💻 computer science

SPFM-Net: Semantic-Prior-Guided Frequency-Constrained Mamba for Invisible Watermark Attack

Este artigo propõe o SPFM-Net, uma estrutura Mamba guiada por prior semântico e restrita por frequência que ataca efetivamente marcas d'água invisíveis ao combinar mascaramento de alta proporção, um Autoencoder de Máscara ajustado e uma unidade de modelagem de espaço de estado global para alcançar um equilíbrio superior entre eficácia de remoção e fidelidade visual.

Autores originais: Chunpeng Wang, Yanan Shi, Zhiqiu Xia, Jidong Yang, Suo Gao, Qi Li

Publicado 2026-07-31

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Chunpeng Wang, Yanan Shi, Zhiqiu Xia, Jidong Yang, Suo Gao, Qi Li

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine a internet como uma biblioteca gigante e movimentada onde todos estão constantemente compartilhando fotos. Para proteger seu trabalho, artistas e empresas costumam esconder "marcas d'água invisíveis" dentro de suas imagens. Pense nessas marcas d'água não como um carimbo visível, mas como um sussurro de código minúsculo e invisível tecido na própria estrutura da imagem. É uma impressão digital que diz: "Isso pertence a mim!", sem alterar a aparência da foto para o olho humano.

No entanto, assim como uma biblioteca precisa saber se um livro está sendo roubado, os pesquisadores precisam testar se essas marcas d'água são fortes o suficiente para sobreviver. É aqui que entram as "ataques de marca d'água". Em vez de tentar roubar a imagem, esses ataques tentam silenciar o sussurro invisível. O objetivo é apagar o código secreto da foto sem arruinar a imagem em si. É um equilíbrio delicado: se você apagar com muita força, apagará a marca d'água, mas também transformará a foto em uma bagunça borrada; se apagar com muita suavidade, a marca d'água permanecerá escondida e a foto continuará segura. Por anos, cientistas lutaram para encontrar o "apagador" perfeito que removesse a mensagem secreta mantendo a imagem nítida e real.

Conheça o SPFM-Net, uma nova ferramenta digital projetada para resolver esse quebra-cabeça complexo. Os pesquisadores por trás deste projeto perceberam que as tentativas anteriores de remover marcas d'água eram como tentar consertar um relógio quebrado olhando apenas para uma engrenagem de cada vez. Eles focavam demais em detalhes locais pequenos e perdiam a visão do todo. O SPFM-Net muda o jogo ao tratar a foto como um gigantesco quebra-cabeça onde algumas peças estão faltando.

Veja como funciona, passo a passo:

1. A Estratégia da "Venda nos Olhos"
Primeiro, o SPFM-Net pega a imagem com a marca d'água e cobre 90% dela com uma venda digital. Ele esconde aleatoriamente a maior parte da imagem, deixando apenas alguns fragmentos espalhados visíveis. Isso pode parecer contraintuitivo — por que esconder mais da imagem? O truque é que as marcas d'água invisíveis geralmente dependem de um padrão contínuo para se esconder. Ao quebrar a imagem em pedaços minúsculos e desconectados, a rede força a si mesma a parar de olhar para o "sussurro" da marca d'água e começar a focar na "voz" da imagem real. É como tentar adivinhar o enredo de um filme quando você só vê alguns quadros aleatórios; seu céreão tem que confiar na história (o significado semântico) em vez dos detalhes específicos dos rostos dos atores.

2. O Mecanismo de "Adivinhação Inteligente"
Em seguida, o sistema utiliza um "cérebro" pré-treinado (chamado de Autoencoder de Máscara ou Masked Autoencoder) que já aprendeu como são as imagens naturais e reais. Como a rede já viu milhões de fotos antes, ela sabe que um céu deve ser azul e um rosto deve ter dois olhos. Quando ela vê os poucos fragmentos restantes da imagem com marca d'água, ela usa esse conhecimento para "alucinar" ou reconstruir as partes ausentes. Crucialmente, ela reconstrói a imagem natural, ignorando efetivamente os padrões estranhos e artificiais da marca d'água. É como um mestre chef que, dados alguns ingredientes, consegue recriar um prato inteiro sem acidentalmente adicionar o tempero secreto que o inimigo tentou esconder.

3. O "Detetive de Frequência"
Uma vez que a imagem é aproximadamente reconstruída, o SPFM-Net torna-se ainda mais específico. Ele possui um módulo especial chamado MRFFI que atua como um detetive de frequência. Ele observa a imagem em diferentes "níveis de zoom" (desde texturas minúsculas até formas grandes) para encontrar os vestígios restantes da marca d'água. Como as marcas d'água costumam se esconder em padrões de frequência específicos (como uma nota musical específica), este módulo caça essas notas e as silencia, deixando o restante da música (os detalhes da imagem) intocados.

4. O Scanner de "Longa Distância"
Finalmente, o sistema utiliza um componente de última geração chamado Mamba (parte do módulo GSFM). Pense nisso como um scanner que pode olhar para a imagem inteira de uma só vez, de um canto ao outro. As marcas d'água muitas vezes estão espalhadas por toda a imagem, como uma rede. Ferramentas antigas podiam apenas olhar para pequenos bairros, perdendo a grande rede. O Mamba conecta os pontos através de toda a imagem, garantindo que mesmo os sinais de marca d'água mais tênues e distantes sejam capturados e removidos.

Os Resultados
Os pesquisadores testaram o SPFM-Net contra uma variedade de truques modernos de marca d'água, incluindo alguns que usam inteligência artificial avançada para esconder o código. Os resultados foram impressionantes. Em muitos casos, o sistema conseguiu embaralhar a marca d'água tão profundamente que ela se tornou impossível de ler (alcançando uma "Taxa de Erro de Bit" próxima a 0,5, o que é basicamente um palpite aleatório).

Mas a verdadeira magia está na qualidade das fotos. Enquanto outros métodos frequentemente transformavam as imagens em pesadelos borrados e pixelados, o SPFM-Net manteve as imagens nítidas e naturais. Em testes, alcançou um PSNR (uma pontuação para qualidade de imagem) de até 42,76 para certos tipos de marcas d'água, o que é significativamente superior aos métodos anteriores. Ele conseguiu destruir a marca d'água mantendo a fidelidade visual tão alta que o olho humano mal percebe a diferença.

O Que Ele Não Faz
É importante notar que o SPFM-Net não é uma varinha mágica que funciona perfeitamente em todos os tipos de marca d'água em todas as situações. Para algumas marcas d'água específicas e simples, que estão profundamente ligadas à textura da imagem, o sistema foi ligeiramente menos agressivo para evitar estragar a foto. Nesses casos, ele escolheu manter a imagem perfeita em vez de arriscar que um pequeno resquício da marca d'água permanecesse. Os autores sugerem que essa troca é, na verdade, uma característica, não um erro, porque no mundo real, preservar a qualidade visual da foto é tão importante quanto remover a marca d'água.

Em suma, o SPFM-Net sugere que, ao tratar a remoção de marca d'água como um problema de "reconstrução" — reconstruindo a imagem natural do zero em vez de apenas tentar apagar as partes ruins — podemos silenciar os sussurros invisíveis sem quebrar a canção. É uma forma inteligente e nova de olhar para um problema antigo, provando que, às vezes, para ver a verdade, você tem que ignorar a maior parte do que está bem diante dos seus olhos.

Resumo Técnico: SPFM-Net

Definição do Problema
Os ataques de marca d'água invisível existentes enfrentam um compromisso crítico entre a eficácia da remoção e a fidelidade visual. Os métodos tradicionais, que variam de operações de processamento de sinais a redes de aprendizado profundo localmente restringidas (ex: CNNs), lutam para capturar as dependências de longo alcance de sinais de marca d'água distribuídos globalmente. Essas abordagens frequentemente tratam a remoção de marca d'água como uma perturbação local ou uma tarefa de restauração ao nível do pixel, o que falha em distinguir entre sinais relacionados à marca d'água e detalhes reconstruídos da imagem. Consequentemente, ataques mais fortes que removem efetivamente as marcas d'água degradam a qualidade da imagem através de perda de textura e artefatos, enquanto ataques mais fracos preservam a fidelidade, mas deixam as marcas d'água recuperáveis. Além disso, as arquiteturas atuais carecem de orientação semântica suficiente para separar características de marca d'água do conteúdo natural da imagem e são limitadas por campos receptivos restritos.

Metodologia: SPFM-Net
Os autores propõem o SPFM-Net (Semantic-Prior-Guided Frequency-Constrained Mamba), um framework que reformula o ataque de marca d'água invisível como um problema de restauração de imagem guiado por semântica, em vez de uma supressão direta de perturbação. A arquitetura opera através do seguinte pipeline:

Mascaramento de Alta Proporção e Extração de Prior Semântico:
- A imagem com marca d'água de entrada é dividida em patches não sobrepostos e submetida a uma estratégia de mascaramento aleatório de alta proporção (90% de taxa de mascaramento). Isso interrompe a coerência espacial e a distribuição conjunta dos sinais de marca d'água, impedindo que a rede dependa de atalhos de denoising local.
- Um Autoencoder Mascarado (MAE) parcialmente descongelado serve como a espinha dorsal semântica. O codificador é pré-treinado em cenas naturais de grande escala. Durante o ajuste fino (fine-tuning), os primeiros 21 blocos Transformer permanecem congelados para preservar os priors semânticos macroestruturais, enquanto apenas os três últimos blocos e as camadas de normalização são atualizados para se adaptarem aos resíduos sutis da marca d'água. Isso força o modelo a reconstruir o conteúdo intrínseco da imagem com base no contexto global, em vez de detalhes locais superficiais.
Interação de Características de Frequência de Resíduo Multiescala (MRFFI):
- Este módulo agrega características residuais relacionadas à marca d'água através de múltiplos campos receptivos. Ele utiliza três ramos convolucionais paralelos com strides distintos ( $s \in \{1, 2, 4\}$ ) para capturar características de texturas locais, estruturas intermediárias e semântica global.
- As características são concatenadas e processadas via uma convolução $1 \times 1$ . Um mecanismo de atenção de canal gera um mapa de pesos adaptativo para suprimir respostas de regiões irrelevantes à marca d'água, enquanto aumenta as respostas em áreas relacionadas à marca d'água.
Modelagem de Características de Espaço de Estados Global Baseada em Mamba (GSFM):
- Para abordar a limitação dos campos receptivos locais, uma unidade leve baseada em Mamba modela as dependências de longo alcance dos sinais de marca d'água distribuídos globalmente.
- Ela utiliza blocos de modelagem de sequência de duplo resíduo em cascata com convoluções depthwise separáveis 1D e redes feed-forward. Esta unidade separa as características relacionadas à marca d'água do conteúdo natural da imagem e suprime os vestígios restantes através da varredura da sequência global.
Decodificador e Otimização de Múltiplos Níveis:
- Um decodificador leve reconstrói a imagem livre de marca d'água usando convoluções transpostas e conexões de salto (skip connections) entre níveis para preservar detalhes de alta frequência das camadas iniciais do codificador.
- A rede é otimizada usando uma função de perda conjunta composta por três componentes:
  - Perda de Pixel ( $L_{pixel}$ ): Norma $L_1$ para consistência tonal espacial.
  - Perda de Frequência ( $L_{fft}$ ): Norma $L_1$ nas magnitudes da Transformada Rápida de Fourier (FFT) 2D para suprimir variações de frequência anormais induzidas pela marca d'água.
  - Perda de Borda ( $L_{edge}$ ): Norma $L_1$ nos gradientes de Sobel para preservar limites estruturais e reduzir artefatos.

Principais Contribuições

Reformulação do Framework: O artigo introduz o SPFM-Net, que altera o paradigma da supressão direta de perturbação para a restauração de imagem guiada por semântica, utilizando o mascaramento de alta proporção para romper a coerência do sinal da marca d'água.
Modelagem de Frequência Guiada por Prior Semântico: Ao combinar um MAE parcialmente congelado com o módulo MRFFI, o método separa efetivamente as características da marca d'água do conteúdo natural, capturando discrepâncias de frequência em múltiplas escalas para suprimir marcas d'água com redução da distorção visual.
Modelagem de Dependência de Longo Alcance: O design do módulo GSFM baseado em Mamba permite a captura de dependências de longo alcance em padrões de marca d'água distribuídos espacialmente, abordando as limitações de campo receptivo das CNNs tradicionais.
Generalização Zero-Shot: A abordagem demonstra a capacidade de realizar a remoção zero-shot em marcas d'água profundas não vistas sem ajuste fino específico para o alvo, validando a viabilidade da reconstrução guiada por semântica.

Resultados Experimentais
Experimentos extensivos foram conduzidos em esquemas de marca d'água de domínio espacial, domínio de transformada, baseados em momentos ortogonais e baseados em aprendizado profundo (incluindo HiDDeN, Stable Signature e Yu).

Eficácia do Ataque: O SPFM-Net alcançou Taxas de Erro de Bit (BER) de 0,48 para Stable Signature e 0,55 para HiDDeN, aproximando-se do nível de suposição aleatória binária de 0,5. Isso indica uma interrupção quase total do processo de extração da marca d'água.
Fidelidade Visual: O método manteve alta qualidade perceptual, alcançando 42,76 dB de PSNR e 0,99 de SSIM no conjunto de dados Stable Signature, superando significativamente os baselines como UnMarker (18,23 dB de PSNR) e DiffusionAttack.
Generalização: Apesar de ser treinado apenas em marcas d'água tradicionais (LSB, DCT, QPHFMs), o SPFM-Net conseguiu generalizar com sucesso para interromper marcas d'água generativas profundas avançadas, confirmando que o prior semântico força o modelo a tratar as marcas d'água incorporadas como anomalias de alta frequência, independentemente de seu mecanismo de geração.
Estudos de Ablação: Os resultados confirmaram que a integração progressiva dos módulos MRFFI e GSFM aumentou significativamente o BER, enquanto a perda conjunta de múltiplos níveis (pixel, frequência e borda) foi crucial para manter o alto PSNR e evitar a degradação perceptual.

Significância e Alegações
O artigo afirma que o SPFM-Net oferece um compromisso favorável entre a eficácia do ataque de marca d'água e a fidelidade perceptual, superando os métodos de estado da arte existentes. Ao utilizar priors semânticos para guiar o processo de restauração e restrições de frequência para impor integridade estrutural, o método fornece uma nova perspectiva de "desacoplamento semântico" para ataques de marca d'água digital. Os autores posicionam este trabalho como um passo em direção à avaliação dos limites de segurança dos métodos de marca d'água existentes, particularmente contra a rápida iteração de marcas d'água generativas e esteganografia adversarial. A abordagem é apresentada como um compromisso prático que prioriza a alta qualidade visual enquanto alcança uma remoção robusta, tornando-se adequada para cenários realistas de avaliação de segurança.

Resumo Técnico: SPFM-Net

Mais como este