💻 computer science

Secure Seed-Based Multi-bit Watermarking for Diffusion Models from First Principles

本文提出了一种基于安全性、鲁棒性和保真度评估扩散模型中基于种子的水印的模型无关理论框架，并介绍了一种名为 SSB 的新方法，该方法能够在不依赖昂贵实证评估的情况下实现对上述权衡的精确控制。

原作者： Enoal Gesny, Eva Giboulot

发布于 2026-05-08

📖 1 分钟阅读☕ 轻松阅读

原作者： Enoal Gesny, Eva Giboulot

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象你拥有一家魔法面包店（即扩散模型），它能凭空烤制出无限多完美的蛋糕（图像）。你想在每块售出的蛋糕上盖一个微小且隐形的“印章”，以便你知道是谁烤制的，但你又不想让这个印章改变蛋糕的味道或外观。

本文介绍了一种更聪明的方法，即在蛋糕烘烤过程中就盖上这个隐形印章，而不是试图在烤好后再去加盖。

以下是用简单类比对本文核心思想的拆解：

1. 问题：“盲测”

目前，试图为这些 AI 图像添加水印的人，就像那些仅凭猜测来检验食谱是否有效的厨师。他们烤好蛋糕、盖上印章，然后试图通过切割、烘烤或冷冻来测试印章是否能幸存。

问题所在：他们只测试了特定的烤箱（即某一个特定的 AI 模型）。如果他们在烤箱 A 上找到了一个有效的印章，就无法确定它在烤箱 B 上是否同样有效。
结果：我们缺乏明确的规则手册。我们无法在普遍意义上断言“方法 A 优于方法 B"；我们只能说“方法 A 在这个特定的烤箱上表现更好”。

2. 解决方案：“通用蓝图”

作者们表示：“让我们停止猜测，开始运用数学。”他们提出了一种新的水印衡量方法，将印章与烤箱分离开来。

他们为优质印章引入了三条新规则：

安全性（锁）：窃贼能否仅通过观察蛋糕就破解出秘密代码？
鲁棒性（耐用性）：如果我挤压蛋糕或将其置于雨中，印章能否幸存？
保真度（味道）：印章是否改变了蛋糕的味道？（注：他们称之为“保真度”而非“质量”，因为印章不应改变蛋糕的本质，而只是将信息隐藏其中。）

3. 旧方法 vs. 新方法

本文考察了两种现有的蛋糕盖章方式：

树环（Tree-Rings）：仅轻微调整“种子”（即原材料）。它很强大，但无法很好地隐藏信息。
高斯阴影（Gaussian-Shading）：利用密钥对原材料进行 scrambling（扰乱）。它效果不错，但本文指出其存在缺陷：如果窃贼偷走一块蛋糕，就能推算出所有蛋糕的配方。这就像一把锁，只有拥有钥匙才能开启，但锁本身却泄露了钥匙的形状。

新方法：SSB（基于安全种子的 Secure Seed-Based）
作者们构建了一个名为SSB的新系统。你可以将其想象为一个晶格陷阱。

想象原材料（即“种子”）漂浮在一个巨大的、不可见的三维网格中。
为了隐藏信息，面包师强制原材料落入该网格中特定的“笼子”里。
魔法之处：他们使用一种特殊的、可旋转的网格（即密钥），使得原材料看起来仍然像是在随机漂浮，尽管它们实际上已被困在特定的笼子里。
为何更优：即使窃贼偷走了 1,000 块蛋糕，也无法推断出网格是如何旋转的。“笼子”隐藏得如此巧妙，以至于窃贼无法区分带印章的蛋糕和普通蛋糕。

4. “权衡”地图

本文绘制了一张“地图”（特征曲面），展示了安全性、鲁棒性和保真度之间的平衡关系。

旧方式：你必须选择一种方法，并寄希望于它足够好。
新方式（SSB）：你可以在新机器上滑动旋钮，精确选择你想要多少安全性以及需要多少耐用性。你可以拥有一个安全性极高但耐用性稍逊的印章，或者一个耐用性极强但安全性稍弱的印章。该系统允许你在不破坏数学原理的前提下，选择完美的平衡点。

5. 核心主张

作者们声称，凭借他们的新数学和 SSB 系统：

我们终于可以公平地比较各种水印方法，而无需考虑使用的是哪种 AI 模型。
我们可以从数学上证明，他们的新方法能够抵御试图逆向工程破解密钥的窃贼。
我们无需在不同计算机上运行数千次昂贵的测试来证明其有效性；数学证明先行。

简而言之：他们不再试图通过试错来猜测哪种水印效果最好。相反，他们构建了一个数学上的“通用翻译器”，使我们能够设计出经证明是安全、耐用且隐形的水印，无论是由何种 AI 生成器进行“烘烤”。

技术摘要：基于第一性原理的扩散模型安全种子多比特水印

问题陈述

生成式图像模型的迅速涌现推动了专用水印技术的发展，特别是像基于种子的嵌入这样的“生成中”方法。然而，作者认为该领域当前的评估存在根本性缺陷，因为它们严重依赖于与特定模型架构（扩散模型、VAE、调度器）和反转流程绑定的实证测试。这种对实证的依赖阻碍了关于水印方案性能（尤其是安全性）得出清晰、可推广的结论。

此外，现有的“质量”和“鲁棒性”定义与生成模型绑定，导致无法独立于所用模型对水印系统进行排名。同样，密码学安全性与水印安全性之间的界限往往模糊不清；像 Gaussian-Shading 和 PRC 这样的方案声称具有密码学安全性，但未能防止“欺骗攻击”，即攻击者可以在没有密钥的情况下检索嵌入消息，因为载体（种子）未被隐藏。

方法论

1. 解耦评估框架

核心方法论贡献是将依赖模型的部分（逆扩散过程）与水印系统的决策机制解耦。这使得独立于生成模型进行严格的理论分析成为可能。作者提出了一个基于三个关键量的框架：

容量（鲁棒性）： 作者不再依赖实证鲁棒性测试，而是将决策机制建模为具有翻转概率 $p$ 的二元对称信道（BSC）。他们通过投影函数 $f$ 在水印空间中引入的噪声方差 $\sigma^2$ 来定义其鲁棒性。系统的容量利用 BSC 的香农容量公式推导得出， $C_\sigma = 1 - h_2(p_k(\sigma))$ ，其中 $p_k(\sigma)$ 是将噪声方差映射到位错误率的信道特征函数。
保真度（质量）： 作者认为 FID 或 CLIP 分数等实证图像指标不足且依赖模型，因此他们摒弃了这些指标，将保真度定义为标准高斯种子分布（覆盖分布）与水印种子分布之间的 Kullback-Leibler (KL) 散度。如果 $D_{KL}(\mathcal{N}(0, I_L) || Q(k,c)) \le \zeta$ ，则称该系统为 $\zeta$ -保真。
安全性： 作者区分了密码学安全性与水印安全性。他们定义了一个安全比率 $\eta$ ，衡量攻击者为了比随机猜测更好地估计密钥所需的水印样本数量。他们强调，未能隐藏码字载体（如 Gaussian-Shading）的方案，其安全比率为 $\eta = 1/L$ ，使其容易受到主成分分析（PCA）攻击。

2. SSB（安全基于种子）构建

基于此框架，作者提出了SSB，这是一种受 Voronoi 调制和嵌套格点启发的新型多比特水印方法。

嵌入： 该方法使用密钥 $U$ （一个酉矩阵）旋转潜在空间。它采用两个嵌套的一维格点：粗格点 $\Lambda_\Delta$ 和细格点 $\Lambda_\delta$ 。嵌入算法采样一个向量 $z_u$ ，使得粗格点函数 $\Lambda_\Delta(z_u)$ 输出期望的二进制码字 $c$ 。
投影： 向量 $z_u$ 使用密钥 $U$ 和与 $U$ 正交的随机噪声分量投影回潜在空间，确保生成的种子对扩散过程有效。
解码： 检测器将水印图像投影回潜在空间，应用旋转 $U^\top$ ，并应用粗格点函数 $\Lambda_\Delta$ 以恢复码字。

主要贡献

理论框架： 本文引入了一个形式化的评估框架，将水印决策机制与生成模型分离。这使得能够基于表征安全性、容量和保真度之间权衡的特征曲面，对水印系统进行精确比较，且独立于所使用的扩散模型。
SSB 算法： 作者设计了 SSB，这是对以往基于种子方法的推广。通过调整格点参数 $(\Delta, \delta)$ ，SSB 可以在广泛的安全性 - 保真度 - 容量权衡空间中运行。值得注意的是，即使在保持非零容量的同时，它也能实现完美安全性（即水印协方差矩阵的特征值与覆盖分布不可区分）。
实证验证： 本文提供了对理论假设的实证验证。它证明了逆扩散引入的噪声在潜在空间中可以准确地建模为加性白高斯噪声，并且 SSB、Gaussian-Shading 和 PRC 的容量和安全性理论预测与实证结果一致。

结果

理论与实证的一致性： 使用 Sana、Z-Image 和 Qwen 扩散模型进行的实验证实，理论模型（带有高斯噪声的 BSC 信道）能够准确预测水印系统的位错误率和容量。
性能比较：
- Gaussian-Shading 和 PRC： 这些现有方法显示出较低的安全比率（ $\eta = 1/L$ ），因为它们未隐藏载体，使其容易受到 PCA 攻击。它们还表现出次优的容量 - 保真度权衡。
- SSB： 所提出的方法通过允许用户选择运行区域而优于现有方法。例如，特定配置 $(\Delta=1.6, \delta=0)$ 在保持可行容量的同时实现了完美安全性（ $\eta = +\infty$ ），这是以往方法无法实现的区域。
鲁棒性： 该研究量化了常见图像操作（JPEG 压缩、裁剪、亮度/对比度调整）在不同扩散模型中引入的等效高斯噪声方差（ $\sigma^2$ ），为鲁棒性提供了标准化指标。

意义与主张

本文主张将水印研究的范式从临时的实证优化转变为具有理论保证的设计。通过将水印逻辑与生成模型解耦，作者认为：

可以就一个水印系统相对于另一个系统的优越性做出明确陈述（例如，“系统 A 比系统 B 更鲁棒”），而无需针对每一个新的扩散模型重新评估它们。
该领域可以超越将密码学安全性与水印安全性混为一谈的做法，解决载体暴露导致的欺骗攻击这一特定威胁。
SSB 方法提供了一种灵活且基于理论基础的解决方案，可针对安全性、容量和保真度的特定需求进行调整，为现代水印系统提供了一条路径，使其无需针对每一次新迭代进行昂贵且特定于模型的实证评估。

作者保持谦逊，指出他们的分析假设了 BSC 模型，未来的工作可以探索与 AWGN 模型的差距，改进投影函数（逆扩散），并将该框架扩展到 0 比特基于种子的水印。