Low-Compute Watermark Removal via Dual-Domain Natural Projection

技术摘要：通过双域自然投影实现低计算量水印移除

问题陈述
生成式模型（如扩散模型、GAN）的普及使得鲁棒的数字水印成为确保内容来源的必要手段。然而， adversaries 试图移除这些水印以逃避追踪。现有的移除策略在三个相互竞争的目标之间面临根本性权衡：高移除成功率、低感知失真和低计算成本。当前的单图像攻击通常针对前两个目标进行优化，但依赖于昂贵、多步的迭代优化（例如潜在空间优化或使用代理模型进行再生），这使得它们在资源受限的实时场景中不切实际。此外，许多现有方法无法对抗语义水印（如 TREE-RING、ZODIAC），这些水印将信号嵌入潜在空间或高维频域空间，而非简单的像素扰动。本文研究了在严格的“无黑盒”、单图像威胁模型下移除多种水印类型的可行性，其中 adversaries 无法访问生成器、水印密钥或辅助样本，且计算资源有限。

方法论：DAWN
作者提出了 DAWN（双域对抗水印消除器），这是一个轻量级、无需训练的攻击框架，专为低计算量环境设计。DAWN 通过一个三阶段流水线运行，将带水印的图像投影到互补域中的自然图像先验上：

1. 频域重建（步骤 1）：

   • 机制： 将输入带水印的图像转换为 8×8 块离散余弦变换（DCT）表示。一个轻量级、预训练的频域 UNet（离线在干净自然图像上训练）处理这些系数，以衰减具有水印信号特征的结构性频谱伪影。
   • 原理： 即使是语义水印方案，也往往在中高频段引入结构性偏差，违反自然图像的 $1/f^\alpha$ 频谱衰减特性。此步骤将图像投影回自然图像流形，无需迭代优化即可抑制这些异常。
   • 训练： 该 UNet 使用 $\ell_1$ 重建目标在干净图像上离线训练一次，并在特定频段注入合成结构化噪声。训练过程中未使用任何带水印的数据。

2. 语义细化（步骤 2）：

   • 机制： 将频域重建的输出输入到预训练的 Stable Diffusion v2 img2img 模型（权重冻结）中，进行约 50 步处理。
   • 原理： 虽然频域重建抑制了频谱异常，但可能会破坏精细纹理或引入伪影。此步骤利用扩散模型学习到的语义先验，恢复全局连贯性、物体边界和高层结构，进一步侵蚀与语义内容对齐的水印信号。

3. 感知对齐（可选步骤 3）：

   • 机制： 一个轻量级后处理步骤（例如通道级均值 - 方差匹配或风格迁移），使受攻击图像的色调和颜色统计特性与原始带水印输入对齐。
   • 原理： 激进的抑制可能导致色调或色度偏移。此步骤确保下游使用的视觉一致性。关键在于，作者将此步骤与攻击的成功解耦；它提高了视觉保真度，但不贡献于水印抑制。

主要贡献

• 根本性权衡的识别： 本文证明，没有任何当前的单图像攻击能同时实现高移除成功率、低失真和低计算成本。
• DAWN 框架： 一种新颖的、无需训练的、单次攻击方法，仅通过固定网络的推理传递，即可在像素、频域和潜在空间水印方案（包括 TREE-RING、ZODIAC 和 RIVAGAN）上实现具有竞争力的移除性能。
• 双域洞察： 该工作确立了将频域投影（抑制结构性频谱伪影）与语义细化（恢复连贯性）相结合，比仅基于像素的再生或纯基于优化的攻击在移除语义水印方面更为有效。
• 威胁模型现实性： 该方法在现实的对抗设置下运行（单图像、无模型访问、计算受限），与假设可访问多个样本或代理模型的先前工作形成对比。

结果

• 有效性： DAWN 对经典像素/频域方法（如 DWTDCT、RIVAGAN）的移除成功率超过 95%，对语义方案（如 TREE-RING 上为 70%，ZODIAC 上为 92%）的成功率为 60–90%。
• 效率： DAWN 所需的浮点运算次数（FLOPs）显著少于基于优化的基线方法（如 imprint-removal），仅需一次 UNet 前向传递和 50 步扩散推理。
• 保真度： 虽然 DAWN 引入了一些感知失真（与高保真优化攻击相比 PSNR/SSIM 较低），但它有效地保留了结构和语义信息。基于亮度的指标（SSIM$_{lum}$、CLIP$_{lum}$）保持在 0.99 附近，表明偏差主要是色度性的而非结构性的。
• 消融实验： 移除频域重建步骤会导致攻击成功率崩溃至接近零，证实频谱投影是削弱水印的主要驱动力。语义细化稳定了结构，但在移除方面次于频域步骤。

意义与主张
本文声称，DAWN 揭示了当前生成式水印方案中的基本结构规律，证明了嵌入在频域或潜在空间中的信号可以通过将图像投影回自然图像先验来中和，而无需访问模型参数。作者将这项工作定位为社区审计和基准测试现有来源机制鲁棒性的工具。他们指出，结果突显了未来水印设计需要跨多个频谱和语义层次嵌入信号，或结合加密认证以抵御频域投影攻击。作者明确指出，DAWN 不提供新的生成能力，仅作用于已生成的图像，强调其作用在于理解漏洞，而非协助恶意地绕过归属追踪。