💻 计算机科学

DASMark: Dual-Anchor Synchronization of Diffusion Image Watermarks for Geometrically Robust Deepfake Detection

DASMark 是一个鲁棒的扩散图像水印框架，它通过双锚点几何同步和可重现的用户特定噪声，实现了高精度的深度伪造检测以及即使在旋转和裁剪等严重几何攻击下的可扩展用户识别。

原作者： Jietao Zheng, Yanli Chen, Hanzhou Wu

发布于 2026-11-11

📖 1 分钟阅读☕ 轻松阅读

原作者： Jietao Zheng, Yanli Chen, Hanzhou Wu

原始论文采用 CC BY 4.0 许可（https://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在数字时代，人工智能已经掌握了视觉欺骗的艺术。现代计算机程序现在可以生成与照片无异的图像，仅凭简单的文本描述即可创造出逼真的面孔、风景和场景。虽然这项技术提供了巨大的创作潜力，但它也助长了深度伪造（deepfakes）的传播——即旨在误导、欺诈或传播虚假信息的操纵性媒体。调查人员和平台面临的核心挑战不仅在于识别伪造，还在于准确知道其来源。被动检测方法试图寻找图像中细微的统计误差，但在面对新型 AI 生成器时往往显得力不从心。一种更积极的解决方案是水印技术：在图像创建的瞬间，将其嵌入一个隐藏的、独特的信号。这个信号充当数字指纹，允许任何人验证图像的来源，并将其追溯到生成该图像的具体用户。然而，一个重大的障碍仍然存在：如果有人对图像进行裁剪、旋转或拉伸，隐藏的信号可能会发生错位，导致指纹无法读取且来源无法追踪。

为了解决这个问题，研究人员郑洁涛、陈艳丽和吴汉舟开发了一个名为 DASMark 的新系统。他们的工作解决了现有水印技术在面对几何畸变时的特定弱点。该方法并非依赖单一且脆弱的模式，而是将两个不同的参考点（或称“锚点”）直接嵌入到 AI 用于构建图像的不可见数学噪声中。这些锚点被放置在图像底层数据结构的特定位置。当图像生成时，这些锚点会随之移动，成为最终图像的一部分。该系统的精妙之处在于它如何处理攻击。如果恶意行为者旋转了图像或裁剪掉了角落，该系统并不会尝试猜测水印去了哪里。相反，它使用一个专门的网络来定位畸变图像中的两个锚点。通过观察锚点相对于其原始位置移动了多远，系统可以数学化地计算出发生的精确旋转或拉伸。随后，它会撤销这些变化，重新对齐隐藏数据以恢复到原始状态，从而使水印能够被清晰读取。

研究人员对这种方法进行了严格测试，将其与最先进的现有方法进行对比。他们模拟了一个场景：一个图像生成服务拥有 20 万名不同的注册用户，每位用户都有自己独特的数字身份。当系统面临图像被任意角度旋转或被裁剪及拉伸的挑战时，它保持了 99.7% 的平均识别准确率。这一表现显著超越了被称为 WIND 的当前最先进方法，后者在类似的几何攻击下，其准确率下降了 11 到 18 个百分点。该新系统还证明了其速度更快、效率更高，所需的计算机内存和处理每张图像的时间都更少，这对于扩展到现实世界应用至关重要。此外，该方法保留了生成图像的视觉质量，确保水印对肉眼不可见，且不会降低艺术输出的品质。

该研究的一个关键发现是，这种同步机制具有极强的灵活性。团队在一种特定版本的 AI 图像生成器上训练了他们的锚点检测网络，但该系统在无需任何重新训练的情况下，在其他版本上也同样有效。这种“即插即用”的能力表明，该技术可以部署在不同的 AI 模型中，而无需为每一个新更新都支付复杂的系统重训成本。研究人员还展示了，即使图像经历了组合攻击（例如旋转后紧接着进行压缩或加噪），该系统仍能成功识别出正确的用户。虽然在极端亮度调整与几何畸变结合时，系统仍面临一些挑战，但这代表了在增强数字溯源性对抗常见图像篡改手段方面的一次重大飞跃。

这项工作的意义超越了简单的检测。通过确保水印能够经受住最常见的编辑，该系统提供了一种高度可靠的方式来追究恶意行为者的责任。如果一名恶意用户生成了一张具有欺骗性的图像，并试图通过裁剪或旋转来掩盖其踪迹，DASMark 系统仍能剥离畸变的层层伪装，以极高的统计置信度揭示原始创作者。这种能力改变了在深度伪造领域中“猫鼠游戏”的权力平衡——在过去，伪造品难以追踪；而现在，来源极有可能被找回，尽管研究人员也承认，在特定的、极端的条件下仍可能出现失败案例。研究人员已向公众开放了他们的代码，邀请进一步的审查与开发，并计划继续完善该系统以应对更复杂的畸变。在一个“眼见不再为实”的时代，DASMark 提供了一种洞察图像不可见历史的方法，确保其起源的真相得以完整保存。

技术摘要：DASMark

问题陈述

文本生成图像扩散模型的激增使得创建高度逼真的图像成为可能，这引发了关于深度伪造（deepfakes）和欺骗性视觉内容的严重担忧。虽然存在用于检测合成内容的被动取证方法，但这些方法往往难以在不同生成器之间实现泛化，并且无法建立特定的模型或用户溯源。主动水印提供了一种解决方案，即在源头嵌入可识别的信号；然而，现有的扩散水印方法面临着关键的局限性：

几何脆弱性： 几何攻击（如旋转、裁剪、拉伸）会破坏提取的水印与参考水印之间的空间对应关系，导致即使水印信息仍然存在，也会出现识别失败的情况。
可扩展性与鲁棒性的权衡： Tree-Ring 和 RingID 等方法使用结构化模式（如傅里叶环），虽然对旋转具有鲁棒性，但在大规模用户识别（大量密钥）方面表现不佳，并可能引入影响图像质量的圆形伪影。
计算开销： 目前最先进的方法（如 WIND）依赖于旋转和滑动窗口搜索来补偿几何失配，这导致了显著的计算成本和内存占用，尤其是在用户身份空间扩大时。

方法论

作者提出了 DASMark，一个旨在实现鲁棒的模型验证和在几何攻击下实现可扩展用户识别的扩散图像水印框架。其核心创新是一个双锚点几何同步机制，该机制无需修改预训练的生成器权重。

1. 水印生成

用户特定初始噪声： 每个用户被分配一个唯一的标识符 ( $u_i$ )，该标识符结合模型特定的主密钥 ( $\kappa_A$ )，通过 HMAC 和高斯采样生成一个可重现的初始噪声向量 ( $z_T^{(u_i)}$ )。该噪声作为身份载体。
双锚点嵌入： 为了实现几何同步，两个空间分离的定位锚点通过正交通道码 ( $c_A$ $c_{A}$ 和 $c_B$ $c_{B}$ ) 被嵌入到初始噪声中。
- 锚点被放置在潜空间网格（latent grid）的左上角和右下角区域。
- 它们利用正交通道码的 2D 高斯模板，以确保在不同潜通道间具有可区分的响应，同时最大限度地减少干扰。
- 嵌入过程仅修改噪声沿特定通道码的投影，保留正交分量以最大限度地减少对图像质量的影响。

2. 水印检测与同步

检测流程不需要重新训练扩散模型，由以下步骤组成：

潜空间反转（Latent Inversion）： 将可疑图像编码到潜空间，并使用确定性 DDIM（不带文本条件）进行反转，以恢复估计的初始潜变量 ( $\hat{z}_T$ )。
双锚点定位网络： 一个专门的神经网络 ( $F_\theta$ $F_{θ}$ ) 用于预测反转潜变量中两个锚点的变换位置。
- 架构： 该网络采用三分支主干（three-branch stem）从单个锚点响应图和联合特征图中提取特征。它利用多尺度几何模块、全局注意力机制和跨分辨率融合来处理变化的物理尺度和全局上下文。
- 坐标估计： 该网络不使用非微分的峰值选择，而是使用基于 DSNT 的可微分空间期望来估计锚点中心，从而实现端到端优化。
几何对齐： 根据预测的锚点中心，系统估计几何变换（旋转或裁剪及拉伸），并将反转后的潜变量对齐回参考坐标系。
- 旋转： 通过参考锚点与预测锚点之间的夹角计算。
- 裁剪与拉伸： 通过锚点对的缩放因子和中点进行估计。
- 生成有效掩码以排除在裁剪过程中丢失的区域。
验证与识别： 对齐后的潜变量通过掩码余弦相似度与用户特定的参考噪声进行匹配。
- 验证： 确定图像是否源自受保护的模型。
- 识别： 通过在数据库中寻找最佳匹配密钥来识别特定用户。

核心贡献

双锚点框架： 引入了一种扩散水印框架，该框架利用可重现的用户特定初始噪声和正交编码的双锚点，在几何攻击下恢复潜空间的空间对应关系。
基于学习的同步： 开发了一个定位与同步流水线，该流水线从预测的锚点位置推导出几何变换参数，实现了无需修改生成器的潜噪声空间对齐。
跨模型兼容性： 证明了在一种扩散模型（SD 2.1）上训练的定位网络可以应用于其他模型（SD 2.0, 1.5, 1.4）而无需额外训练。

实验结果

作者使用 Stable Diffusion 2.1 在各种攻击场景下将 DASMark 与基准方法（Tree-Ring, RingID, WIND）进行了对比评估。

模型验证： 在清洁和受攻击条件下，DASMark 实现了平均验证 AUC 为 0.999，TPR@1%FPR 为 0.998，优于基准方法，特别是在旋转和裁剪及拉伸攻击下。
用户识别：
- 在 200,000 个候选身份的情况下，DASMark 实现了平均识别准确率 99.7%。
- 在旋转攻击下，其表现优于 WIND 11.0 个百分点。
- 在裁剪及拉伸攻击下，其表现优于 WIND 18.6 个百分点。
- 随着密钥空间扩大，性能保持稳定，而 WIND 的准确率在几何攻击下的较大密钥空间下显著下降。
图像质量： 该方法保持了高质量图像，实现的 CLIP 分数 (0.364) 和 FID (25.78) 与未加水印的基准相当，且优于 RingID 和 WIND 等方法（后者表现出可见的圆形伪影）。
计算效率： 与 WIND 相比，DASMark 展示了显著更低的端到端运行时间和 GPU 显存占用。对于 200,000 个密钥，DASMark 需要 0.975 秒 和 15.96 GB 显存，而 WIND 需要 6.721 秒 和 22.84 GB。当密钥空间翻倍时，DASK 的运行时间仅增加了 19.3%，而 WIND 则增加了 56.6%。

重要性与声明

论文声称 DASMark 通过实现可靠的模型验证和可扩展的用户识别，为主动深度伪造检测提供了一种鲁棒的解决方案，即使图像经历了几何畸变。通过将同步机制与生成器权重解耦并利用双锚点方法，该方法克服了以往环形或重搜索方法的局限性。作者断言，该方法支持对控制图像生成的服务进行溯源追踪，在鲁棒性、可扩展性、图像质量和计算效率之间取得了实际的平衡。

作者也谦虚地指出，未来的工作将解决对剧烈裁剪以及几何畸变与亮度调整组合的敏感性问题，并将同步扩展到更复杂的变换。