💻 computer science

Proof-of-Authorship for Diffusion-based AI Generated Content

该论文提出了一种基于扩散模型生成随机种子与作者身份绑定的无密钥“作者身份证明”框架，通过概率裁决机制有效解决了传统水印和时间戳在 AI 生成内容确权中的局限性，确保只有真正的创作者才能合法主张作品所有权。

原作者： De Zhang Lee, Han Fang, Ee-Chien Chang

发布于 2026-03-19

📖 1 分钟阅读☕ 轻松阅读

原作者： De Zhang Lee, Han Fang, Ee-Chien Chang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文提出了一种给 AI 生成的图片“上户口”的新方法，叫做**“作者身份证明”（Proof-of-Authorship）**。

为了让你轻松理解，我们可以把 AI 画图的过程想象成**“在魔法森林里种树”，而这篇论文就是给这些树颁发“不可伪造的出生证明”**。

1. 背景：AI 画画的“混乱”与旧方法的失效

现状：
现在的 AI（比如 Stable Diffusion）非常厉害，你给它一句话（提示词），它就能画出一张精美的图。但是，如果两个人都画了类似的图，或者有人把图拿去改了改，怎么证明“这张图到底是谁画的”？

旧方法（像“贴标签”或“按手印”）：
以前大家用两种方法：

时间戳（Time-stamping）： 就像谁先跑到邮局盖个章，谁就是原作者。但这有个漏洞：坏人可以把别人的图抢过来，自己先去邮局盖章，假装是自己画的。
数字水印（Watermarking）： 就像在画里藏一个只有作者知道的“隐形记号”。但这也有问题：
- 坏人可以想办法把这个记号擦掉（去除攻击）。
- 或者坏人也能伪造一个记号，导致“公说公有理，婆说婆有理”（模糊攻击）。
- 而且，为了藏这个记号，作者必须把这个“记号密码”死死藏在心里，一旦泄露就完了。

2. 新方案：利用“种子”作为出生证明

这篇论文的核心思想是：既然 AI 画画需要一颗“种子”（Seed），那我们就把“种子”和作者的身份绑定在一起，不需要藏秘密。

核心比喻：魔法森林的“种子”

想象 AI 画图的原理是这样的：

种子（Seed）： 就像一颗神奇的种子。
土壤（模型）： 就像 AI 模型（比如 Stable Diffusion）。
生长过程： 把种子种进土壤，经过一系列复杂的生长步骤（去噪），最后长成一棵树（图片）。

关键点： 如果你用完全相同的种子、土壤和说明书，长出来的树（图片）几乎是一模一样的。如果你换了一颗种子，长出来的树就完全不同。

作者是怎么做的？（“出生证明”的生成）

绑定身份： 作者不想藏秘密，但他想证明“这棵树是我种的”。于是，他把自己的名字（ID）、画图的指令（提示词）、用的模型版本，全部扔进一个**“魔法搅拌机”（密码学伪随机函数 PRF）**。
生成专属种子： 这个搅拌机吐出了一个独一无二的数字种子。
- 比喻： 这就像是用你的指纹、你的生日和今天的日期，混合搅拌后，生成了一把专属的钥匙。
种树： 作者用这把“专属钥匙”去种树（生成图片）。
公开信息： 作者把“我是谁”、“用了什么指令”、“这把钥匙的生成规则”全部公开。不需要保密！

怎么验证？（“亲子鉴定”）

当有人（比如法官或鉴定员）看到一张图，怀疑是作者画的，但作者声称“这是我画的”，验证过程如下：

重新种树： 鉴定员拿到作者的公开信息（名字、指令、规则），用同样的“魔法搅拌机”重新算出那个专属种子。
再次生长： 用这个种子，在同样的 AI 模型里再种一次树。
比对：
- 如果长出来的树（生成的图）和那张“争议图”长得非常像（在数学上高度相似），那就说明：这张图确实是用这个种子种出来的。
- 如果长出来的树和争议图完全不同，那就说明作者撒谎了。

3. 为什么这个方法很厉害？（三大优势）

优势一：不需要“藏秘密”（无密钥）

旧方法： 像藏宝图，必须把藏宝地点（水印密钥）藏好，一旦泄露，别人就能伪造。
新方法： 像身份证。身份证是公开的，但只有你本人知道怎么生成这个身份证号（通过你的生物特征）。坏人即使知道你的 ID 和规则，也无法算出你的“专属种子”，因为那个“魔法搅拌机”（PRF）太复杂，算不出来。

优势二：概率上的“铁证”

论文里说，如果坏人想蒙混过关，他必须随机猜一个种子，种出一棵和作者那棵长得一模一样的树。
比喻： 这就像让一个瞎子扔飞镖，想正好射中一只在万里之外飞行的苍蝇的眼睛。
数据： 论文计算过，坏人成功的概率比2 的 50 次方分之一还要小（大概是 10 亿亿亿分之一）。在数学上，这几乎等于不可能。

优势三：不怕“整容”

如果坏人把图稍微修一下（比如加个滤镜、裁剪一下、压缩一下），就像给树稍微修剪了枝叶。
新的验证方法是在“树的基因层”（潜空间）比对，而不是在“树叶层”（像素）比对。所以，哪怕树被修剪过，只要基因（种子）对得上，依然能认出它是同一棵树。

4. 总结：这解决了什么问题？

这就好比以前大家为了证明“这瓶酒是我酿的”，要么在瓶底刻个记号（容易被磨掉），要么把配方藏起来（容易泄露）。

现在，这篇论文的方法是：
“我不需要藏配方，也不需要刻记号。我只需要告诉你，我是用‘我的名字 + 你的配方’这个公式，算出了唯一的‘酿酒酵母’。如果你能拿出同样的酵母酿出同样的酒，那就是我酿的。别人就算知道我的名字和配方，也绝对算不出这个酵母，因为那个计算公式太复杂了，算一辈子也算不出来。”

一句话总结：
这是一种利用数学概率和 AI 生成机制，无需保密就能让作者铁证如山地证明“这张 AI 图是我画的”的新方法。它让伪造者面临“中彩票头奖”般的难度，从而彻底杜绝了冒充作者的可能。

这篇论文提出了一种针对基于潜在扩散模型（Latent Diffusion Models, LDMs）生成内容（AIGC）的**“作者身份证明”（Proof-of-Authorship, POA）**框架。该框架旨在解决在对抗性环境下，如何可靠地确认 AI 生成图像的真正创作者，而无需依赖传统的秘密水印或时间戳。

以下是该论文的详细技术总结：

1. 问题背景与挑战

背景：随着 Stable Diffusion、DALL-E 等 LDMs 的普及，AI 生成的高质量图像引发了知识产权保护和归属权确认的新挑战。
现有方案的局限性：
- 时间戳（Time-stamping）：任何人都可以对任何对象进行时间戳标记，无法证明该对象是由特定作者生成的，只能证明“谁先声称拥有”。
- 数字水印（Watermarking）：
  - 像素/频域水印：易受去除攻击（Removal attacks）和模糊攻击（Ambiguity attacks，即攻击者伪造另一个水印声称拥有该图）。
  - 潜在空间水印（Latent-based）：通常依赖秘密密钥（Secret Key）。如果密钥泄露或模型被微调，水印可能被移除。此外，验证过程往往计算昂贵（如需零知识证明）或引入可见伪影。
核心痛点：现有的“所有权证明”（Proof-of-Ownership）往往基于秘密，且无法区分“谁生成了该图”和“谁先声称拥有该图”。作者需要一种机制，证明只有真正的生成者才能合法声称该对象。

2. 方法论：POA 框架

该框架的核心思想是利用 LDM 生成过程中的**随机种子（Seed）**的可控性，将其与作者身份进行密码学绑定，从而构建一个无需秘密的验证系统。

2.1 核心机制

种子生成：作者生成图像时，使用的初始随机种子 $s$ $s$ 不是随机选取的，而是通过**伪随机函数（PRF）**计算得出：
$s = G(f_i(\langle m, e, r \rangle))$
其中：
- $i$ ：作者的唯一身份标识（ID）。
- $m$ ：模型元参数（如调度器类型、步数）。
- $e$ ：提示词（Prompt）的嵌入向量。
- $r$ ：随机比特序列（用于在固定参数下生成多样性）。
- $f_i$ ：基于作者 ID 的 PRF（如 HMAC-SHA256）。
- $G$ ：将种子映射为潜在空间起始点的采样器（通常服从高斯分布 $N(0, I)$ ）。
生成过程：作者使用上述计算出的种子 $s$ 输入 LDM 生成图像 $I = L_m(e, s)$ 。
争议解决（Contention）：当作者声称某张图 $I$ 是自己生成的时，只需公开 $i, m, e, r$ 。验证者（Probabilistic Adjudicator, PA）利用这些参数重新计算种子，生成图像，并计算其与争议图像 $I$ 的相似度。

2.2 验证流程

概率裁决者（Probabilistic Adjudicator, PA）：
- 接收争议图像 $I$ 和生成参数 $\kappa = \langle m, e, r \rangle$ 。
- 利用作者 ID $i$ 和 PRF 重新生成原始种子，得到原始潜在向量 $L_0$ 。
- 进行蒙特卡洛采样：使用相同的 $m, e$ 但随机种子生成大量样本，构建相似度分布。
- 计算统计量：比较 $L_0$ 与 $I$ 的相似度得分 $T$ 与随机分布的尾部概率。
统计假设检验：
- 原假设 ( $H_0$ )： $I$ 是由随机种子生成的（即作者不是真正的创作者）。
- 备择假设 ( $H_1$ )： $I$ 是由特定种子生成的。
- 如果 $I$ 与作者生成的图像相似度极高，且随机生成达到该相似度的概率 $q$ 极低（例如 $2^{-50}$ ），则拒绝原假设，认定作者身份。

2.3 关键假设

假设 A1 (PRF 硬度)：攻击者无法在多项式时间内区分 PRF 的输出与真随机序列。这意味着攻击者无法伪造出能产生相同种子的参数。
假设 A2 (LDM 统计特性)：假设随机生成的图像与特定图像之间的相似度得分服从次指数分布（Sub-exponential distribution）。这一假设使得仅需少量样本即可准确估计尾部概率，无需海量采样。

3. 主要贡献

提出无秘密的 POA 框架：
- 不同于传统水印依赖秘密密钥，该框架的所有验证信息（ID、参数）均可公开。
- 实现了比“所有权证明”更强的“作者身份证明”：只有真正的生成者才能通过验证，因为攻击者无法在不知道 PRF 密钥（即作者 ID）的情况下生成相同的种子。
理论安全性证明：
- 证明了在 PRF 假设下，任何多项式时间的攻击者（Forger）在伪造作者身份时的优势不高于随机猜测（Negligible advantage）。
- 证明了在假设 A2 下，仅需多项式对数级别的样本量（ $O(\ln^2(1/\alpha))$ ）即可进行高置信度的统计检验，解决了稀有事件采样成本高的问题。
- 证明了该统计检验在区分作者与非作者是**统计最优（Uniformly Most Powerful）**的。
实证评估：
- 基于 Stable Diffusion 2.1 进行了实验。
- 验证了相似度得分确实符合次指数分布假设。
- 在目标随机伪造成功率 $2^{-50}$ 下，验证准确率达到 100%。
- 展示了框架对常见扰动（高斯噪声、JPEG 压缩、仿射变换如旋转/缩放）具有极强的鲁棒性。

4. 实验结果

分布验证：实验数据显示，随机种子生成的图像与原始图像在潜在空间（Latent Space）的相似度得分分布与广义正态分布（Generalized Normal Distribution）高度拟合，验证了次指数假设的有效性。
鲁棒性测试：
- 噪声与压缩：即使在强高斯噪声（ $\sigma^2=9$ ）或低质量 JPEG 压缩（Quality=10）下，验证系统的误拒率（False Reject Rate）仍接近 0。
- 几何变换：对于轻微的平移、旋转、缩放（仿射变换），通过引入变换对齐步骤，系统依然能准确验证。
安全性：在 $2^{-50}$ 的伪造成功率阈值下，未观察到任何误报（False Positives）。

5. 意义与影响

范式转变：从“保护秘密”转向“公开验证”。作者无需担心密钥泄露，因为验证过程本身不依赖秘密，而是依赖密码学绑定的确定性。
抗攻击性：
- 抗模糊攻击：由于种子由作者 ID 和 PRF 唯一确定，攻击者无法伪造出能产生相同种子的参数组合。
- 抗去除攻击：因为不存在嵌入的水印信息，图像本身就是“纯净”的，无法通过去除水印来破坏归属权证明。
无需修改模型：该框架不需要微调 LDM 模型，也不需要模型提供商的配合，只需在生成端控制种子即可，具有极高的部署可行性。
法律与版权：为 AI 生成内容的版权归属提供了可量化的、数学上可证明的证据，有助于解决 AI 版权争议。

总结

这篇论文提出了一种创新且实用的解决方案，利用 LDM 生成机制的可控性，通过密码学绑定作者身份与生成种子，构建了一个无需秘密、抗攻击且统计最优的作者身份证明系统。它不仅在理论上证明了安全性，还在 Stable Diffusion 2.1 上通过实证展示了在噪声和压缩环境下的卓越鲁棒性，为 AIGC 的版权保护提供了新的技术路径。