技术摘要：用于水印保留的文本引导图像编辑 SafeMark

问题陈述

文本到图像模型（如 Stable Diffusion、DALL-E 3）的快速发展，使得通过迭代去噪实现强大的语义驱动图像编辑成为可能。虽然不可见图像水印已被确立为静态生成中所有权验证和来源追踪的关键工具，但其在文本引导扩散编辑下的鲁棒性仍 largely 未被探索。

现有的鲁棒水印方法（如 HiDDeN、VINE、SleeperMark）通常采用对抗防御范式，针对预定义的失真（JPEG、调整大小）或特定的编辑行为训练编码器。然而，本文证明这些方法无法在多样化的异构扩散编辑器中泛化。当使用 DiffusionCLIP、Asyrp 或 Eff-Diff 等文本引导编辑器编辑图像时，水印位准确率显著下降（例如，在某些情况下从约 0.99 降至约 0.30）。核心研究问题是：水印图像能否在编辑的同时不损害水印完整性？ 本文认为，当前的“鲁棒”水印是依赖于编辑器的，需要一种新方法在编辑过程本身中强制实施完整性。

方法论：SafeMark

作者提出了SafeMark，这是一个将水印保留作为图像编辑优化过程中显式目标的框架，而非仅依赖水印的内在鲁棒性。

1. 问题表述

SafeMark 将水印保留编辑表述为一个约束优化问题。给定带有消息 $w$ 的水印图像 $x_{orig}$、编辑器 $E_\theta$ 和提示词 $p$，目标是找到参数 $\theta^*$，在最小化语义损失的同时满足水印准确率约束：
$$\min_\theta \mathbb{E}[L_{sem}(x_{edit}, x_{ref})] \quad \text{s.t.} \quad \text{Acc}(\hat{w}, w) \geq \tau$$
其中 $x_{edit} = E_\theta(x_{orig}, p)$，$\hat{w}$ 是解码后的水印，$\tau$ 是目标准确率阈值。

2. 信息论基础

本文提供了直接优化位准确率的理论依据。

• 互信息界：水印的可恢复性受编辑器通道保留的互信息 $I_\theta(W; X_e)$ 限制。
• 位准确率作为代理：作者证明（通过 Fano 不等式和引理 1），维持高平均位准确率 $\bar{a}$ 为该互信息提供了下界。具体而言，强制 $\bar{a} \geq \tau$ 可确保恢复所需的最低信息保留水平。

3. 训练目标与铰链惩罚

由于硬位准确率不可微，SafeMark 使用阈值化铰链惩罚对可微代理（Brier 型损失）进行约束松弛：
$$L_{wm} = \max(0, \tau - \hat{g}_{Acc}(\hat{w}, w))$$
其中 $\hat{g}_{Acc}$ 是位准确率的平滑近似。总训练目标结合了语义保真度和水印保留：
$$L_{total} = \lambda_{sem} L_{sem} + \lambda_{wm} L_{wm}$$

• 语义对齐：为确保编辑忠实于用户意图，使用冻结的预训练编辑器 $E_{\theta_0}$ 生成参考编辑 $x_{ref}$。语义损失 $L_{sem}$ 鼓励可训练编辑器的输出与该参考保持接近（$L_1$ 距离）。
• 架构：SafeMark 无需对底层扩散编辑器进行架构修改。它通过微调编辑器参数 $\theta$ 运行，同时保持水印编码器/解码器固定。梯度仅通过最终去噪输出流动。

主要贡献

1. 编辑器依赖性的实证识别：本文证明现有的鲁棒水印方法无法在文本引导编辑流程中泛化，其性能因所用具体编辑器的不同而剧烈变化。
2. 理论基础：建立了水印保留编辑的信息论基础，表明位准确率是互信息保留的可处理代理，从而证明了使用铰链惩罚目标的合理性。
3. SafeMark 框架：一种新颖的方法，将水印监督直接集成到编辑目标中，在多样化的编辑器和数据集上实现了近乎完美的水印恢复（位准确率 $\approx 1.0$），且未牺牲语义编辑质量。
4. 鲁棒性验证：作者表明，SafeMark 保护的图像对常见的编辑后失真（旋转、模糊、调整大小）保持鲁棒，证实了在编辑过程中强制保留并不会降低对标准图像失真的抵抗力。

实验结果

该框架在真实图像（LSUN-Church、LSUN-Bedroom、CelebA、AFHQ-Dog）和 AI 生成图像上进行了评估，使用了多种水印方案（HiDDeN、VINE、Stable Signature、SleeperMark）和三种不同的扩散编辑器（DiffusionCLIP、Asyrp、Eff-Diff）。

• 水印保留：直接编辑（"Mani"）导致位准确率显著下降（例如，Bedroom 图像上的 VINE 在 Asyrp 下从 0.999 降至 0.299），而 SafeMark 在所有设置中一致将准确率恢复至1.000（或接近完美的 0.999 水平）。
• 语义保真度：SafeMark 未损害编辑质量。FID、Inception Score (IS) 和 CLIP 相似度等指标显示，SafeMark 输出在感知和语义上仍与直接编辑接近。"Comp"指标（比较 SafeMark 编辑与直接编辑）产生了较低的 FID 值，表明水印约束并未迫使图像回归原始状态或导致输出崩溃。
• 编辑后鲁棒性：在裁剪和模糊等失真下，SafeMark 保持了高位的准确率（失败率通常低于 0.15），证明保留的水印信号对后续处理具有鲁棒性。

意义与主张

本文主张语义可编辑性与水印完整性本质上是兼容的。语义编辑下水印的退化并非编辑过程的固有局限，而是无约束编辑动态的结果。

通过将范式从“针对编辑的鲁棒水印”转变为“水印保留编辑”，SafeMark 为可信图像来源提供了一种设计时解决方案。作者将 SafeMark 定位为一种机制，使图像编辑服务提供商能够提供高质量、语义驱动的操纵，同时保证所有权信号可恢复。这重新定义了来源保护，使其成为编辑流程的组成部分，而非外部附加项，从而在生成式编辑工作流中实现可信的图像来源。

本文适度承认了局限性：SafeMark 目前需要编辑器的白盒访问权限，并且每种架构都需要单独的微调步骤；此外，它可能面临极端激进的结构性编辑的挑战，这些编辑从根本上改变了场景布局，超出了水印的承载能力。然而，它确立了一个关键的证明概念，即水印保留可以通过设计来强制实施。