Watermarks Attack Watermarks: Re-Watermarking as a Generic Removal Strategy
本文提出并验证了一种通用且成本效益高的攻击策略，该策略通过用不同信号对现有图像水印进行重新水印化来移除它们，这一过程由一个高精度分类器实现，该分类器能够识别原始水印以最大化移除效果。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，你有一枚盖在照片上的秘密印章，能证明是谁拍摄了它。这被称为数字水印。它就像一种隐形墨水，只有特殊的扫描仪才能看见。它的作用是阻止人们盗用照片，或冒充自己创作了 AI 生成的艺术作品。
本文介绍了一种巧妙、近乎讽刺的破解这些印章的方法：用一枚印章去摧毁另一枚印章。
以下是研究人员发现内容的简明拆解：
1. 核心理念：“在印章之上再盖印章”
把水印想象成一首歌里隐藏的微弱低语。要消除这声低语，通常必须借助复杂的音频工程，精确计算出如何抵消它而不破坏音乐。
研究人员意识到一个简单的事实：用来添加低语的工具，恰恰是抹除它的最佳工具。
他们并没有试图外科手术式地移除原始水印，而是直接取一枚新的水印，盖在旧水印的正上方。
- 类比：想象有人在一张纸上用隐形墨水写了一条秘密信息。与其试图洗掉墨水，你不如用另一种隐形墨水在上面再写一条不同的秘密信息。现在，这张纸被两层隐形墨水覆盖。原本寻找特定第一种模式的扫描仪，会被新覆盖层干扰，再也找不到原始信息。
- 结果：原始的“所有权证明”消失，取而代之的是新信息。
2. 两步攻击计划
研究人员并非凭空猜测；他们构建了一个两步机器人来自动执行此操作：
第一步：侦探（分类器）
攻击者并不知道照片上使用的是哪种“隐形墨水”。因此，他们首先利用一个智能 AI 侦探（分类器）来观察图片并推测：“啊，这张照片带有‘树环’水印，”或者“这张带有‘像素封印’水印。”
- 意外发现：论文指出，这些隐形水印留下了微小且独特的视觉指纹。尽管它们本应对人眼不可见，但简单的 AI 却能以极高的准确率（约 88% 至 95%）识别出它们。
第二步：反制印章（策略）
一旦侦探识别出水印，机器人就会施加完美的反制印章：
- 如果照片带有“后处理”印章（即在图像生成后添加的）：机器人只需在上方再次加盖同种类型的水印。这就像涂上第二层相同的油漆，完全覆盖了第一层。
- 如果照片带有“内处理”印章（即在图像生成过程中嵌入的）：机器人会使用一种名为ZoDiac的特定印章将其覆盖。
3. 为何此事非同小可
论文认为，这种方法之所以令人担忧地有效，原因有三：
- 廉价且简单：你不需要超级计算机，也不需要数学博士学位。你只需要创作者用来保护其作品的标准工具。论文表明，任何能获取这些公开工具的人都能破解保护。
- 不可见：当你使用复杂方法移除水印时，照片往往会变得模糊或看起来怪异。而当你只是“盖印覆盖”水印时，照片看起来完全一样，画质不会下降。
- 窃取身份：它不仅仅是擦除原主人的标记，而是将其替换为新的标记。因此，如果你重新盖章覆盖一张照片，你现在可以声称“这是我创作的”，而原主人的证明已不复存在。
4. 结论
研究人员在 96 种不同的水印与图像组合上测试了该方法。他们发现，这种简单的“重新盖章”策略在几乎所有情况下都成功破解了原始水印，其效果往往优于复杂的高科技攻击。
核心启示：那些旨在保护数字艺术的工具，因其隐藏自身“指纹”的能力过于强大，以至于很容易被用来抹除他人的指纹。论文指出，当前的水印系统可能过于脆弱，不足以作为法律或版权保护的依据，因为它们可以被如此轻易地撤销。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。