📊 statistics

ADD for Multi-Bit Image Watermarking

该论文提出了一种名为 ADD（Add, Dot, Decode）的多比特图像水印方法，通过线性组合学习与内积解码机制，在 MS-COCO 基准测试中实现了 48 比特水印的 100% 解码准确率及优异的抗干扰性能，同时显著提升了计算效率并提供了理论解释。

原作者： An Luo, Jie Ding

发布于 2026-04-14

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： An Luo, Jie Ding

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一种名为 ADD（Add, Dot, Decode，即“加、点、解码”）的新方法，用来给图片“盖上一个看不见的数字印章”。

想象一下，现在的 AI 画图技术太厉害了，几秒钟就能生成以假乱真的照片。这带来了一个大问题：我们怎么知道这张图是 AI 画的，还是谁画的？如果有人在网上传播假新闻或侵犯版权，我们怎么找到源头？

这就好比在茫茫人海中，每个人都需要一个隐形的身份证。ADD 就是给图片制作这种“隐形身份证”的超级工具。

下面我用几个生活中的比喻来解释它是怎么工作的，以及它为什么这么厉害。

1. 核心概念：给图片“加”点料 (Add)

以前的水印技术，像是在图片的像素里“雕刻”或者“修改”颜色，就像在一张白纸上用极细的笔写字，稍微擦一下（比如压缩图片、旋转图片）字就模糊了，或者写得太明显把画弄脏了。

ADD 的做法完全不同，它更像是在一杯清水里加了一点点特定的“香料”。

怎么做？ 它不是去修改图片的每一个像素，而是把一段代表信息的“信号”（比如一串 0 和 1 的代码，代表时间、作者 ID 等），像加盐一样直接加到图片上。
效果： 因为加的量非常微小且经过精心计算，人眼完全看不出来（图片看起来和原来一模一样，就像加了盐的水还是水）。
关键： 这个“香料”不是随便加的，它是通过训练学出来的，专门为了在图片被“折腾”（比如压缩、模糊、裁剪）后还能被找出来。

2. 解码过程：用“点”来“闻”味道 (Dot)

当有人拿到一张图，想知道它有没有被“加料”，或者想知道加了什么料时，ADD 不需要把图片拆开看，也不需要复杂的 AI 模型去猜。

怎么做？ 它手里拿着当初加进去的那个“香料配方”（学出来的水印），和现在的图片做一种数学运算，叫**“点积”**（Dot Product）。
比喻： 这就像你手里有一把特定的“钥匙”（水印），去开一把“锁”（图片）。
- 如果图片里没有这个水印，钥匙插进去转不动（数学结果是 0 或很小）。
- 如果图片里有这个水印，钥匙就能完美转动（数学结果很大）。
- 更神奇的是，因为 ADD 把不同的信息（比如第 1 位是 0 还是 1）对应了不同的“香料成分”，通过计算，它能直接读出这串代码是 0110... 还是 1001...。

3. 为什么它这么强？（几何结构的秘密）

论文里用了很多数学证明，但我们可以用一个**“正交”**（垂直）的概念来理解。

想象一个房间： 所有的自然图片（风景、人像）都像是漂浮在房间里的云，它们虽然多，但都集中在某个特定的“低维空间”里（就像云都在天花板附近）。
ADD 的策略： ADD 训练出来的“水印”，就像是一根垂直于天花板的长杆。
- 因为图片都在“天花板”上，而水印是“垂直”的，所以水印和图片本身互不干扰（不影响画质）。
- 同时，代表不同信息的“水印杆”之间也是互相垂直的（像坐标轴 X、Y、Z 轴一样）。
结果： 无论图片怎么被压缩、模糊（就像把云吹散一点），那根“垂直的杆子”依然稳稳地立在那里，不会被云挡住。只要用“钥匙”去测，就能精准地读出信息。

4. 它比别人的好在哪里？

论文里对比了现有的几种方法，ADD 简直是“降维打击”：

容量大且准： 以前很多方法只能藏很少的信息（比如 32 位），而且稍微把图压缩一下，信息就丢了。ADD 能藏 48 位 信息（相当于能存更多细节，比如具体的用户 ID、时间戳），而且在各种“折磨”（模糊、旋转、裁剪）下，准确率依然接近 100%。别人的方法平均准确率会掉 14%，而 ADD 最多只掉 2%。
速度快得惊人：
- 加水印（Embedding）： 别人的方法像用复杂的机器加工，ADD 就像直接倒水，快 2 倍。
- 查水印（Decoding）： 别人的方法像要解一道复杂的数学题，ADD 就像做简单的加法，快 7.4 倍！这意味着它可以瞬间处理成千上万张图片。
通用性强： 它不需要知道图片是哪种 AI 生成的，也不依赖特定的模型。就像一把万能钥匙，不管是哪张图，只要加了 ADD 的章，就能认出来。

5. 总结：ADD 是什么？

简单来说，ADD 是一种给数字图片打“隐形防伪码”的新技术。

以前： 水印要么太明显（影响画质），要么太脆弱（一压缩就坏），要么太慢（没法大规模用）。
现在 (ADD)： 它利用数学上的“垂直”原理，把信息像加盐一样加进图片。
- 看不见： 图片画质几乎无损。
- 打不烂： 就算图片被压缩、裁剪、模糊，也能找回信息。
- 算得快： 瞬间就能识别和读取信息。

这项技术对于打击 AI 造假、保护艺术家版权、追踪图片来源具有巨大的潜力。它让每一张 AI 生成的图片都能拥有自己的“数字指纹”，让造假者无处遁形。

1. 研究背景与问题定义 (Problem)

随着生成式模型（如 Diffusion 模型）能够创建高保真的图像，关于虚假信息（DeepFake）和知识产权侵权的担忧日益加剧。现有的多比特图像水印技术存在以下主要局限性：

容量与鲁棒性不足： 现有方法在嵌入较多比特（如 48 位）时，解码准确率往往大幅下降，且难以抵抗常见的图像失真（如压缩、旋转、裁剪等）。
缺乏理论支撑： 大多数深度学习水印方法缺乏严格的理论解释，难以证明其在不同分布下的有效性。
计算效率低： 许多基于编码器 - 解码器架构的方法计算开销大，嵌入和解码速度慢。

核心目标： 设计一种多比特水印机制，能够：

高质量： 水印不可见，保持图像视觉质量。
高可识别性： 准确检测图像是否被水印，并准确解码嵌入的多比特消息（用于溯源、用户指纹等）。
强鲁棒性： 在经历各种图像失真后仍能恢复消息。
高效率： 嵌入和解码速度快。

2. 方法论：ADD (Add, Dot, Decode)

ADD 方法的核心思想是将水印嵌入过程简化为线性加法，解码过程简化为内积计算。

2.1 核心流程

学习水印 (Learning)：
- 不直接优化高维像素空间的水印，而是通过预训练的特征提取器 $\psi$ 提取图像特征，再映射到低维空间学习 $K$ 个水印向量 $w_1, \dots, w_K$ 。
- 训练目标： 联合优化图像质量、可识别性和鲁棒性。
  - 质量项： 正则化项 $\beta \sum \|w_k\|^2$ ，限制水印幅度。
  - 可识别性项： 使用基于边界的损失函数（如 Hinge Loss 或 Logistic Loss），最大化内积 $\langle w_k, \tilde{x}' \rangle$ 与消息位 $m_k$ 的相关性。
  - 鲁棒性项： 在训练过程中模拟各种图像失真算子 $A$ （如压缩、噪声），确保在失真图像 $\tilde{x}' = A(\tilde{x})$ 上仍能准确解码。
嵌入 (Add)：
- 给定原始图像 $x$ 和 $K$ 比特消息 $m = (m_1, \dots, m_K) \in \{-1, 1\}^K$ 。
- 水印图像生成公式： $\tilde{x} = x + \sum_{k=1}^K m_k w_k$ 。
- 这是一个简单的线性叠加过程。
检测与解码 (Dot & Decode)：
- 检测： 计算接收到的图像（可能失真） $\tilde{x}'$ $\tilde{x}^{'}$ 与每个水印向量 $w_k$ $w_{k}$ 的内积 $\Gamma_k = \langle w_k, \tilde{x}' \rangle$ $Γ_{k} = ⟨ w_{k}, \tilde{x}^{'} ⟩$ 。
  - 若无字典：统计量 $S = \sum |\Gamma_k|$ ，若 $S > s$ 则判定为含水印。
  - 若有消息字典 $\mathcal{D}$ ：统计量 $S_{\mathcal{D}} = \max_{m \in \mathcal{D}} \langle m, \Gamma \rangle$ 。
- 解码：
  - 无字典：直接取符号 $\hat{m}_k = \text{sign}(\Gamma_k)$ 。
  - 有字典： $\hat{m} = \arg\max_{m \in \mathcal{D}} \langle m, \Gamma \rangle$ 。

2.2 理论洞察

论文从理论上证明了 ADD 的有效性：

几何结构： 假设图像数据集中在低维子空间 $U$ 上，且受高斯噪声扰动。训练目标会迫使学习到的水印向量 $w_k$ 正交于图像子空间 $U$ ，且彼此之间相互正交。
统计性质： 由于正交性，水印信号与图像内容解耦。在假设检验框架下，内积 $\Gamma_k$ 服从高斯分布，使得基于广义似然比检验（GLRT）的加法和点积规则成为最优或次优解。
收敛性： 证明了随着训练样本量 $n$ 的增加，有限样本学习到的水印性质收敛于总体最优解，检测率和误报率也相应收敛。

3. 关键贡献 (Key Contributions)

提出 ADD 框架： 一种简单但强大的多比特水印方法，通过“加、点、解”三步实现，无需复杂的神经网络解码器。
理论保证： 首次为多比特图像水印提供了基于低维子空间假设和统计推断的严格理论分析，解释了为何正交水印能有效工作，并给出了性能收敛保证。
SOTA 性能： 在 MS-COCO 数据集上，针对极具挑战性的 48 比特 水印任务，实现了 100% 的无失真解码准确率。
卓越的鲁棒性： 在多种常见失真（JPEG 压缩、高斯噪声、旋转、裁剪等）下，解码准确率下降不超过 2%，远优于现有最先进方法（平均下降 14%）。
极高的效率：
- 嵌入速度比现有最快方法快 2 倍。
- 解码速度比现有最快方法快 7.4 倍。
泛化能力： 仅在 MS-COCO 上训练的水印，在 ImageNet、CIFAR-10/100 等未见过的数据集上也能保持极高的解码准确率（>99%）。

4. 实验结果 (Results)

实验在 MS-COCO 数据集上进行，对比了传统频域方法（DwtDct）和深度学习基线（HiDDeN, SSL）。

解码准确率 (Bit Accuracy)：
- ADD (无失真): 100%。
- ADD (平均): 99.4%。
- 对比： HiDDeN 平均 82.5%，SSL 平均 84.9%，DwtDct 平均 59.8%。
- 在 JPEG 压缩、旋转等强失真下，ADD 依然保持 >98% 的准确率，而其他方法在部分失真下跌至 50% 左右。
检测性能 (AUROC)：
- ADD 在无字典情况下的平均 AUROC 为 98.8%，有字典时为 99.6%，显著优于其他方法。
图像质量 (PSNR)：
- ADD 的 PSNR 约为 32.36 dB，与 HiDDeN (32.88 dB) 和 SSL (33.09 dB) 相当，视觉上无明显伪影。
计算速度：
- 嵌入： ADD 仅需 0.76 ms/图 (对比 HiDDeN 1.54 ms, SSL 546 ms)。
- 解码： ADD 仅需 0.19 ms/图 (对比 HiDDeN 1.41 ms, SSL 6.50 ms)。

5. 意义与展望 (Significance)

解决 AIGC 溯源痛点： ADD 提供了一种高效、鲁棒且理论完备的方案，能够应对生成式 AI 带来的大规模内容伪造和版权纠纷问题。
打破容量与鲁棒性的权衡： 证明了在 48 比特甚至更高容量下，依然可以实现近乎完美的鲁棒性，打破了以往认为高容量必然导致低鲁棒性的认知。
理论指导实践： 将水印问题转化为统计假设检验问题，为未来设计更复杂的水印系统（如视频、音频、文本）提供了理论范式。
实际部署潜力： 极低的计算延迟使其非常适合实时应用（如 API 接口实时加水印、大规模内容审核）。

未来方向：

扩展至其他模态（视频、音频、文本）。
解决多实体部署不同水印机制时的冲突与统一管理问题（集中式消息分配）。

总结来说，ADD 通过简单的线性操作和深刻的统计理论，实现了多比特图像水印在性能、鲁棒性和效率上的全面突破，是目前该领域的标杆性工作。