🤖 machine learning

Shallow Diffuse: Robust and Invisible Watermarking through Low-Dimensional Subspaces in Diffusion Models

本文提出了一种名为 Shallow Diffuse 的新型水印技术，通过利用图像生成过程中的低维子空间特性将水印嵌入与生成过程解耦，从而在扩散模型输出中实现了兼具高鲁棒性、不可见性和一致性的水印嵌入，其性能优于现有方法。

原作者： Wenda Li, Huijie Zhang, Qing Qu

发布于 2026-02-13

📖 1 分钟阅读☕ 轻松阅读

原作者： Wenda Li, Huijie Zhang, Qing Qu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 Shallow Diffuse（浅层扩散） 的新兴技术，旨在解决人工智能生成图片（AI 绘画）带来的版权和虚假信息问题。

为了让你轻松理解，我们可以把 AI 生成图片的过程想象成**“在一张白纸上作画”，而水印就是“画家留下的隐形签名”**。

1. 核心问题：以前的“签名”为什么不好用？

在 Shallow Diffuse 出现之前，给 AI 图片加水印主要有两种笨办法：

方法 A（传统水印）： 就像在画好的油画上直接盖一个半透明的印章。
- 缺点： 容易被擦掉（比如图片被模糊处理、压缩后，印章就看不清了），而且有时候印章太明显，破坏了画的美感。
方法 B（早期 AI 水印，如 Tree-Ring）： 就像在画家开始动笔前，先往颜料桶里混入一种特殊的“魔法粉末”。
- 缺点： 这种粉末会改变颜料的性质，导致画出来的画和原本想画的有点不一样（比如颜色偏了、细节模糊了）。而且，只有知道“魔法粉末”配方的人（服务器端）才能用，普通用户拿到画后没法自己加这个水印。

现在的痛点是： 我们既想要水印极其坚固（怎么折腾都删不掉），又想要它完全隐形（不影响画质），还要谁都能用（不管是 AI 生成时加，还是用户拿到画后加）。

2. Shallow Diffuse 的绝妙创意：利用“低维子空间”

这篇论文提出了一个非常聪明的物理/数学概念：低维子空间（Low-Dim Subspace）。

🎨 创意比喻：拥挤的“主舞台”与空旷的“后台”

想象 AI 画画的整个过程是在一个巨大的**“主舞台”**上进行的：

主舞台（高维空间）： 这里非常拥挤，充满了各种复杂的线条、色彩和细节。AI 在这里努力地把画“画”出来。如果在这里强行塞进一个水印，就像在拥挤的早高峰地铁里硬塞进一个大箱子，肯定会把别人挤歪（导致画质下降，也就是“一致性”变差）。
后台（低维子空间）： 论文发现，AI 在画画时，其实大部分精力都集中在主舞台的一个狭窄的通道里。在这个通道之外，有一个巨大的**“后台区域”（数学上称为“零空间”或 Null Space）。这个区域虽然属于整个舞台的一部分，但AI 的画笔根本碰不到它**，AI 在这里是“瞎”的。

Shallow Diffuse 的做法就是：
它不往拥挤的“主舞台”塞水印，而是把水印悄悄藏进那个**AI 碰不到的“后台”**里。

为什么这样好？
1. 互不干扰（一致性）： 因为水印藏在 AI 看不见的地方，AI 画画时完全感觉不到它的存在，所以画出来的图原汁原味，画质几乎不下降。
2. 坚不可摧（鲁棒性）： 即使有人把画拿去模糊、压缩、裁剪（攻击），只要没把整张图撕碎，那个藏在“后台”的水印依然完好无损，因为 AI 在画画过程中从未动过那里。
3. 随时可加（灵活性）：
  - 服务器端： AI 在画画时，顺手把水印扔进“后台”。
  - 用户端： 用户拿到画后，利用一种“逆向魔法”（DDIM Inversion），把画暂时“倒带”回那个“后台”状态，把水印加进去，再“正带”回来。因为水印本来就在 AI 不碰的地方，所以加进去也不会破坏画面。

3. 具体怎么操作？（简单三步走）

选对时机（浅层）： 论文发现，在 AI 画画的中间阶段（既不是刚开始的一团乱麻，也不是最后定稿的瞬间），那个“后台区域”最宽敞、最安全。作者把这个时间点选在总过程的 30% 左右（所以叫 Shallow，浅层）。
高频藏身： 水印被设计成高频信号（就像画布上极细微的噪点或纹理），藏在图片的高频区域。人眼对高频细节不敏感，所以看不见；但 AI 的“画笔”在生成主要轮廓时，主要关注低频（大色块），所以也忽略它。
检测水印： 想要验证图片是不是 AI 画的？把图片“倒带”回那个中间时刻，看看“后台”里有没有藏着我们预设的“魔法密码”。如果有，就是 AI 生成的；如果没有，就是真人的。

4. 为什么它比以前的方法强？

对比 Tree-Ring（树环水印）： 以前的方法像是在画画的一开始就混入水印，导致整幅画的结构都变了（画质差）。Shallow Diffuse 像是在画画中途，趁 AI 不注意，把水印塞进它够不着的角落，画完还是原来的画。
对比传统水印： 以前的水印容易被擦掉。Shallow Diffuse 的水印是长在 AI 的“基因”里的，只要 AI 生成的逻辑没变，水印就删不掉。

5. 总结：它意味着什么？

Shallow Diffuse 就像是给 AI 生成内容装上了一个**“隐形且防篡改的防伪标签”**。

对普通人： 你看到的图片依然清晰、漂亮，完全感觉不到水印的存在。
对创作者： 你的版权得到了保护，别人用 AI 模仿你的风格，你也能通过水印认出来。
对社会： 有助于识别假新闻和 AI 生成的虚假图片，防止“模型崩溃”（AI 只学 AI 生成的垃圾数据，导致越来越傻）。

一句话总结：
以前的水印是“硬塞”进画里，容易把画弄坏；Shallow Diffuse 是“巧妙”地利用 AI 画画的盲区，把水印藏在 AI 看不见的“后台”，既保证了画的美观，又让水印坚不可摧，而且谁都能用。

1. 研究背景与问题 (Problem)

随着扩散模型（Diffusion Models）在生成式 AI 领域的广泛应用（如 Stable Diffusion, DALL-E 3, Sora 等），AI 生成内容（AIGC）引发了严重的虚假信息传播和版权侵权担忧。数字水印是识别 AIGC 内容并防止其滥用的关键技术。

现有的水印方法主要面临以下挑战：

场景局限性：传统方法多针对“用户场景”（后处理嵌入），易受攻击；新兴的扩散模型水印方法（如 Tree-Ring, RingID）多针对“服务器场景”（生成时嵌入），依赖初始随机种子，难以直接应用于用户场景。
一致性与鲁棒性的权衡：现有服务器端水印方法（如 Tree-Ring, RingID）通常将水印嵌入初始噪声或整个采样过程，这严重扭曲了原始的高斯噪声分布，导致生成的图像质量下降（一致性差），且难以在用户侧进行后处理嵌入。
缺乏理论保障：大多数方法缺乏关于水印不可感知性（Consistency）和可检测性（Detectability）的严格理论证明。

核心问题：是否存在一种既适用于服务器端也适用于用户端，同时具备高鲁棒性、高图像一致性（不可感知）且有理论保证的水印方法？

2. 方法论 (Methodology)

作者提出了 Shallow Diffuse，一种基于扩散模型低维子空间（Low-Dimensional Subspace）特性的新型水印技术。其核心思想是解耦水印嵌入与图像生成过程。

2.1 核心洞察：低维子空间与零空间

扩散模型在去噪过程中，后验均值预测器（Posterior Mean Predictor, PMP, 记为 $f_{\theta, t}$ ）表现出两个关键性质：

局部线性：在特定时间步 $t$ ，PMP 近似为线性映射。
雅可比矩阵低秩：PMP 的雅可比矩阵 $J_{\theta, t}$ 在中间时间步（如 $t \in [0.2T, 0.7T]$ ）具有极低的秩（Rank），意味着图像数据流形位于一个低维子空间中。

Shallow Diffuse 的策略：

利用低秩性质，将水印信号 $\lambda \Delta x$ 设计为大部分位于该低维子空间的**零空间（Null Space）**中。
由于 $J_{\theta, t} \cdot \Delta x \approx 0$ ，水印的加入不会显著改变 PMP 对原始图像 $x_0$ 的预测，从而保证了生成图像的一致性。
同时，水印信号被保留在 DDIM 采样过程的第二项（噪声项）中，使其在后续检测时依然可被提取。

2.2 具体流程

该方法支持两种场景：

服务器场景（Server Scenario）：
- 给定初始噪声 $x_T$ 和提示词 $c$ 。
- 通过 CFG 采样到特定时间步 $t^*$ （通常选 $0.3T$ ）。
- 在 $x_{t^*}$ 上直接注入水印 $\lambda \Delta x$ 。
- 继续采样得到最终图像 $x_0^W$ 。
用户场景（User Scenario）：
- 给定已生成的图像 $x_0$ 。
- 使用 DDIM Inversion 将图像逆向映射回时间步 $t^*$ ，得到 $x_{t^*}$ 。
- 在 $x_{t^*}$ 上注入水印。
- 再次正向采样得到带水印的图像。

2.3 水印设计与检测

频域嵌入：为了增强鲁棒性，水印在频域（DFT）中嵌入。
高频策略：与以往方法修改低频不同，Shallow Diffuse 将水印嵌入高频区域（对应图像细节，能量较低），进一步减少视觉失真。
掩码与密钥：使用圆形掩码 $M$ 和环形高斯分布密钥 $W$ 。
检测：通过 DDIM Inversion 将图像还原至 $t^*$ ，计算水印密钥与图像频域特征的匹配度（p-value）。

3. 主要贡献 (Key Contributions)

双场景通用性：Shallow Diffuse 是首个无需重新训练模型，即可同时无缝应用于服务器端生成和用户端后处理的鲁棒水印方法。
解耦机制：通过利用低维子空间的零空间特性，成功将水印嵌入与图像生成过程解耦。这解决了传统方法因扭曲噪声分布而导致图像质量下降的问题。
理论保证：
- 定理 1 (一致性)：证明了在低秩假设下，水印注入引起的图像预测误差上界仅依赖于雅可比矩阵的秩 $r_t$ （远小于维度 $d$ ），而非环境维度。
- 定理 2 (可检测性)：证明了在 DDIM 逆采样后，水印信号依然可以被高概率恢复和检测。
无需训练 (Training-free)：不需要对扩散模型进行微调或对抗优化，计算成本低，易于部署。

4. 实验结果 (Results)

作者在 Stable Diffusion 2-1 及 FLUX 等模型上进行了广泛实验，对比了 Tree-Ring, RingID, Gaussian Shading, Stable Signature 等 SOTA 方法。

图像一致性 (Consistency)：
- 在服务器和用户场景中，Shallow Diffuse 的 PSNR、SSIM 和 LPIPS 指标均显著优于其他扩散模型水印方法。
- 例如，在服务器场景中，其 PSNR 达到 35.49，远高于 RingID (14.27) 和 Tree-Ring (16.61)，表明生成的图像几乎与无水印图像无异。
鲁棒性 (Robustness)：
- 在 15 种攻击（包括 JPEG 压缩、高斯模糊、去噪扩散纯化、重生成攻击、对抗攻击等）下，Shallow Diffuse 保持了极高的检测率（TPR@1%FPR）。
- 在服务器场景下，其平均鲁棒性达到 0.93，与最强的 Gaussian Shading 和 RingID 相当，但远优于其他方法。
- 在用户场景下，其鲁棒性同样表现优异，且是唯一能兼顾高一致性和高鲁棒性的方法。
多密钥支持：实验表明该方法支持多用户多密钥水印（Multi-key Watermarking），在 32 个密钥下仍保持较好的鲁棒性。
泛化性：方法成功迁移到了基于 Transformer 架构的 FLUX 模型，证明了其架构无关性。

5. 意义与影响 (Significance)

解决 AIGC 信任危机：提供了一种实用、高效且不可感知的方案，用于追踪 AI 生成内容的来源，有助于打击虚假信息和版权侵权。
平衡性能与质量：打破了以往“高鲁棒性必然牺牲图像质量”或“仅适用于特定场景”的僵局，实现了鲁棒性、一致性和灵活性的统一。
理论指导实践：将扩散模型的低维流形假设转化为实际的水印算法，为理解生成模型内部机制提供了新的视角（利用零空间进行信息隐藏）。
部署友好：由于无需训练且兼容现有模型，该方法极易被集成到现有的 AIGC 平台中，具有极高的落地潜力。

总结：Shallow Diffuse 通过巧妙利用扩散模型生成过程中的低维子空间特性，实现了一种“浅层”但极其“鲁棒”的水印嵌入机制，是目前该领域在一致性、鲁棒性和通用性方面表现最优异的方法之一。