💻 computer science

Rethinking Forgery Attacks on Semantic Watermarks in Black-Box Settings: A Geometric Distortion Perspective

本文通过从理论上分析由结构模型失配引起的不可还原几何失真，并提出一种在验证前识别此类伪造的与方案无关的检测方法，探讨了潜在扩散模型中语义水印对黑盒伪造攻击的脆弱性。

原作者： Cheng-Yi Lee, Yichi Zhang, Yuchen Yang, Chun-Shien Lu, Jun-Cheng Chen

发布于 2026-06-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Cheng-Yi Lee, Yichi Zhang, Yuchen Yang, Chun-Shien Lu, Jun-Cheng Chen

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

大局观：AI 艺术的“假身份证”问题

想象你拥有一座高科技工厂（AI 模型），它能打印出精美且独一无二的画作。为了证明这些画作是真实的，工厂在绘画过程开始的第一缕电火花中，秘密地打入了一个微小的、肉眼不可见的“指纹”。这就是所谓的语义水印（semantic watermark）。

现在，想象有一个伪造者想要窃取这些画作，移除工厂的印记，并声称这些画是他们创作的。但问题在于：伪造者并没有工厂的蓝图。他们只有一个代理工厂（proxy factory）——一台看起来很像、但并非原装的机器。

伪造者试图将画作逆向还原回最初的那缕电火花，然后利用自己的机器重新打印出一个版本。他们希望这个新版本仍然能携带原始工厂的那个隐形指纹。

论文的发现：
本文作者意识到，虽然伪造者可以让生成的图像看起来很好看，但他们无法完美地重建那个隐形的指纹。因为伪造者的机器（代理机）与真实的工厂机器并不完全相同，他们创造出的“火花”会发生轻微的“弯曲”或“扭曲”。

论文指出，这种扭曲并非随机噪声；它是一种特定的、可测量的几何畸变（geometric distortion）。这就像是尝试用一把略微弯曲的尺子去复制一个完美的圆；无论你多么努力，结果总会是一个略微被挤压变形的圆。

核心概念：“率失真”权衡

作者使用了信息论中的一个概念，称为率失真（Rate-Distortion）。可以这样理解：

率（Rate）： 伪造者试图窃取的信息量（即那个秘密指纹）。
失真（Distortion）： 图像在过程中受损的程度。

通常情况下，你可以通过牺牲质量来换取信息。但论文证明了，当伪造者使用错误的机器（代理机）时，存在一个**“失真底限（Distortion Floor）”**。

类比： 想象尝试将水从一个方杯子（真实的工厂）倒入一个圆杯子（伪造者的机器），然后再倒回一个方杯子。无论你倒得多么小心，总会有水溢出，或者形状会发生偏差。你无法完美地取回 100% 的水，因为杯子的形状不匹配。这种“溢出的水”就是不可还原的失真（irreducible distortion）。

两种类型的“弯曲”

论文指出，这种失真并非随机的静电噪声，而是以两种特定且可预测的方式发生：

全局漂移（指南针针尖）：
想象隐形指纹是一根指向北方的指南针。当伪造者尝试重建它时，指针并不仅仅是在随机摆动，而是始终一致地指向东北方向。这是一种方向性偏移。论文称之为“球面角畸变（Spherical Angular Distortion）”。这就像是伪造者的机器与真实世界发生了轻微的对齐偏差。
局部形变（拉伸的橡胶片）：
想象指纹被画在一张橡胶片上。当伪造者的机器处理它时，它不仅仅是移动了这张片子，还以特定的模式对橡胶进行拉伸和挤压。指纹中各点之间的距离发生了变化，而这种变化在真实的工厂中是绝不会发生的。论文使用一种特殊的数学工具——**SPD 流形（SPD Manifold）**几何学来测量这一点，这就像是在检查橡胶片是否被不均匀地拉伸了。

解决方案：“几何侦探”

由于这些畸变是特定且可测量的，作者提出了一种新的抓捕伪造者的方法。

他们不再仅仅检查指纹是否存在（伪造者可能会成功伪造出指纹），而是检查指纹的形状是如何变化的。

真实工厂图像： 指纹是一个指向北方的完美圆。
伪造图像： 指纹是一个略微被挤压变形、指向东北方向的圆。

他们的新检测方法就像是一个几何侦探。在尝试读取秘密信息之前，它会先观察数据的形状。如果形状呈现出只有在机器不匹配的情况下才会产生的“弯曲”或“挤压”特征，它就会将该图像标记为伪造品。

为什么这很重要（根据论文观点）

这不仅仅是“运气不好”： 论文从数学上证明了这种畸变是不可避免的。只要伪造者没有拥有与创造者完全相同的机器，他们就无法创造出完美的伪造品。
它适用于多种类型的水印： 该方法无论水印是如何隐藏的（无论是频率中的模式，还是比特中的代码）都有效。它观察的是数据的底层几何结构。
它是一个安全网： 即使伪造者设法骗过了标准的检测程序，几何检测仍然可以抓住他们，因为他们伪造数据的“形状”是错误的。

一句话总结

论文揭示了使用错误工具的 AI 伪造者不可避免地会在数据上留下特定的“几何伤痕”，通过测量这些伤痕，即使他们成功复制了水印，我们也能识破他们。

技术摘要：重新审视黑盒设置下语义水印的伪造攻击

1. 问题陈述

人工智能生成内容（AIGC）的激增使得对来源归属和信任验证的稳健机制变得至关重要。语义水印通过将信息嵌入扩散模型的初始潜噪声中，已成为一种极具前景的解决方案，因其对常见图像变换具有鲁棒性。然而，近期的研究表明，这些系统容易受到黑盒伪造攻击的影响。在这些攻击中，仅拥有服务提供商（SP）模型黑盒访问权限的攻击者，可以使用代理扩散模型来反转带水印的图像，恢复估计的潜表示，并重新生成一张既保留了 SP 水印又伪造了内容来源的新图像。

现有文献主要依赖经验证据来证明这些攻击的存在，缺乏对其成功或失败条件的严谨理论理解。因此，目前尚不清楚语义水印系统在实践中究竟拥有怎样的基本安全极限，也无法得知如何设计能够超越特定攻击实现的防御方案。

2. 方法论与理论框架

率失真视角

作者通过潜空间中的**率失真理论（Rate-Distortion Theory）**视角，重新审视了黑盒伪造问题。他们将攻击者的任务建模为一个有损压缩问题，其中代理模型充当尝试逼近目标带水印潜变量的解码器。

不可还原失真底限（Irreducible Distortion Floor）： 作者证明，目标模型 ( $\Theta$ ) 与攻击者代理模型 ( $\Theta_A$ ) 之间的不匹配会诱发不可还原的信息损失 ( $D_{irr}$ )。这种损失创造了一个可达失真的下界，这意味着即使拥有无限的计算资源，如果模型不同，黑盒攻击者也无法实现任意小的反转失真。
有效速率惩罚（Effective Rate Penalty）： 模型不匹配还会施加一个有效的速率惩罚 ( $I_{pen}$ )，降低了攻击者可用的信息速率，并减缓了失真随信息速率增加而下降的速度。

失真的几何特征化

论文超越了随机噪声假设，将代理模型引入的失真表征为潜流形（Latent Manifold）上的结构化几何偏差。这些偏差具体表现为两种形式：

全局漂移（方向性）： 在潜空间的超球面上，伪造扰动会导致系统的角度位移。这通过**球面角向失真（Spherical Angular Distortion, SAD）**进行量化，利用余弦相似度进行测量。从理论上讲，伪造潜变量的方向预计会与原始带水印潜变量显著偏离，而正确恢复的潜变量则保持良好的对齐。
局部变形（结构性）： 伪造攻击会破坏潜流形的局部结构完整性。作者将局部 Token 统计量映射到对称正定（SPD）矩阵的流形上，并使用**仿射不变黎曼度量（Affine-Invariant Riemannian Metric, AIRM）来衡量偏差。这产生了一个名为局部 SPD 几何不一致性（Local SPD Geometric Inconsistency, LGI）**的指标，它捕捉了真实带水印样本中所不存在的、非全等性的局部邻域变形。

检测方案

利用这些几何洞察，作者提出了一种与方案无关（Scheme-agnostic）的检测方法。该方法作为预验证步骤运行，在尝试提取水印之前先分析恢复的潜噪声 ( $\hat{z}_T$ )。通过评估全局漂移（G-Cos）和局部变形（L-SPD）的联合几何空间，检测器可以在不修改现有水印方案的情况下，区分伪造样本与真实的带水印样本。

3. 核心贡献

理论形式化： 本文首次在率失真框架内将黑盒伪造攻击形式化，识别出了由于使用不匹配的代理模型而导致的不可还原失真底限，从而从根本上限制了攻击者的能力。
几何特征化： 将伪造引起的失真表征为非随机噪声，而是潜流形上的结构化几何偏差（全局漂移和局部变形）。
鲁棒检测： 基于上述几何发现，作者提出了一种检测方法。广泛的评估证明了其在多种黑盒场景（包括基于引导和基于优化的攻击）下的有效性，同时保持了对常见图像失真的鲁棒性。

4. 实验结果

作者针对六种最先进的语义水印方案（Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading, 和 TAG），在五个目标模型（SD2.1, SDXL, PixArt- $\Sigma$ , FLUX.1, SD3）上进行了评估，并使用 SD2.1 和 SD3 作为代理模型。

伪造成功率： 实验证实，当目标模型与代理模型相同时（例如 SD2.1 $\to$ SD2.1），伪造攻击非常成功，实现了近乎完美的真阳性率（TPR）以保留水印。然而，在跨模型场景下（例如以 SD2.1 为代理的模型针对 SD3 目标），攻击效能显著下降，这与理论上的失真底限一致。
检测性能： 所提出的几何指标（G-Cos 和 L-SPD）在跨模型场景下实现了近乎完美的曲线下面积（AUC）值（通常超过 0.99）。即使在极具挑战性的相同模型设置下（此时理论失真底限被最小化），该方法仍保持了强大的检测性能（例如 G-Cos 的 AUC > 0.95）。
鲁棒性： 该检测方法在各种后处理失真（如 JPEG 压缩、噪声、裁剪）下保持了高度的一致性，尽管在破坏潜结构相干性的随机噪声和非线性信号退化下性能略有下降。
对比： 该方法优于或匹配了其他替代指标，并且即使面对依赖伪随机性来抵御伪造的先进方案（如 PRC 水印）依然保持有效。

5. 重要性与主张

本文声称为语义水印系统的安全性提供了一个新的视角。通过指出代理模型与目标模型的不匹配是攻击者的基本漏洞来源（也是防御者可检测信号的来源），作者为伪造检测提供了原则性的依据。

正交防御： 所提出的方法作为一种正交防御手段，可以补充现有的水印方案。它不需要重新训练生成模型或修改水印算法。
实际效用： 该检测框架完全作用于潜噪声，遵循水印固有的零存储原则，使其具有轻量化特征，并兼容大规模部署。
安全边界： 本研究明确了，虽然相同模型设置代表了架构不匹配最小化的安全边界，但不可避免的内部累积误差（由于前向生成与后向反转的不对称性）仍会引起可测量的潜变量差异，从而在这些极端情况下仍能实现鲁棒检测。

作者总结道，他们的发现强调了黑盒伪造攻击的内在局限性，并建议未来的鲁棒语义水印设计应考虑这些几何特性以增强安全性。