🤖 AI

DeMark: A Query-Free Black-Box Attack on Deepfake Watermarking Defenses

该论文介绍了 DeMark，一种无需查询的黑盒攻击框架，它利用编码器-解码器水印模型中的潜空间漏洞，在有效去除深度伪造（deepfake）水印的同时保持视觉质量，从而证明了现有水印防御及拟议对策的不足。

原作者： Wei Song, Zhenchang Xing, Liming Zhu, Yulei Sui, Jingling Xue

发布于 2026-01-26

📖 1 分钟阅读☕ 轻松阅读

原作者： Wei Song, Zhenchang Xing, Liming Zhu, Yulei Sui, Jingling Xue

原始论文根据 CC0 1.0（http://creativecommons.org/publicdomain/zero/1.0/）发布到公有领域。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

核心大意：隐形墨水问题

想象一个 AI 可以创造出看起来 100% 真实的照片和视频的世界。为了防止人们利用这些“深度伪造”（deepfakes）来传播谎言或冒充他人，科技公司正试图在它们上面盖上一个隐形墨水（数字水印）。

把这种隐形墨水想象成钞票上的隐藏序列号。如果你看到一张假钞，你可以通过检查序列号来证明它是假的。这些水印的目标是让检测器能够说：“这张图像是由 AI 生成的。”

然而，这篇论文的作者魏松（Wei Song）及其团队提出了一个可怕的问题：“如果有人找到了在不破坏图片的情况下洗掉这种隐形墨水的方法呢？”

他们开发了一个名为 DEMARK 的工具，旨在证明目前的这些隐形印记比我们想象的要容易去除得多。

DEMARK 是如何工作的：“压缩行李箱”类比

要理解 DEMARK 的工作原理，可以将 AI 生成的图像想象成一个复杂的行李箱，里面装了两样东西：

图像： 实际的照片（衣服、风景等）。
水印： 隐藏的序列号（隐形墨水）。

通常，这两者以特定的方式紧密打包在一起，以便检测器稍后能找到这些墨水。

DEMARK 使用了“压缩感知”（Compressive Sensing）的概念。以下是类比：

想象你有一个装满衣服（图像）和一张隐藏秘密纸条（水印）的行李箱。

旧方法（其他攻击手段）： 为了取走纸条，人们尝试剧烈地摇晃行李箱（失真），或者把行李箱熔化后重建（再生）。问题在于，剧烈摇晃会弄坏衣服，而熔化往往会让秘密纸条粘在新的织物里。
DEMARK 的方法： DEMARK 就像一位超级聪明的打包专家。它打开行李箱并说道：“我只需要让衣服看起来很完美就行了。我不需要多余的填充物或那张秘密纸条。”

它使用一种数学技巧来压缩行李箱的内容。它丢弃了打包过程中“冗余”的部分。因为水印隐藏在数据的“额外”或“密集”部分，丢弃这些冗余会在无意中（或有意地）使秘密纸条变得支离破碎。

结果是？这个行李箱现在变得更轻、更紧凑了。衣服（图像）在人类眼中看起来依然完美，但秘密纸条已被分散得如此稀薄，以至于检测器再也无法找到它。

DEMARK 的三个魔术技巧

论文解释说，DEMARK 通过三种特定的行动实现了这种“分散”效果，他们称之为分散效应（Dispersal Effect）：

稀疏性改变（“空货架”技巧）：
想象水印是一群站在房间里的人。DEMARK 把大多数人踢了出去，只留下一些零星散落的个体。检测器预期看到的是一群人；当它看到一个空荡荡的房间时，它就放弃了。
强度重新分布（“调暗”技巧）：
水印就像一束亮光。DEMARK 并没有关掉灯，而是将这束光能扩散到一个巨大的区域，使其变成微弱且难以察觉的光晕。光还在那里，但它太弱了，无法被看见。
位置重新分布（“移动家具”技巧）：
水印通常隐藏在特定位置（比如地毯下面）。DEMARK 移动了地毯和家具。检测器在原始位置寻找，却发现一无所获，于是便假设水印不存在。

结果：现实检验

团队针对目前正在使用的八种最先进的水印系统（包括来自 Google、Microsoft 和研究机构的系统）测试了 DEMARK。

使用 DEMARK 前： 检测器 100% 能找到水印。
使用 DEMARK 后： 检测器平均只能找到约 33% 的水印。
图像质量： 图片依然美丽自然，看起来并不模糊或有像素感。

代价： 论文还测试了三种试图阻止 DEMARK 的方法（例如增强水印强度或训练检测器进行反击）。不幸的是，这些防御措施效果都不理想。即使人们试图修复问题，DEMARK 仍然能够成功去除水印。

为什么这很重要（撇开专业术语）

论文得出结论，目前用于防范深度伪造的“隐形墨水”技术是非常脆弱的。这类技术依赖于将水印隐藏在特定的数学空间（潜空间/latent space）中，而 DEMARK 证明了你可以在不破坏图片的情况下轻松扰乱那个空间。

简而言之： 如果你依赖这些水印来分辨真实照片和伪造照片，这篇论文表明你可能会面临麻烦。这种“隐形墨水”可以用一个甚至不需要知道墨水是如何制造出来的工具（即“无查询/黑盒”攻击）来洗掉。

作者们并不是在说：“现在就去制作深度伪造吧。”他们是在说：“我们发现了一个安全围栏上的漏洞。在我们信任这些水印能保护社会安全之前，我们需要建造一个更好的围栏。”

技术摘要：DEMARK —— 一种针对深度伪造水印防御的无查询黑盒攻击

1. 问题陈述

由 Stable Diffusion 和 ChatGPT 等模型生成的逼真深度伪造（deepfakes）的快速激增，带来了紧迫的安全风险，使得用于归因和检测的防御性水印变得至关重要。目前的防御范式依赖于编码器-解码器架构，将不可见信号嵌入图像中，无论是生成后还是在生成过程中。这些方案假设水印具有本质上的抗移除性。然而，作者挑战了这一假设，指出现有的防御措施在面对高级对手时，其理解程度仍然不足。

先前的攻击方法面临显著的局限性：

失真攻击（Distortion Attacks）： 通常会引入可见的伪影并降低图像质量。
再生攻击（Regeneration Attacks）： 依赖于大型预训练生成模型（VAE 或扩散模型），这些模型保留了携带水印信息的潜在表示（latent representations），从而限制了其有效性。
对抗攻击（Adversarial Attacks）： 通常需要访问模型参数或进行大量的查询，这使得它们在现实世界的黑盒场景中难以实现。

目前存在一个关键空白，即需要一种无查询、黑盒式的攻击，能够在去除水印的同时，保持深度伪造图像所需的感知与结构真实感。

2. 方法论：DEMARK

作者提出了 DEMARK，这是一个利用编码器-解码器水印模型潜在空间漏洞的无查询黑盒攻击框架。其核心创新在于将**图像压缩感知（Image Compressive Sensing, ICS）**理论应用于深度学习领域。

核心设计原则

DEMARK 使用一个可学习的编码器-解码器架构取代了传统 ICS 中固定的测量矩阵和稀疏基。

稀疏编码： 一个基于 CNN 的编码器（ $T_{CNN}$ ）将带水印的图像转换为稀疏潜在表示（ $Z$ ）。该过程由**稀疏编码损失（ $L_{SEL}$ ）**引导，该损失定义为 $Z$ 的 $\ell_1$ 范数，强制大多数潜在元素趋向于零。
图像重建： 重建模块（ $R_{CNN}$ $R_{C N N}$ ）从稀疏表示中恢复图像。为了确保输出仍为令人信服的深度伪造图像，该模块使用**结构-感知损失（ $L_{SPL}$ $L_{S P L}$ ）**进行优化，该损失结合了：
- SSIM： 用于像素级的结构一致性。
- LPIPS： 用于特征级的感知对齐。

离散效应（The Dispersal Effect）

攻击通过在潜在空间中诱导“离散效应”来运作，该效应具有源自 ICS 理论的三个特性：

稀疏度变化（Sparsity Change, SC）： 减少显著系数的密度，将水印属性分散到更少的活跃位置。
强度重新分布（Intensity Redistribution, IR）： 通过更均匀地重新分布强度，稀释水印信号的能量。
位置重新分布（Positional Redistribution, PR）： 移动非零元素的位置，破坏水印模式与其原始潜在位置之间的对齐。

这些机制共同削弱了嵌入式水印的鲁棒性，且无需了解水印模型的知识，也无需能够查询检测器。

3. 主要贡献

本文做出了以下具体贡献：

首个无查询黑盒攻击： DEMARK 是第一个在不需要模型参数或查询访问的情况下，针对深度伪造防御性水印的框架。
理论联系： 它建立了图像压缩感知理论与深度伪造水印攻击之间的首次联系，通过稀疏度变化、强度重新分布和位置重新分布，将离散效应形式化。
广泛的有效性： 该攻击在 八种最先进的方案 上得到了验证，包括六种后处理方法（MBRS, CIN, TrustMark, PIMoG, VINE-B, VINE-R）和两种处理中方法（PTW, SS）。
高效性： 与现有的基于再生的攻击（RegenVAE 和 RegenDM）相比，DEMARK 展现了极高的实用性，将内存使用量降低了 2.2 倍至 14.9 倍，并将计算效率提高了 1.3 倍至 5.7 倍。
缓解评估： 作者评估了三种防御策略——图像超分辨率（ISR）、稀疏水印（SW）和对抗训练（AT）——并发现它们在应对 DEMARK 时基本无效。

4. 实验结果

评估在 OpenImage 和 COCO 数据集上针对上述八种水印方案进行。

攻击能力： 在所有方案中，DEMARK 将平均水印检测准确率（DetectAcc）从 100% 降低到了 32.9%。它在降低比特准确率（Bit Accuracy）和检测准确率方面显著优于基准攻击（失真攻击、RegenVAE、RegenDM）。
- 示例： 对于后处理方案，与失真攻击相比，DEMARK 平均降低了 54.4% 的 DetectAcc；与 RegenVAE 相比降低了 9.9%；与 RegenDM 相比降低了 51.0%。
图像完整性： 尽管进行了激进的水印去除，DEMARK 仍保持了较高的视觉质量。其在 PSNR、SSIM、FID 和 LPIPS 方面的表现与 RegenVAE 相当甚至更好，且明显优于失真攻击和 RegenDM。
- 示例： DEMARK 实现了平均 28.45 的 PSNR 和 0.85 的 SSIM，保留了适合深度伪造的自然视觉外观。
缓解鲁棒性：
- 图像超分辨率 (ISR)： 令惊讶的是，在攻击后应用 ISR 反而放大了 DEMARK 的影响，进一步降低了检测准确率（例如，平均从 29.7% 降至 12.1%）。
- 稀疏水印 (SW) 与对抗训练 (AT)： 这些策略仅提供了有限的改进（将平均检测准确率从约 25% 提升至 36%），但未能抵消 DEMARK，后者仍然优于其他攻击。

5. 重要性与主张

论文得出结论，当前的编码器-解码器水印方案在潜在空间操作面前仍然高度脆弱。DEMARK 的意义在于它证明了：

潜在空间是一个关键的攻击面： 利用潜在表示进行嵌入水印的做法产生了一个结构性弱点，可以通过稀疏化被利用。
现有防御措施不足： 标准的缓解策略（如超分辨率、稀疏训练和对抗训练）无法针对此类攻击提供稳健的保护。
需要重新设计： 这些结果强调了对更鲁棒的水印方法进行设计的紧迫性，表明未来的防御必须超越简单的编码器-解码器范式，或者结合多层级的潜在特征编码和自适应冗余分布。

作者强调，其工作的目的是识别安全风险以促进更具韧性的生成式 AI 水印技术的发展，而非促进恶意滥用。