Resumo Técnico: DASMark

Declaração do Problema

A proliferação de modelos de difusão de texto para imagem permitiu a criação de imagens altamente realistas, levantando preocupações significativas em relação a deepfakes e conteúdo visual enganoso. Embora existam métodos forenses passivos para detectar conteúdo sintético, eles frequentemente têm dificuldade em generalizar para diferentes geradores e falham em estabelecer proveniência específica de modelo ou usuário. A marca d'água ativa oferece uma solução ao incorporar sinais identificáveis na origem; no entanto, os métodos existentes de marca d'água em difusão enfrentam limitações críticas:

1. Vulnerabilidade Geométrica: Ataques geométricos (ex: rotação, corte, estiramento) interrompem a correspondência espacial entre as marcas d'água extraídas e de referência, levando a falhas de identificação mesmo que a informação da marca d'água sobreviva.
2. Compromisso entre Escalabilidade e Robustez: Métodos como Tree-Ring e RingID utilizam padrões estruturados (ex: anéis de Fourier) que são robustos à rotação, mas têm dificuldade com a identificação de usuários em larga escala (muitas chaves) e podem introduzir artefatos circulares que afetam a qualidade da imagem.
3. Sobrecarga Computacional: Os métodos de estado da arte atuais, como o WIND, dependem de rotação e buscas de janela deslizante para compensar o desalinhamento geométrico, incorrendo em custos computacionais e de memória significativos, particularmente à medida que o espaço de identidade do usuário escala.

Metodologia

Os autores propõem o DASMark, um framework de marca d'água de imagem por difusão projetado para verificação robusta de modelos e identificação escalável de usuários sob ataques geométricos. A inovação central é um mecanismo de sincronização geométrica de duplo âncoras que opera sem modificar os pesos do gerador pré-treinado.

1. Geração da Marca d'Água

• Ruído Inicial Específico do Usuário: Cada usuário recebe um identificador único ($u_i$) que, combinado com uma chave mestra específica do modelo ($\kappa_A$), gera um vetor de ruído inicial reproduzível ($z_T^{(u_i)}$) via HMAC e amostragem Gaussiana. Este ruído serve como o transportador de identidade.
• Incorporação de Duplo Âncora: Para permitir a sincronização geométrica, duas âncoras de localização espacialmente separadas são incorporadas no ruído inicial usando códigos de canal ortogonais ($c_A$ e $c_B$).
  • As âncoras são posicionadas nas regiões superior-esquerda e inferior-direita da grade latente.
  • Elas utilizam templates Gaussianos 2D com códigos de canal ortogonais para garantir respostas distinguíveis através dos canais latentes, minimizando a interferência.
  • A incorporação modifica apenas a projeção do ruído ao longo do código de canal específico, preservando componentes ortogonais para minimizar o impacto na qualidade da imagem.

2. Detecção e Sincronização da Marca d'Água

O pipeline de detecção não requer o retreinamento do modelo de difusão e consiste nas seguintes etapas:

• Inversão Latente: Uma imagem suspeita é codificada no espaço latente e invertida usando DDIM determinístico (sem condicionamento de texto) para recuperar o latente inicial estimado ($\hat{z}_T$).
• Rede de Localização de Duplo Âncora: Uma rede neural dedicada ($F_\theta$) prevê as posições transformadas das duas âncoras dentro do latente invertido.
  • Arquitetura: A rede emprega um caule de três ramos para extrair características de mapas de resposta de âncoras individuais e um mapa de características conjunto. Utiliza blocos de geometria de múltiplas escalas, mecanismos de atenção global e fusão de resolução cruzada para lidar com escalas espaciais variáveis e contexto global.
  • Estimativa de Coordenadas: Em vez de seleção de pico não diferenciável, a rede utiliza uma expectativa espacial diferenciável (baseada em DSNT) para estimar os centros das âncoras, permitindo otimização de ponta a ponta.
• Alinhamento Geométrico: Com base nos centros das âncoras previstos, o sistema estima a transformação geométrica (rotação ou corte-e-estiramento) e alinha o latente invertido de volta ao sistema de coordenadas de referência.
  • Rotação: Calculada via o ângulo entre os vetores das âncoras de referência e previstos.
  • Corte-e-Estiramento: Estimado via fatores de escala e pontos médios dos pares de âncoras.
  • Uma máscara de validade é gerada para excluir regiões perdidas durante o corte.
• Verificação e Identificação: O latente alinhado é comparado com os ruídos de referência específicos do usuário usando similaridade de cosseno mascarada.
  • Verificação: Determina se a imagem se originou do modelo protegido.
  • Identificação: Identifica o usuário específico encontrando a melhor chave correspondente no banco de dados.

Principais Contribuições

1. Framework de Duplo Âncora: Introdução de um framework de marca d'água de difusão que utiliza ruído inicial reproduzível específico do usuário e âncoras duplas codificadas ortogonalmente para restaurar a correspondência espacial latente sob ataques geométricos.
2. Sincronização Baseada em Aprendizado: Desenvolvimento de um pipeline de localização e sincronização que deriva parâmetros de transformação geométrica a partir de posições de âncoras previstas, permitindo o alinhamento espacial do ruído latente sem modificar o gerador.
3. Compatibilidade entre Modelos: Demonstração de que a rede de localização treinada em um modelo de difusão (SD 2.1) pode ser aplicada a outros modelos (SD 2.0, 1.5, 1.4) sem treinamento adicional.

Resultados Experimentais

Os autores avaliaram o DASMark contra baselines (Tree-Ring, RingID, WIND) utilizando Stable Diffusion 2.1 e vários cenários de ataque.

• Verificação de Modelo: O DASMark alcançou um AUC médio de verificação de 0,999 e um TPR@1%FPR de 0,998 em condições limpas e atacadas, superando os baselines, particularmente sob ataques de rotação e corte-e-estiramento.
• Identificação de Usuário:
  • Com 200.000 identidades candidatas, o DASMark alcançou uma precisão média de identificação de 99,7%.
  • Sob rotação, superou o WIND em 11,0 pontos percentuais.
  • Sob corte-e-estiramento, superou o WIND em 18,6 pontos percentuais.
  • O desempenho permaneceu estável conforme o espaço de chaves se expandia, enquanto a precisão do WIND degradou significativamente com espaços de chaves maiores sob ataques geométricos.
• Qualidade de Imagem: O método preservou a qualidade da imagem, alcançando um CLIP-Score (0,364) e FID (25,78) comparáveis ao baseline sem marca d'água e superior a métodos como RingID e WIND, que exibiram artefatos circulares visíveis.
• Eficiência Computacional: O DASMark demonstrou tempo de execução end-to-end e uso de memória GPU significativamente menores em comparação ao WIND. Para 200.000 chaves, o DASMark exigiu 0,975 segundos e 15,96 GB de memória, comparado aos 6,721 segundos e 22,84 GB do WIND. Dobrar o espaço de chaves aumentou o tempo de execução do DASMark em apenas 19,3%, contra 56,6% do WIND.

Significância e Alegações

O artigo afirma que o DASMark fornece uma solução robusta para a detecção ativa de deepfakes ao permitir a verificação confiável de modelos e a identificação escalável de usuários, mesmo quando as imagens sofrem distorções geométricas. Ao desacoplar o mecanismo de sincronização dos pesos do gerador e utilizar uma abordagem de duplo âncora, o método supera as limitações de métodos anteriores baseados em anéis ou de busca intensiva. Os autores afirmam que sua abordagem suporta a rastreabilidade de proveniência para serviços que controlam a geração de imagens, oferecendo um equilíbrio prático entre robustez, escalabilidade, qualidade de imagem e eficiência computacional.

Os autores observam modestamente que trabalhos futuros abordarão a sensibilidade a cortes agressivos e combinações de distorções geométricas com ajustes de brilho, bem como a extensão da sincronização para transformações mais complexas.