demonstram sua eficácia em diversos cenários de caixa preta, incluindo ataques baseados em orientação (guidance) e de otimização, mantendo a robustez contra distorções comuns de imagem.

4. Resultados Experimentais

Os autores avaliaram seu método contra seis esquemas de marca d'água semântica de última geração (Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading e TAG) utilizando cinco modelos alvo (SD2.1, SDXL, PixArt-$\Sigma$, FLUX.1, SD3) e utilizando SD2.1 e SD3 como substitutos (proxies).

• Sucesso da Falsificação: Experimentos confirmaram que os ataques de falsificação são altamente bem-sucedidos quando o modelo alvo e o substituto são idênticos (ex: SD2.1 $\to$ SD2.1), alcançando taxas de Verdadeiros Positivos (TPR) quase perfeitas para a retenção da marca d'água. No entanto, a eficácia do ataque cai significativamente em cenários de modelos cruzados (ex: alvo SD3 com substituto SD2.1), consistindo com o piso de distorção teórica.
• Desempenho de Detecção: As métricas geométricas propostas (G-Cos e L-SPD) alcançaram valores de Área Sob a Curva (AUC) quase perfeitos (frequentemente excedendo 0.99) em cenários de modelos cruzados. Mesmo no desafiador cenário de modelos idênticos (onde o piso de distorção teórica é minimizado), o método manteve um forte desempenho de detecção (ex: AUC > 0.95 para G-Cos).
• Robustez: O método de detecção manteve alta consistência sob várias distorções de pós-processamento (ex: compressão JPEG, ruído, recorte), embora o desempenho tenha degradado ligeiramente sob ruído estocástico e degradações de sinal não lineares que corrompem a coerência estrutural latente.
• Comparação: O método superou ou igualou métricas alternativas e permaneceu eficaz mesmo contra esquemas avançados como marcas d'água PRC, que dependem de pseudoaleatoriedade para resistir à falsificação.

5. Significância e Alegações

O artigo afirma oferecer uma nova perspectiva sobre a segurança dos sistemas de marca d'água semântica. Ao identificar que o descompasso entre o modelo substituto e o alvo é a fonte fundamental de vulnerabilidade para os adversários (e a fonte de sinal detectável para os defensores), os autores fornecem uma base principiológica para a detecção de falsificação.

• Defesa Ortogonal: O método proposto serve como uma defesa ortogonal que complementa os esquemas de marca d'água existentes. Ele não requer o retreinamento do modelo generativo ou a alteração do algoritmo de marca d'água.
• Utilidade Prática: O framework de detecção opera exclusivamente no ruído latente, aderindo aos princípios de armazenamento zero inerentes à marca d'água, tornando-o leve e compatível com implantações de larga escala.
• Limites de Segurança: O trabalho esclarece que, embora os cenários de modelos idênticos representem uma fronteira de segurança onde o descompasso arquitetônico é minimizado, erros internos acumulados inevitáveis (devido à assimetria entre geração direta vs. inversão reversa) ainda induzem discrepâncias latentes mensuráveis, permitindo uma detecção robusta mesmo nesses casos extremos.

Os autores concluem que suas descobertas destacam as limitações intrínsecas dos ataques de falsificação de caixa preta e sugerem que futuros designs de marca d'água semântica robusta devem considerar essas propriedades geométricas para aumentar a segurança.