💻 computer science

GoodDiffusion: Proactive Copyright Protection for Diffusion Bridge Models via Learnable Sample-specific Signatures

GoodDiffusion 是一个针对扩散桥模型的预防性版权保护框架，它利用可学习签名网络来嵌入输入特定的签名，从而实现仅为授权用户提供高质量生成，同时有效阻断未经授权的访问并防止通过基于梯度的攻击进行签名恢复。

原作者： Shixi Qin, Zhiyong Yang, Shilong Bao, Zitai Wang, Qianqian Xu, Qingming Huang

发布于 2026-06-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Shixi Qin, Zhiyong Yang, Shilong Bao, Zitai Wang, Qianqian Xu, Qingming Huang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下你拥有一台神奇的高科技印刷机（一种扩散模型），它能将一张粗糙的草图变成一张精美、专业的照片。你想出售使用这台机器的权限，但你担心有人会偷走一台机器的副本，开始免费打印照片，从而损害你的业务。

目前，大多数人试图通过在最终照片上放置一个微小的、不可见的数字水印（就像一个隐藏的序列号）来保护他们的机器。这就像是在照片打印出来之后，再盖上一个“某某财产”的印章。这有助于你在事后证明所有权，但它并不能阻止小偷在打印照片的过程中进行窃取。

GoodDiffusion 是一个全新的想法，它改变了游戏规则。它不再仅仅是标记照片，而是改变了机器的工作方式，使其拒绝打印，除非你持有正确的密钥。

以下是它的工作原理，通过简单的概念进行分解：

1. “无票，不准上车”规则

把印刷机想象成地铁站的自动检票闸机。

授权用户： 如果你持有一张有效的票（一个签名/Signature），闸机会开启，机器会打印出一张高质量、精美的照片。
未经授权的用户： 如果你尝试在没有票的情况下使用机器，机器并不会只打印出一张模糊的照片；相反，它会打印出一个巨大的、显眼的**“警告（WARNING）”**标志。它完全阻断了小偷获取他们想要的产品。

2. 第一次尝试：“静态密钥”（以及它为何失败）

研究人员首先尝试给机器一个静态密钥（Static Key）。想象一个特定的、固定的模式（比如草图角落里的一点）充当门票。

问题所在： 他们意识到这就像是给每个人发了一把万能钥匙。如果小偷偷走了这台机器，他们可以通过数学方法（梯度优化）来逆向工程出那个特定的模式。一旦他们破解了这个模式，他们就可以复制这个模式，并在任何草图上使用它，从而获得免费的照片。论文称这种方式是“脆弱的”，因为这个密钥过于通用。

3. 解决方案：“智能变化的密钥”（样本特定签名）

为了修复静态密钥的弱点，GoodDiffusion 引入了一个可学习签名网络（LSN）。

类比： 与其提供一把万能钥匙，不如想象一个生物识别扫描仪，它观察你的特定面部（输入图像），并为那一刻生成一个唯一的、一次性的密码。
它是如何工作的：
- 如果你想打印一张猫的照片，机器会生成一个独特的“猫密钥”。
- 如果你想打印一张狗的照片，它会生成一个完全不同的“狗密钥”。
- 这个密钥是与特定图像绑定的。你不能拿着“猫密钥”去打印“狗”的照片。

4. 为什么这能阻止小偷

论文认为这种方法更难被破解：

小偷的困境： 即便小偷偷走了整台机器（模型权重和代码），他们也无法找到一个适用于所有情况的“万能密钥”。
结果： 如果小偷在没有向所有者索取针对其图像的特定唯一密钥的情况下尝试使用这台机器，机器只会吐出一个“警告”图像。小偷无法通过“破解”系统来获得一个有效的密钥，因为密钥每次都会根据图像而发生变化。

结果总结

研究人员在三种图像任务上测试了该系统：

超分辨率（Super-Resolution）： 将一张小而模糊的图像变成大而清晰的图像。
图像修复（Inpainting）： 填充图片中缺失的部分。
去模糊（Deblurring）： 修复一张模糊的照片。

在所有测试中，该系统表现完美：

对于所有者： 当他们提供正确的、唯一的密钥时，机器会生成高质量、专业的图像。
对于小偷： 当他们尝试在没有密钥的情况下使用机器时，他们除了看到警告标志外一无所获。即使他们尝试通过数学方法来“猜测”一个密钥，系统依然保持安全，因为密钥对每一张图像都是唯一的。

简而言之： GoodDiffusion 将版权保护从“成品上的便利贴”变成了“门口的保安”，在允许任何人进入之前，都会检查其唯一的身份证明。

GoodDiffusion 技术摘要

问题陈述
本文探讨了为扩散桥模型（Diffusion Bridge Models, DBMs），特别是针对图像到图像（I2I）任务，开发一种主动版权保护（CP）机制的关键挑战。现有的防御手段大多是事后型的（例如水印和指纹技术），它们仅在生成发生后提供未经授权使用的证据；或者是仅降质型的策略（例如 PCDiff），这类策略虽然降低了输出质量，但无法完全阻止未经授权的生成。作者认为，在未经授权的衍生品可能在检测到之前就广泛传播的现实场景中，这些方法是不够的。核心问题在于设计一种机制，能够在模型层面完全防止未经授权的生成，同时确保授权用户仍能获得高质量的输出，即使是在攻击者拥有模型参数和架构完整访问权限的白盒场景下。

方法论：GoodDiffusion
所提出的框架 GoodDiffusion 受后门机制启发，但反转了其目标：它不是通过触发器强制产生错误的输出，而是强制要求只有在存在有效签名时才生成高质量输出。

核心机制（用于“善意”的后门）：
该方法训练 DBM 根据输入表现出两种截然不同的行为：
- 授权轨迹： 如果输入包含有效的签名，模型将遵循扩散桥以生成高质量的目标图像。
- 未经授权轨迹： 如果输入是“干净”的（缺乏有效签名），模型将被引导生成预定义的警告图像（例如带有警告文本的图像），从而有效地切断未经授权的使用。
朴素实现（静态签名）：
最初，作者探索了一种使用注入到输入中的固定扰动模式（静态签名 $k$ ）的朴素方法。模型在包含授权输入（ $x_1 + k$ ）和映射到警告目标的未经授权输入（ $x_1$ ）的混合数据上进行训练。
- 脆弱性： 论文在理论上证明（定理 4.1），静态签名在白盒场景下本质上是脆弱的。拥有模型访问权限的攻击者可以通过基于梯度的优化高效地恢复出一个替代签名（ $N^*$ ），该签名可以模拟原始签名的效果，从而绕过保护。
提出的解决方案（可学习签名网络 - LSN）：
为了解决静态签名的脆弱性，GoodDiffusion 引入了样本特定签名（Sample-Specific Signatures）。
- 架构： 一个被称为 $g_\phi(\cdot)$ 的**可学习签名网络（LSN）**被训练用于生成针对每个特定输入 $x_1$ 的唯一签名 $k(x_1)$ 。
- 注入： 授权输入通过 $\tilde{x}_1 = \gamma \cdot x_1 + (1-\gamma) \cdot k(x_1)$ 进行构建，将原始语义信息与动态签名进行融合。
- 安全逻辑： 与代表像素空间中固定向量偏移的静态签名不同，样本特定签名创建了一个非线性变形的图像流形。这种设计打破了签名的“通用性”；为某一输入恢复出的替代签名无法迁移到另一个输入。因此，即使攻击者恢复了针对特定样本的签名，该签名也无法推广到其他输入，从而阻止了对保护机制的绕过。

主要贡献

主动的模型级控制： GoodDiffusion 被视为将版权保护从事后输出分析转向内部化、模型级预防迈出的第一步。它执行了“无票，不准乘车”的政策，即未经授权的用户只能收到警告图像。
对静态签名的理论洞察： 论文提供了理论证明，证明了朴素的静态签名设计在白盒设置下容易受到基于梯度的替代签名恢复攻击，强调了动态、输入依赖型设计的必要性。
可学习签名网络 (LSN)： 引入了 LSN 来生成输入依赖型签名，这有效地减轻了替代签名的可迁移性，并增强了针对白盒攻击者的安全性。
全面的评估： 在三个 I2I 任务（超分辨率、图像修复、去模糊）中，使用多种 DBM（DDBM, I2SB, DBIM）在 CelebA 和 ImageNet 数据集上进行了广泛实验。

实验结果

保护有效性： 对于未经授权的输入，GoodDiffusion 实现了接近 0% 的滥用率（AR）（例如在 CelebA 上 < 0.06%），这意味着模型在没有有效签名的情况下成功拒绝生成高质量目标图像。相比之下，当攻击者尝试在静态设计中使用恢复的替代签名时，AR 会飙升至 ~98%，证实了静态签名的脆弱性。
生成质量： 对于授权用户（持有有效签名），模型保持了令人满意的生成质量。虽然与未受保护的基准模型相比存在轻微的性能下降（通过 FID、PSNR 和 SSIM 衡量），但结果仍具有竞争力。例如，在 CelebA 上的 DDBM-VP 超分辨率任务中，SSIM 甚至略高于基准模型。
错误率： 错误率（ER）——即被错误拦截的授权请求比例——保持在极低水平（例如 0.06% 至 0.25%），表明对合法用户具有高度可靠性。
安全性验证： 模拟白盒攻击的实验表明，虽然静态签名很容易被恢复的替代签名绕过，但样本特定签名设计即使在攻击者尝试优化替代签名时，也会导致较差的生成质量（高 FID，低 PSNR），证实了不存在通用的替代签名。

意义与主张
本文声称 GoodDiffusion 提供了一种实用的、主动的模型窃取解决方案，可以作为现有软件级保护（如身份验证）的补充。通过将模型部署与签名服务（由所有者维护）分离，该方法确保即使模型被盗且窃贼拥有完整的白盒访问权限，他们也无法在没有动态签名的情况下利用其进行高质量生成。作者将这项工作定位为保护扩散模型作为重要知识产权的重要一步，实现了从被动检测到主动预防未经授权推理的转变。代码已公开，以促进该领域的进一步研究。