⚡ electrical engineering

ALIEN: Analytic Latent Watermarking for Controllable Generation

该论文介绍了 ALIEN，这是一个针对潜在扩散模型的分析型水印框架，它通过一种新型的时间依赖调制系数取代了计算密集型的启发式优化，从而实现了可控、鲁棒且高保真度的水印嵌入，在质量和鲁棒性方面均显著优于现有最先进的方法。

原作者： Liangqi Lei, Keke Gai, Jing Yu, Qi Wu

发布于 2026-02-09

📖 1 分钟阅读☕ 轻松阅读

原作者： Liangqi Lei, Keke Gai, Jing Yu, Qi Wu

原始论文根据 CC0 1.0（http://creativecommons.org/publicdomain/zero/1.0/）发布到公有领域。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你是一位艺术家，你使用一把神奇的、由人工智能驱动的画笔来创作精美的画作。你想要保护你的作品，这样如果有人试图将其据为己有，或者在未经许可的情况下使用它，就会有一个无可辩驳的证据证明它出自你之手。这个证据被称为水印（watermark）。

长期以来，在 AI 生成的图像中添加水印就像是在画作中隐藏秘密信息一样困难，通常有以下几种方式：

在开始绘画前修改画布： 这往往会破坏画作或导致颜色看起来很奇怪（低质量）。
试图猜测完美的隐藏位置： 你必须不断地绘画、擦除、再绘画，成千上万次地寻找一个既能隐藏信息又让画面看起来依然美观的位置。这非常耗时，而且有时即便如此也无法成功。
将画布锁定在特定的框内： 这迫使艺术家只能以非常狭窄的方式进行创作，限制了他们的创造力和生成的图像多样性。

新的解决方案：ALIEN

这篇论文介绍了一种名为 ALIEN（用于可控生成的分析潜空间水印，Analytic Latent Watermarking for Controllable Generation）的新方法。ALIEN 不再是通过猜测或强加限制于艺术家，而是使用一个精确的数学“GPS”来引导绘画过程。

以下是它的工作原理，使用一个简单的类比：

旧方法的缺陷

把 AI 图像生成器想象成一个雕塑家，正在将一块大理石雕刻成雕像。

旧方法 1（初始修改）： 试图在雕塑家开始工作之前，就把秘密信息刻进原始的大理石块中。但雕塑家稍后会改变形状，导致信息变得扭曲或丢失。
旧方法 2（迭代优化）： 雕塑家不停地雕刻，检查信息，再雕刻，再检查。这需要耗费巨大的时间和精力，而且他们可能会陷入一个无法找到完美位置的死循环。
旧方法 3（采样约束）： 强迫雕塑家只能使用特定的工具，或者只能朝特定的方向进行雕刻。这限制了他们能制作出的雕像种类。

ALIEN 的方法：“时空旅行向导”

ALIEN 改变了游戏规则。它不再是去干扰原始的大理石，也不再让雕塑家去瞎猜，而是像一个聪明的向导，在雕塑家雕刻的过程中，在耳边低声传达指令。

秘密代码： 首先，ALIEN 创建一个微小的、不可见的“残差”（residual）（即一个代表你水印的秘密代码）。
数学 GPS： 该论文最大的突破在于一个新的数学公式。它能够精确计算出雕塑家在每一个步骤中需要如何调整其凿子，以确保最终的雕像中包含这个秘密代码。
无需猜测： 因为数学计算是精确的，雕塑家不需要经历尝试、失败、再尝试的过程。他们只需完美地遵循向导的指示即可。
适用于任何风格： 无论雕塑家使用的是缓慢细致的方法还是快速狂放的方法（不同的“采样器”），向导都会调整指令，以确保秘密代码最终都能呈现在图像中。

为什么这很重要（根据论文所述）

它是隐形的： 论文声称，带有水印的图像与原始未加水印的图像一样精美。这个“向导”是如此精准，以至于从人类视觉角度看，雕像与原版并无二致。
它很快： 因为它不需要进行成千上万次的尝试（迭代），所以几乎不会增加创建图像的额外时间。它的速度与原始 AI 一样快。
它不可被“重做”破坏： 如果有人试图恶意对待这座雕像，将其熔化并尝试用不同的雕刻风格制作一个没有水印的新雕像，旧方法会失效。但由于 ALIEN 的水印已经深深植入到雕像构建的物理机制之中，即使图像被重新生成或使用不同工具处理，水印依然能够幸存。
它具有灵活性： 无论使用哪种特定的 AI 模型或“雕刻风格”（采样器），它都能正常工作。

结果

作者将 ALIEN 与现有的最佳方法进行了对比测试。他们发现：

质量： 与其他水印技术生成的图像相比，ALIEN 生成的图像明显更加清晰、更加逼真。
可靠性： 即使在图像受到攻击或被重新生成的情况下，水印也能在几乎所有场景下被正确检测出来。
效率： 它比那些需要大量计算能力来“猜测”正确水印的方法要快得多。

简而言之，ALIEN 就像是给 AI 艺术家一支神奇的、隐形的笔，在画作绘制的过程中，将你的名字写进画里，确保这个签名既完美、又快速，且无论后续如何处理图像，都无法被抹去。

技术摘要：ALIEN —— 用于可控生成的分析型潜空间水印 (Analytic Latent Watermarking for Controllable Generation)

1. 问题陈述

文本生成图像扩散模型（如 Stable Diffusion, DALL·E）的快速发展，使得对于知识产权保护和滥用追踪的鲁棒机制变得至关重要。尽管政府和监管机构日益要求强制执行水印技术，但现有的针对潜扩散模型（LDMs）的解决方案在**保真度（Fidelity）、效率（Efficiency）和可控性（Controllability）**方面存在关键局限性：

后处理方法（如 StegaStamp）在实际检测场景中缺乏足够的鲁棒性。
初始潜空间修改方法（如 Tree-Ring）依赖于对初始噪声的直接扰动，由于潜空间与最终图像之间存在复杂的非线性映射，这往往会导致语义漂移。
约束采样方法（如 Gaussian Shading）迫使用户从特定的子空间进行采样，严重限制了生成的多样性和可控性。
基于优化的方法（如 ROBIN, ZoDiac）依赖于计算密集型的启发式优化来迭代细化潜变量。这导致了高昂的训练开销、易陷入局部最优以及显著的推理延迟。
采样器依赖性：许多语义水印方案依赖于扩散反转（Diffusion Inversion），这使得它们在面对不可逆采样器（如 Euler Ancestral, DPM++ SDE）时失效，攻击者可以利用这一点来移除水印。

识别出的核心问题是：缺乏一种能够直接从扩散模型的生成原理中导出水印嵌入的精确且高效的机制，导致现有方法不得不依赖于会损害性能的启发式算法或约束条件。

2. 方法论：ALIEN 框架

作者提出了 ALIEN（Analytic Latent Watermarking for Controllable Generation），该框架通过原则性的、分析性的水印嵌入推导取代了启发式优化。该框架由两个主要阶段组成：

A. 不可感知的潜空间水印生成

为了生成鲁棒且隐形的水印，ALIEN 采用了秘密编码器 ( $E_s$ ) 和解码器 ( $D_s$ )。

该系统并非将水印条件化于特定的输入潜变量 $z_0$ （因为在中间扩散步骤中 $z_0$ 是不可获取的），而是生成一个与覆盖物无关的水印残差 $\delta_w = E_s(m)$ 。
该残差被添加到输入潜变量中： $z_w = z_0 + \delta_w$ 。
系统经过训练，以最小化用于消息提取准确性的二元交叉熵损失（Binary Cross-Entropy loss）以及重建图像与水印图像之间的感知损失（LPIPS, MSE），从而在不补偿固有 VAE 重建误差的情况下确保视觉一致性。

B. 分析型 SDE 反向漂移校正

这是核心创新点。ALIEN 不再优化潜变量，而是通过解析方式推导出实现水印约束所需的扩散过程校正。

理论基础：该方法利用了控制反向扩散过程的方差保持随机微分方程（VP-SDE）。
解析推导：作者推导出了一个随时间变化的调制系数，将目标水印残差转化为对噪声预测的精确校正项。
- 通过分析分数函数（Score Function）与去噪估计值之间的关系，他们确定了满足 $z_0$ 约束（ $\hat{z}_{wm}^0 = \hat{z}_{orig}^0 + \delta_{wm}$ ）所需的反向漂移项（ $\Delta F_{rev}$ ）的精确偏移量。
- 这产生了一个补偿信号 $\Delta \epsilon_{wm}$ ，在每一步中注入到 U-Net 的噪声预测中：
  $\Delta \epsilon_{wm} = -\frac{\sqrt{\bar{\alpha}_t}}{\sqrt{1 - \bar{\alpha}_t}} \delta_{wm}$
实现：校正过程在去噪步骤期间应用。注入强度和时间步范围是可调的，从而支持两种配置：
- ALIEN-Q (质量导向型)：针对高视觉保真度进行了优化。
- ALIEN-R (鲁棒性导向型)：针对抗攻击性和稳定性进行了优化。

3. 主要贡献

论文概述了三项主要贡献：

首次解析推导：作者提出了首个用于水印传播的随时间变化的调制系数的解析推导。这消除了对迭代、计算昂贵的启发式优化的需求。
采样器无关性：通过直接校正概率流（Probability Flow）中的噪声预测目标，该方法与具体的采样路径无关。它能有效运行于随机采样器和不可逆采样器，解决了现有语义水印的一个重大漏洞。
理论可控性：该框架通过利用精确的理论补偿来满足水印信号，而非依赖于僵化的约束或事后优化，从而确保了语义一致性和视觉保真度。

4. 实验结果

作者在 Stable Diffusion v1.5 和 v2.1 上，将 ALIEN 与最先进的基准方法（包括 Tree-Ring, Gaussian Shading, ROBIN, ZoDiac, Stable Signature, 和 StegaStamp）进行了评估。

视觉保真度：ALIEN-Q 实现了最先进的不可感知性，在五项质量指标上超越了最佳基准方法 33.1%。它达到了 32.41 dB 的 PSNR 和 0.003 的 DreamSim 分数，保持了与无水印输出相当的图像质量。
鲁棒性：在 15 种不同的条件下，ALIEN-R 在面对生成变体和稳定性威胁时，比现有最先进技术提升了 14.0% 的鲁棒性。在其他方法（如 Tree-Ring）完全失效的不可逆采样器（Euler a, DPM++ SDE）面前，它依然保持了极高的检测置信度（>0.999）。
效率：ALIEN 的额外开销微乎其微。每张图像的嵌入耗时仅为 0.079 秒，提取耗时为 0.023 秒。这比像 ZoDiac 这样基于优化的方法（122+ 秒）快了几个数量级。
抗攻击能力：
- 重构攻击：即使经过四轮再生，ALIEN-R 仍能维持高检测置信度（>0.875），而竞争对手的置信度则降至接近于零。
- 伪造攻击：该方法在应对印记（Imprinting）和平均伪造（Average Forgery）攻击时表现出卓越的抵抗力，在基准方法容易被伪造的情况下，仍能保持较低的置信水平。

5. 重要性与主张

论文声称，ALIEN 通过从基于启发式的、基于约束的或重度优化的方法转向一种原则性的、分析性的框架，实现了潜空间水印的范式转变。

解决反转漏洞：通过不依赖于扩散反转，ALIEN 填补了被不可逆采样器利用的安全漏洞，确保无论使用何种生成调度器，水印都保持可检测性。
平衡权衡：该框架成功地解耦了传统的鲁棒性、保真度与效率之间的权衡。它在无需迭代优化带来的计算成本或约束采样带来的多样性损失的情况下，实现了高鲁棒性。
未来展望：作者将 ALIEN 定位为迈向更安全生成式 AI 的基础性步骤，能够缓解版权侵犯和恶意滥用。他们指出，未来的工作将集中在开发内容感知型潜空间水印，以进一步增强安全性。

论文总结道，通过直接从扩散模型的生成原理中推导水印嵌入机制，ALIEN 为 AI 生成内容的溯源追踪提供了一个可扩展、高效且具有理论完备性的解决方案。