LiBRA: Detection-aware image watermark removal via bidirectional latent space optimization

持续把水印比特推向反转，在双侧检验下仍可能被检出，并继续损伤图像。

• 场景：作者认为 AIGC 图像水印用于来源归属，可靠性取决于图像处理和故意移除之后仍能检测。嵌入可以是传统信号、可学习编解码，或与生成过程耦合。
• 检测缺口：低比特准确率不等于移除。作者指出，把解码比特推离密钥会产生反转水印，双侧检验下仍可检出。
• 优化缺口：奖励持续反转的目标在进入不可检测区后仍可能加畸变；逐比特停止阈值也会接受完全反转。软置信与离散比特匹配可以不一致。
• 做法：LiBRA 在公开非水印自编码器的潜空间做有界改动，把平均解码置信从两侧拉向近随机目标。可选掩码限制位置。是否移除用精确双侧二项检验核对，不把置信目标当成成功。
• 威胁模型：
  • 目标：使硬比特准确率落入接受集，从而双侧检验不能断言水印存在；同时在 SSIM 与 LPIPS 上保持与输入接近。成功不是把准确率推到 0。
  • 知识：论文称为 white-box。对抗者知道或能估计密钥及其长度，能查询检测器并反传梯度；观察不到提供者的显著性水平，可按长度和假定水平推断接受集。
  • 能力：使用公开非水印 VAE 编码再解码。不能访问提供者的水印解码器，不能重嵌入或重合成水印，不能修改检测器或干预生成。计算与内存有限。
  • 受害方：模型提供者用秘密密钥嵌入水印，再用专用检测器做归属。实验对象是四个已发布水印方案。

论文在引言和 Related Work 中把相关工作分成水印方案、移除攻击和评测实践。

生成内容水印

• 传统与事后嵌入：Cox 等（1997）用扩频，Chen 与 Wornell（2001）用量化索引调制。HiDDeN（Zhu 等，2018）及抗噪后继 MBRS（Jia 等，2021）训练编码器–解码器，在图像处理步骤中隐藏比特串。
• 与生成耦合：Stable Signature（Fernandez 等，2023）微调潜扩散 VAE 解码器，使输出携带固定多比特签名。Yu 等（2021）把标识写入生成器参数。Tree-Ring（Wen 等，2023）与 Gaussian Shading（Yang 等，2024）在采样噪声中植入结构，并用 DDIM 反演恢复。
• 未纳入受害评测：StegaStamp、SteganoGAN、RoSteALS、TrustMark、Watermark Anything、VINE。论文写明它们扩展了嵌入与威胁模型，但是 related work，不是本文额外评测的受害系统。

移除攻击

• 检测器反馈：WEvade（Jiang 等，2023）用解码器反馈优化图像扰动。WEvade-W-II 以随机水印为目标并搜索扰动预算，用来应对双尾检测。论文称它是最近对照，且不需要真实密钥。
• 无反馈与再生：UnMarker（Kassis 与 Hengartner，2025）不使用检测器反馈，破坏与载体相关的频谱结构。再生攻击用可学习压缩或扩散重建减弱水印（Zhao 等，2024；Liu 等，2025）。Lee 等（2025）研究检测边界附近的信息如何支持移除。
• 论文点名的差别：相对 WEvade-W-II，论文称 LiBRA 约束平均解码置信，不为每一位规定目标；对称目标从近随机点两侧修正偏离；不做外层扰动预算搜索。

评测实践

• 自适应评估：Athalye 等（2018）、Tramèr 等（2020）、Croce 与 Hein（2020）强调应按防御机制评估。论文据此要求按提供者的实际检测规则报告图像级结果，并写明低比特准确率在反转水印仍可检出时不够。

基线与数据

• 对照与图像来源：基线包括反转目标、逐比特变体 B/B+、WEvade-W-I、WEvade-W-II、UnMarker、VAE 再生、扩散再生，以及裁剪、JPEG、模糊、双边滤波和量化。图像来自 MS-COCO 2017 验证集与 CelebA，每系统 5,000 张。

作者把本文定位为：在潜空间用对称的平均置信惩罚处理优化目标与检测规则的不一致，并在所述 white-box 设定下用双侧检验比较规避与保真。

LiBRA 在公开自编码器的潜空间做有界扰动，用对称损失把平均软置信拉向近随机目标，再用保真项限制变化。成功由精确双侧检验判定，不由置信目标保证。

检测规则与对抗目标

• 量：水印图记为 x0，密钥 w 长度为 N，检测器软输出为 d。逐比特间隔是 di 与 wi 的乘积，置信是该间隔的 logistic sigmoid。硬准确率 a(x′) 是符号与密钥一致的比例。
• 双侧检验：零假设下匹配数服从 Binomial(N, 1/2)。显著性水平 α 下，精确双侧 p 值不低于 α 的计数构成有限接受集。落入该集只表示这次检验未检出；论文写明这不表示水印信息已被擦除。a 接近 0 或接近 1 都在集外。
• 求解对象：在掩码和潜变量范围内寻找小扰动，使 a(x′) 落入该集。该约束是离散的，下文改用软置信。对抗者是权限有限的服务用户，受害方是希望图像保持可归属的提供者。

潜空间平台

• 有界扰动：用公开、非水印自编码器编码一次，经 tanh 把潜码限制在 [-6, 6]，自由变量从无扰动潜码起步（Table III）。因不能访问提供者的水印解码器，攻击不能重嵌入或重合成水印。
• 规模：论文以 4 通道、8 倍下采样为例，512×512 图像对应 4×64×64 潜码，自由变量数约为像素网格的 1/48。这不单独降低每次迭代成本，成本由解码器主导。重建有损，小的潜改动本身不保证感知变化小。
• 保真：惩罚掩码内潜扰动的平方，以及重建图与输入的平方误差。实现写成一级正交 Haar 四子带的等权平方误差；论文写明因正交，它与像素域平方误差相同。迭代时把图像裁到 [-1, 1]。默认两项权重为 0.01 与 0.0001。

对称置信损失

• 反转基线：最小化与密钥一致的平均软置信。论文给出：有限间隔上没有驻点，下确界只在全部分间隔趋于负无穷、即 a(x′) 趋于 0 时接近，而该点在接受集外。
• LiBRA：惩罚平均软置信与目标的距离，写成 L_bd2=(c̄−a^∗)²。其中 c̄ 是与密钥一致的逐比特软置信的平均，a* 是预设目标。均值高于目标就下压，低于目标就拉回；单个比特如何取值并不规定。默认 a*=0.45，选在所考虑接受准确率的最小与最大之间。
• 逐比特对照：τ 不超过 0.5 时，逐比特 hinge 的零点仍是每一位都错。在线调整阈值只改变停止位置。论文举例：80 个比特置信 0.55、20 个为 0.05 时，均值可以是 0.45，硬准确率仍是 0.80。因此到达均值目标不被声称等于落入接受集。
• 优化设置：水印项与保真项相加，用 Adam、学习率 0.01、迭代 50 次，无外层扰动预算搜索，也无逐图像调参（Table III）。仅复现的反转基线另含符号一致性项。

可选掩码与流程边界

• 先验：掩码由图像的一级 Haar 能量构成，偏向纹理和结构区域，不定位水印能量。论文指出，低频支路看的是近似带幅度，平坦亮图上可能选中全部区域。掩码减少自由坐标，不减少每次迭代成本。
• 地位：掩码可选。主配置使用它；它是否必要留给消融，方法不把它当作水印定位器。
• 不声称的结论：流程是编码一次、迭代更新潜变量、最后解码并裁剪。论文写明，到达均值目标既不保证硬检验接受，也不表示攻击图与无水印图在统计上不可区分。

实验设置

• 系统与数据：四个已发布 checkpoint，各 5,000 张。Stable Signature（N=48，512×512，MS-COCO 2017 验证 caption）；YU1（N=100，CelebA，128×128）；HiDDeN（N=30）与 MBRS（N=64）水印同一批 MS-COCO 验证图，256×256。每个四系统配置共 20,000 张，按系统分别平均。
• 平台：公开、非水印的 Stable Diffusion 2.1-base VAE，不训练该 VAE。默认迭代 50 次、Adam、学习率 0.01、a*=0.45、α=0.01（Table III）。固定随机种子，无逐图像调参。
• 对照：反转目标、固定阈值 B、自适应阈值 B+；WEvade-W-I、WEvade-W-II、UnMarker、VAE 再生、扩散再生；以及裁剪、JPEG、高斯模糊、双边滤波和量化。
• 指标：DR1 是 a(x′)>0.5 的检出比例；DR2 是 α=0.01 精确双侧二项检验的检出比例。另报 Bit ACC、PSNR、SSIM、LPIPS。Table IV 的接受计数为 k=15:33、37:63、8:22、22:42。
• 环境：八块 NVIDIA A100，各 80 GB。论文报告 512×512 为 12.4 秒/图，128×128 为 1.3 秒/图。论文未报告多次独立重复。

主结果

Table IV 中所有被攻击行的 DR1 均为 0.00。下表只列反转基线与 LiBRA。

Swipe horizontally to read the table

系统	配置	DR2	Bit ACC	SSIM	LPIPS
Stable Signature	反转基线	1.00	0.018	0.942	0.074
Stable Signature	LiBRA	0.03	0.458	0.970	0.046
YU1	反转基线	1.00	0.001	0.740	0.095
YU1	LiBRA	0.00	0.433	0.982	0.031
HiDDeN	反转基线	1.00	0.003	0.928	0.082
HiDDeN	LiBRA	0.04	0.433	0.972	0.065
MBRS	反转基线	1.00	0.006	0.934	0.079
MBRS	LiBRA	0.05	0.445	0.971	0.063

• PSNR：LiBRA 为 38.0、29.9、37.6、37.3 dB，反转基线为 35.1、26.9、34.8、35.0 dB（Table IV，顺序同表）。作者称 LiBRA 相对反转基线降低双侧检出并提高保真；单侧 DR1 分不开这些攻击。
• B 与 B+：二者 DR1 也是 0.00，DR2 仍高。YU1 上 B+ 的 Bit ACC 为 0.229、DR2 为 0.98。HiDDeN 上 B+ 为 0.200 与 0.82，作者写有 18% 图像被接受；B 为 0.067 与 0.98，作者写仍有 2% 被接受。
• Figure 5：在 Stable Signature 的 5,000 张上，标注的双侧检出率对基线、B、B+ 为 100.0%，对 LiBRA 为 3.0%；除无攻击外，单侧检出标注为 0.0%。作者称要用计数分布，因为均值落在接受区间内时，单张图仍可能落在区间外。

与已有移除方法对照

• Table VI：对象为 5,000 张 Stable Signature。五种后处理的 DR2 均为 1.00。WEvade-W-I 的 DR1 为 0.00、DR2 为 1.00。像素域 WEvade-W-II 为 DR2 0.02、DR1 0.42、SSIM 0.951、LPIPS 0.061；同表 LiBRA 为 DR2 0.03、SSIM 0.970、LPIPS 0.046。UnMarker、扩散再生、VAE 再生的 DR2 为 0.13、0.09、0.41。
• Table VII：潜空间且随机参考时，WEvade-W-II 为 DR2 0.03、118.6 秒/图；LiBRA 为 DR2 0.04、12.5 秒/图。作者称约 9.5 倍加速。使用真实密钥时，LiBRA 为 DR2 0.03、12.4 秒/图。像素域 WEvade-W-II 为 24.8 秒/图、DR2 0.02。
• 密钥假设：论文写明，LiBRA 的主设定需要密钥或可靠估计，WEvade-W-II 不需要真实密钥。作者称相对像素域 WEvade-W-II，测得耗时减半，SSIM 从 0.951 到 0.970，LPIPS 从 0.061 到 0.046。

软目标、工作点与迭代

• 软硬差距：Table V 中，软目标达到但仍被检出的图像占全部图像的 0.02、0.00、0.03、0.03，硬检验规避为 0.97、1.00、0.96、0.95，顺序为 Stable Signature、YU1、HiDDeN、MBRS。Figure 6 在 Stable Signature 上标注 Met 95.0%、In set 97.0%、越出集 2.0%。
• 目标点：Table IX 在 Stable Signature 上，a*=0.30 时 Bit ACC 为 0.309，低于下界 0.3125，DR2 为 0.44；a*=0.50 时 DR2 为 0.02。Table X 中，带状宽度 h=0.18 的干净 DR2 为 0.26，点目标为 0.03。作者把点目标留作这些实验中更保守的工作点。
• 迭代：Table XIII 中，反转基线在 T=10 时 DR2 为 0.94，T=25 起为 1.00；T=100 时 SSIM 为 0.921（T=25 时为 0.955）。LiBRA 从 T=25 到 T=100，DR2 保持 0.03，SSIM 在 0.970 到 0.971。作者称继续迭代会进一步降低基线保真，而 LiBRA 在该范围内保持稳定。

后处理与离散度检测

• 变换后：Table XV 对 5,000 张 Stable Signature 的 LiBRA 输出做 JPEG、缩放还原、高斯噪声和中心裁剪。DR2 从处理前的 0.03 变为 0.03–0.05；DR1 从 0.00 升到 0.12–0.36。裁剪后 SSIM 为 0.611。
• 组合规则：额外检验逐比特置信离散度时，无攻击、基线、B+ 的组合检出率均为 1.00，未适配 LiBRA 为 0.64；其离散度检出率为 0.62（Table XV、Table XVI）。各检验 α=0.01。
• 自适应项：把置信方差拉向一批无水印图像估计的参考后，组合检出率为 0.09，离散度检出率为 0.06，DR2 为 0.04，SSIM 为 0.966，LPIPS 为 0.050（Table XVI）。作者称可以用该附加项容纳这一统计量；并称不应把单独加入离散度读成已经解决该问题。

其他消融与分析

• 掩码（Table VIII，Stable Signature）：无掩码与频率掩码的 DR2 均为 0.03；SSIM/LPIPS 为 0.962/0.053 对 0.970/0.046。随机掩码 DR2 为 0.05，Sobel 掩码为 0.04。只经 VAE 重建时 Bit ACC 为 0.893、DR2 为 1.00。
• 早停：反转基线在进入接受带后停止，DR2 为 0.11、Bit ACC 为 0.412、SSIM 为 0.963。加上符号一致性项后 DR2 为 0.04。作者称早停本身不能复现 LiBRA。
• 频谱项：作者将其标为负面结果。加入后 DR2 仍为 0.03，SSIM 为 0.958，LPIPS 为 0.058，耗时 13.6 秒/图；对照为 0.970、0.046、12.4 秒/图。
• 显著性水平（Table XI，YU1，同一 5,000 张只改阈值）：LiBRA 的 DR2 在 α=0.1、0.05、0.01、0.001 时为 0.21、0.06、0.00、0.00。基线在各 α 下均为 1.00。
• 密钥误差（Table XII，Stable Signature）：估计密钥与真实密钥相差 20% 比特时，DR2 为 0.05、SSIM 为 0.968；精确密钥时为 0.03、0.970。指标按真实密钥计算。
• 分辨率（Table XIV，T=50）：256、512、768 的 DR2 为 0.04、0.03、0.03，耗时 3.6、12.4、25.9 秒/图，峰值内存 5.1、13.8、29.6 GB。作者称从 256 到 768 的耗时约 7.2 倍。

作者指出的局限与后续方向

• 白盒范围：攻击假设能获得检测器梯度，以及密钥或估计；作者称这刻画的是所述 white-box 设定，不是任意 black-box 部署（Discussion, Limitations）。
• 梯度没有被放松：密钥误差实验放松了一项假设，但不提供缺失的检测器梯度（同一节）。
• 显著性水平：目标依赖假定的显著性水平；不同零分布、统计量或变化的阈值，可能需要不同目标（同一节）。
• 评测对象：评测覆盖四个已发布 checkpoint 及其配套数据，而不是训练过程的广泛扫描；未建立向 Tree-Ring、Gaussian Shading 这类初始噪声方案的迁移，其基于反演的检测器与所评接口不同（同一节）。
• 比较与目标含义：空间先验只用一种配置，其阈值与水印目标的交互仍未探索。复现基线额外保留 LiBRA 不用的符号一致性项；作者称消融和早停有助于分开因素，但没有单一比较确立普遍更优。到达均值置信目标既不保证硬计数规避，也不最小化畸变；解释聚合均值和观察到的零检出率，需要逐图像结果和不确定性估计（同一节）。
• 后续方向：冗余密钥和联合模式检验仍是后续方向（Discussion）。作者计划探索 black-box 攻击、更多检测统计量和最小畸变界限（Conclusion）。

实验覆盖范围

• 系统与规模：主实验使用 Stable Signature、YU1、HiDDeN、MBRS 四个已发布 checkpoint，每系统 5,000 张；每个四系统配置共 20,000 张，按系统分别平均（Section V-A、Table IV）。
• 对照：Table VI 在 5,000 张 Stable Signature 上包含五种后处理，以及 WEvade-W-I、WEvade-W-II、UnMarker、VAE 再生、扩散再生和潜空间反转目标。
• 机制测量：Table V 与 Figure 6 记录软目标是否达到、硬检验是否接受。Table VIII 至 Table XVI 分别改变掩码、附加损失、a*、带状惩罚、α、密钥比特误差、迭代次数、分辨率、后处理，以及针对离散度检测器的方差项。
• 平台与判定：攻击侧使用公开、非水印的 Stable Diffusion 2.1-base VAE。检测为精确双侧二项检验，默认 α=0.01，并另报单侧规则 a(x′)>0.5（Section V-A）。
• 论文未报告：多次独立重复的次数；聚合均值之外的不确定性估计。作者在 Limitations 中写，解释观察到的零检出率需要这类估计。

LiBRA 是一种 white-box 的图像水印移除方法，针对双侧统计检测，而不是只把比特准确率压到 0.5 以下。

• 要处理的不一致：把解码比特持续推离密钥，会得到反转后仍可检出的水印，继续优化还可能损伤图像。攻击优化的是软置信，检测看的是离散比特是否匹配，二者可以分开。
• 做法：对抗者知道或能估计密钥，可对检测器反传，但只能用公开非水印自编码器。方法在潜空间做有界扰动，用对称损失把平均软置信拉向 a*=0.45，并加上潜空间与图像保真项；频率引导掩码可选。是否成功，用 α=0.01 的精确双侧二项检验判定。
• 四系统主结果：Table IV 中，反转基线的 DR2 在 Stable Signature、YU1、HiDDeN、MBRS 上均为 1.00，LiBRA 为 0.03、0.00、0.04、0.05；对应 SSIM 为 0.970、0.982、0.972、0.971。所有被攻击配置的单侧 DR1 都是 0.00。
• 外部对照：在 5,000 张 Stable Signature 上，像素域 WEvade-W-II 的 DR2 为 0.02、SSIM 为 0.951，LiBRA 为 0.03、0.970（Table VI）。潜空间、随机参考下，LiBRA 为 12.5 秒/图，WEvade-W-II 为 118.6 秒/图（Table VII）。作者称约 9.5 倍加速；同时写明 LiBRA 主设定需要密钥或可靠估计，WEvade-W-II 不需要真实密钥。
• 没有被软目标盖住的结果：软目标达到后仍可能被硬检验检出，占全部图像的 0.00–0.03（Table V）。加上置信离散度检验后，未适配 LiBRA 的组合检出率为 0.64；加入方差匹配项后为 0.09（Table XVI）。作者的结论是，双向目标能抑制过度反转，但到达软目标不保证移除成功；作者计划继续研究 black-box 攻击、更多检测统计量和最小畸变界限。