💻 computer science

AnchorMark: Robust Diffusion Watermarking via Latent-Space Rotation Synchrony

AnchorMark 是一种无需训练的、基于逆向过程的水印方法，它利用旋转同步性的潜空间特性来嵌入一个中心同步锚点，从而实现鲁棒的负载提取以及在复合有损后处理攻击下精确的旋转校正。

原作者： Yuqi Qian, Yun Cao, Haocheng Fu, Haochen Zhao, Hong Zhang, Meineng Zhu

发布于 2026-07-31

📖 1 分钟阅读☕ 轻松阅读

原作者： Yuqi Qian, Yun Cao, Haocheng Fu, Haochen Zhao, Hong Zhang, Meineng Zhu

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你置身于一个神奇的艺术工作室，那里有一个名为“扩散模型”的计算机程序，它就像一位才华横溢的画家。你向它低声描述一个画面——比如“一只正在喝咖啡的小狗”——它便会从零开始，逐个像素地变幻出一幅全新的图像。这项技术非常惊人，但它也有一个棘手的副作用：因为计算机是凭空创造这些图像的，很难辨别谁是创作者，或者图像后来是否被篡改过。为了解决这个问题，科学家们一直尝试在图像中隐藏秘密“水印”，就像一种看不见的墨水，用以证明图片的真实性。

问题在于，这些看不见的墨水非常脆弱。如果有人旋转、裁剪或缩小这张图片，隐藏的秘密信息往往会被打乱甚至完全丢失。这就像是在一张纸上写下秘密代码，然后把纸转动起来；如果试图读取代码的人不知道你到底转了多少度，那些字母看起来就会像乱码一样。这篇论文正是针对这一特定问题展开研究的：如何在不重新训练艺术家或改变绘画方式的前提下，确保秘密信息即使在图片被扭曲、旋转或转动时依然安全。

被扭曲的秘密之谜

认识一下 AnchorMark，一种用于在 AI 生成艺术中隐藏秘密的巧妙新技巧。其背后的研究人员注意到一个令人沮埋的模式：当 AI 图像被旋转时，其中隐藏的信息会丢失，因为“解码器”（读取秘密的工具）会对观察位置感到困惑。这就像试图在一个被旋转过的城市里寻找一栋特定的房子；如果你不知道新的方位，你就会在错误的街区徘寻找。

以往的修复尝试要么过于复杂（需要重新训练 AI，这就像是教画家学习一种全新的风格），要么过于脆弱（它们只能辨别是否存在秘密，却无法读取实际的消息）。AnchorMark 采取了一种不同的、“无需训练”的方法。它并不要求 AI 学习新知识，而是直接在绘画过程本身中加入了一个微小的、隐形的“指南针”。

神奇指南针：旋转同步性

其核心理念基于研究团队发现的一个迷人现象，他们称之为旋转同步性（Rotation Synchrony）。把 AI 的创作过程想象成一个两步走的舞蹈：首先，它创建一个隐藏的“蓝图”（潜空间），然后将该蓝图转化为最终的图像。研究人员发现，如果你旋转最终的图像，隐藏的蓝图也会以完全相同的幅度进行旋转。

想象你有一张画在透明薄片上的地图。如果你在桌子上旋转这张地图，薄片上的绘图也会随之完美旋转。AnchorMark 利用了这一点。它在图像完成之前，就在那个隐藏蓝图的中心位置植入了一个特殊的、多层结构的“锚点”（即秘密指南针）。这个锚点是由复杂的波形模式组成的，当图像旋转时，这些波形会以可预测的方式发生变化。

救援行动是如何运作的

当有人试图窃取或篡改图像（例如通过旋转图像）时，AnchorMark 系统就会采取行动来恢复秘密：

逆向观察：系统通过将扭曲的图像进行逆向 AI 过程处理，从而恢复出隐藏的蓝图。
指南针检查：它查看该蓝图中心的“锚点”。由于遵循旋转同步性规则，该锚点旋转的角度与图像旋转的角度完全一致。
对齐：系统将找到的锚点与原始的秘密指南针进行对比。通过匹配它们，系统可以精确计算出图像被旋转了多少度。
修正：一旦确定了角度，系统就会在数学上对蓝图进行“反向旋转”，使秘密信息回到其原始且可读的位置。
最终读取：现在一切都已对齐，系统可以高精度地读取隐藏的信息。

为什么它意义重大

研究人员在各种 AI 艺术生成器上测试了该技术，发现 AnchorMark 是保护秘密安全的“游戏规则改变者”。在图像被旋转 5 到 60 度之间的测试中，旧的方法往往会彻底失败，只能随机猜测消息（就像抛硬币一样）。然而，AnchorMark 却能保持信息完整，在许多情况下能以接近 100% 的准确率恢复秘密比特。

更棒的是，即使图像遭受“双重打击”——比如既被旋转又被压缩，或者既被旋转又被模糊处理——这个“指南针”依然有效。该系统能够在不同的 AI 模型中可靠地恢复秘密，证明了这种“无需训练”的方法具有极强的鲁棒性，且不需要重新训练 AI。

至关重要的是，添加这个秘密指南针并没有破坏艺术本身。图像看起来依然同样精美，AI 遵循指令的能力也未受影响。研究人员展示了即使有人试图扭转和旋转图片，你依然可以拥有高质量的图像并附带一个坚不可摧的隐藏秘密。这就像是在用一种隐形墨水书写秘密信息，而这种墨水会在你旋转页面时自动重新对齐，确保真相永远可以被寻获。

技术摘要：AnchorMark

问题陈述

基于反向过程（inversion-based）的扩散模型水印将负载直接嵌入初始潜空间，使得水印能够在图像生成过程中形成，并通过扩散反向过程进行恢复，而无需重新训练生成器。虽然这种方法对常见的非几何失真非常有效，但在旋转攻击下存在根本性的失效模式。

现有的基于反向过程的多比特方案将负载比特与具有空间索引的潜载体相关联。当图像发生旋转时，恢复的潜变量与预期的比特位置之间的空间对应关系会被破坏。现有针对该问题的研究分为两类：

学习型同步器： 这些方法使用辅助网络来估计变换，但需要额外的训练，并且可能依赖于特定的架构或攻击分布。
旋转不变谱设计： 这些方法通过抑制方向敏感性来检测水印的存在，但无法恢复多比特负载追踪所需的有序对应关系。

因此，目前缺乏一种轻量级、模块化且无需训练的机制，用于在几何变换下实现基于反向过程水印的同步。

方法论：AnchorMark

作者提出了 AnchorMark，一个无需训练、具有鲁棒性的基于反向过程的水印框架。该方法的核心依赖于一种新发现的扩散潜空间结构特性，称为旋转同步性（Rotation Synchrony）。

1. 旋转同步性

论文指出，图像域的旋转会在恢复的初始潜变量中诱导出相同的角旋转。形式化地，对于旋转角度为 $\alpha$ 的生成图像 $I$ ，恢复的初始潜变量 $\hat{x}_T(\alpha)$ 近似满足：
$\hat{x}_T(\alpha) \approx R_\alpha x_T$
其中 $R_\alpha$ 是旋转算子， $x_T$ 是原始初始潜变量。该理想关系与实际情况的偏差受限于由 VAE 编码、扩散反向动力学以及生成-反向循环产生的残差。实证验证确认，通过将恢复的潜变量与旋转后的参考值进行匹配，可以在接近真实旋转角度处获得最小距离。

2. 多频相位锚点

为了利用旋转同步性进行同步，AnchorMark 在初始潜变量的中心区域嵌入了一个紧凑的多频相位锚点（multi-frequency phase anchor），该锚点在空间上与负载区域解耦。

构建： 锚点由编码角度频率（ $k_j$ ）的正弦-余弦通道对组成。这种设计将空间旋转转化为可预测的解析相位响应（ $k_j \alpha$ ）。
注入： 锚点通过**统计校准注入（statistics-calibrated injection）**进行注入。模板经过标准化以匹配原始潜变量块的均值和标准差，并通过混合参数 $\lambda$ 进行融合，随后进行重新校准以恢复每通道的矩（moments）。这最大限度地减少了分布偏移并保持了图像质量。

3. 分层同步与恢复

提取过程采用两阶段分层策略：

锚点引导的全局配准： 检测器重建参考锚点，并在候选旋转角度上进行由粗到精的搜索。它通过最小化恢复的锚点与旋转后的参考锚点之间的归一化匹配损失，来估计主导旋转角。
负载引导的局部精化： 为了解决由插值或反向噪声引起的残余失配问题，系统在初始估计值周围定义了一个局部候选集。它通过最大化底层水印解码器在负载区域的验证置信度来精化角度。最终负载使用该精化后的角度进行提取。

核心贡献

识别旋转同步性： 作者形式化了图像空间旋转会诱导对应的初始潜变量角旋转这一特性，为潜空间同步提供了理论基础。
AnchorMark 框架： 一种无需训练、鲁棒的基于反向过程的水印方法，结合了紧凑的多频相位锚点、统计校准注入以及分层（由粗到精）的配准策略。
实证验证： 大量实验表明，AnchorMark 在旋转攻击和组合攻击下显著提高了比特准确率，同时保持了视觉质量和语义保真度。

实验结果

该方法在 Stable Diffusion (v1.5, v2.1, v3.5) 和 FLUX.1-dev 模型上进行了评估。

旋转鲁棒性： 在 $\pm 5^\circ$ 到 $\pm 60^\circ$ 的旋转攻击下，AnchorMark 恢复了基准方法原本无法实现的极高比特准确率。例如，应用于 ShapeMark 时，AnchorMark 在所有测试角度下均实现了近乎完美的恢复（Acc $\approx$ 1.00），而基准 ShapeMark 在较大角度下会降至随机猜测水平（ $\approx$ 0.50）。同样，Gaussian Shading 的检测率（TPR）从接近零恢复到了 $\approx$ 0.99。
组合攻击： 当旋转与缩放、JPEG 压缩、高斯噪声和中值模糊结合使用时，AnchorMark 在多个扩散骨干网络上仍能保持稳定的性能（TPR > 0.99, Acc > 0.94）。
图像质量： 引入锚点对图像质量的影响有限，其 FID 和 CLIP-Score 的变化与基准方法相当。
消融研究： 研究证实，多频设计（结合了低频鲁棒性和高频判别性）优于单频或随机锚点，将角度估计误差降低到了 $0.5^\circ$ 以下。

意义与主张

论文主张，潜空间同步是实现几何变换下鲁棒的基于反向过程水印的有效机制。通过利用固有的旋转同步性特性，AnchorMark 提供了一种模块化、无需训练的解决方案，可以在不修改底层扩散模型或重新训练生成器的情况下，应用于现有的基于反向过程的水印方案。该方法成功解决了旋转条件下多比特负载恢复的关键空白，为涉及几何失真的场景提供了可靠的内容溯源和版权保护。