RemTraceNet：不可见水印攻击的少样本取证检测

去除不可见水印并不等于抹去取证痕迹；要判断的是图像是否经过指定去除流水线。

• 场景：不可见水印配合检测器、密钥和登记，可用于来源追踪与权属核验。作者认为，核验失败时去除痕迹能提供补充证据；痕迹缺失则失败原因含糊。良性传输后处理也可能导致核验失败。
• 现有做法：作者称现有评测多看水印抑制、感知质量、可检测性或载荷恢复，取证隐蔽性很少被考虑。现有水印检测器识别或解码载荷，不判断指定流水线的处理历史。
• 观察：视觉相似不等于取证上不可区分。作者假设没有单一统计量能覆盖全部流水线，需要把处理证据与图像内容分开，并避免把水印存在当成正类捷径。
• 做法：为每条已知流水线训练二分类专才 RemTraceNet，做少样本（few-shot）、流水线特定的处理历史检测。它融合受限残差、局部关系、FFT/Haar 统计和块 DCT，再用全局预测与稠密局部 Top-k 聚合。
• 威胁模型：
  • 目标：识别图像是否由指定流水线产生。不检测水印是否存在，也不判断载荷是否被成功去除。正类只表示指定操作产生了该图。
  • 知识：检查点对应已知流水线，但输入不含攻击或水印标识。检测器不接收密钥、编码器、解码器、目标检测器或攻击参数。
  • 配对：后验（post-hoc）水印按源图对齐；生成器内置水印按提示词配对，两边可以是不同实现。伪造流水线还可使用供体或参考输入。
  • 切片：同一专才在 Attack-vs-Clean 与 Attack-vs-Watermarked 上分开报告。两类对照都标为负类，攻击类与合并负类平衡。

正文没有单独的 Related Work。下面按引言和讨论里实际写到的组来列。

• 不可见水印：Zhu et al. (2018)、Tancik et al. (2020)、Fernandez et al. (2022, 2023)、Wen et al. (2023)、Yang et al. (2024) 被用来说明神经水印已覆盖后验像素编码器、潜表示和生成器内置信号。讨论部分称，现有系统通常靠载荷解码、密钥匹配或检测器分数核验来源。
• 去除与鲁棒性协议：Petitcolas et al. (1998) 以及 Jiang et al. (2023)、Lukas et al. (2024)、Zhao et al. (2024)、Liu et al. (2025)、Qiu et al. (2025)、Dong et al. (2025) 被列入攻击面，包括信号与几何变换、面向检测器的优化、学习式重建、扩散再生、潜空间反演和伪造。本文作者批评的是这类协议：它们测可检测性或载荷恢复，不测处理后图像能否与干净图或未攻击水印图区分；取证隐蔽性很少被考虑。这不是被引作者自己的结论。
• 取证组件：Bayar and Stamm (2018) 的约束卷积被用于残差茎，使滤波器系数和为 0、抑制直流响应。论文只把它当作构造组件，没有拿它做对照实验。

基线方法是从零重训的 SRNet、ZhuNet、SiaStegNet。基准/数据集是 MS-COCO；10 个水印配置和 23 条去除流水线是本文实验因素，不是外部命名基准。

作者把本文放在载荷恢复式评测之外：对已知流水线做少样本处理历史检测，并用配对的干净图与未攻击水印图避免“有水印”成为正类证据。

每条已知流水线对应一个二分类专才 RemTraceNet，可训练参数为 4.80 million。输入不含流水线或水印身份。模型在原生分辨率上做四路证据，再把全局判断和局部多实例判断等权相加。

任务定义

• 配对单元 q：后验水印时 q 是源图身份，干净图与水印图像素对应；生成器内置时 q 是提示词，两边是不同随机实现，不假设像素对应。
• 正类通常是 Ka 作用在未攻击水印图上的结果；伪造还可使用供体或参考输入。负类是干净图和未攻击水印图，不另训干净检测器。
• 两个切片分开报告。Tclean 比较配对的未处理内容：图像对齐时比的是嵌入加攻击历史与精确源图，提示词配对时还包含生成变异。Twm 用来避免水印存在本身成为充分正证据。
• 水印配置身份只用于抽样和报告。拟合与检查点选择的内容身份在水印之间保持 stem 不相交。

四路取证表示

• 残差茎：滤波后把 [0, 1] 放到 [0, 255]。学习的 5×5 Bayar 滤波器中心系数为 −1，其余系数和为 1，整核系数和为 0。固定 30 个 SRM 滤波器和 18 通道学习的 3×3 高通，补足其 16 个输出通道，共 64 通道，截断线性单元范围为 [−3, 3]。组归一化残差块下采样 16 倍，均值与标准差池化得到 256 维。
• 局部关系：残差浅编码后按 32 像素物理范围池化，256 为 8×8，512 为 16×16。对区域及其 3×3 邻域，用绝对差和逐元积预测注意力，残差更新得到 128 通道关系图。
• 频谱：RGB 转 YCbCr，每通道做中心化 log(1+|F(x)|) 并按图像和通道标准化；亮度的一级 Haar 细节带 LH、HL、HH 与频谱对齐。六通道编码器输出 128 维。
• 块 DCT：亮度做正交 8×8 DCT，偏移为 (0, 0)、(0, 4)、(4, 0)、(4, 4)。63 个交流频率用可微直方图：单位间隔箱覆盖 [−16, 16]，步长 4 的箱覆盖 [−128, 128]，另加两个溢出箱。归一化并做平方根变换后卷积，得到 128 维；带符号对数幅度交流图另编码，跨相位对齐后平均。

全局门控与局部 Top-k

每路全局向量先投影到 256 维，再经学习门控融合。训练时每路以概率 0.25 独立丢弃，至少保留一路，幸存门控重归一化。局部路径把关系图和 DCT 图对齐后卷积，得到 M 个位置 logit。k 为 0.25M 向上取整。最终 logit 为 s=0.5s_g+0.5s_l 即全局 logit 与前 k 个局部 logit 的平均等权相加；s 的 sigmoid 是该图经过指定流水线处理的概率。

角色平衡的低假阳性目标

n 个完整三元组含 n 张攻击图和每种负类 n 张。角色平衡交叉熵的有效质量是攻击 0.50、每种负类 0.25，不抽掉任一负类。排序项把正类分别与干净负类、水印负类中最难的 20% 比较，软间隔 0.5，两路损失平均而不是把尾部混在一起。配对项把归一化后的干净特征与水印特征拉近，并把攻击特征推离负类中心至少一个单位；提示词配对不假设像素对应。总目标为 L=L_BCE+0.5L_rank+0.2L_pair+0.2L_branch+0.01L_gate+0.001L_HPF 分支项把同一交叉熵用到每个全局视图，门控项惩罚批次平均门控偏离均匀使用，高通项约束学习高通先验。补充材料给出各项完整定义，正文给出上述系数。

实验设置

• 图像与水印：全部来自 MS-COCO。拟合和检查点选择用 DwtDctSvd、Stable Signature、Gaussian Shading、SSL Watermarking、EditGuard。未见组不提供训练或验证图：DwtDct、HiDDeN、StegaStamp、Tree-Ring、RivaGAN。Stable Signature、Gaussian Shading、Tree-Ring 按提示词配对，其余按源图对齐。正式测试排除验证 stem，但不在水印配置之间去重；指标先按水印计算。
• 流水线：23 条。12 条信号或几何变换，5 个学习式 VAE 压缩/重建，3 个扩散再生，以及 NFPA、BM3D、WMForger。正类不表示水印一定被去掉。
• 样本量：每条攻击的完整三元组 n 取 10、20 直到 100，以及 150、200，均匀分到五个训练水印。n=200 即每个角色 200 张。正式测试对每个水印和分辨率，用 100 张攻击图对 100 张干净图，并另对 100 张水印图。主结果为 n=100。
• 优化：在原生 256×256 上恰好训练 1,000 次更新，每次 8 个内容组。AdamW，初始学习率 4×10^-4，权重衰减 10^-4，50 步预热，余弦衰减到 10^-6，混合精度，EMA 衰减 0.999。单一训练轮次后的最终 EMA 在固定验证集上评估一次，并作为所报告检查点。同一检查点不做外部缩放，直接评 256 与 512。主扫描种子为 42、43、44。
• 指标：报告 AUROC、AUPRC、TPR@5%FPR、TPR@1%FPR，主指标是 TPR@1%FPR。操作点从测试分数的经验 ROC 读取，是切片描述性阈值，不是验证集校准的单一部署阈值。每切片 100 个负类，0、1、2 个假阳性对应经验 FPR 0%、1%、2%。先按切片和种子计算，再对攻击和水印宏平均，最后汇总三随机种子。
• 基线：SRNet、ZhuNet、SiaStegNet 从零重训，标签、清单、角色平衡、1,000 次更新、优化日程、EMA 和原生分辨率测试相同。基线用角色平衡二类交叉熵，SiaStegNet 的可选对比项关闭；RemTraceNet 保留完整目标。不做模型特定超参搜索。基线对比只用种子 42，论文写明这不是三随机种子显著性分析。

主结果

据 Table 2，n=100，三随机种子均值±标准差（%）。All 先对攻击和水印宏平均，再平均五个已见与五个未见水印。

Swipe horizontally to read the table

分辨率与负类	AUROC（All）	TPR@1%FPR（All）	Seen	Unseen
256 Clean	98.21±0.09	87.35±0.90	91.28±0.98	83.43±0.90
256 Watermarked	98.01±0.06	88.17±0.36	92.03±0.88	84.31±0.56
512 Clean	96.44±0.62	82.75±1.19	82.97±1.80	82.53±0.58
512 Watermarked	96.68±0.69	82.88±1.74	85.62±2.40	80.13±1.44

• 作者称两种负类的 All 列 TPR@1%FPR 在 256 相差 0.82%、在 512 相差 0.13%，并称该汇总层面两种对照下性能相当。
• 作者称未见水印的 TPR@1%FPR 在四种设置上都低于已见水印：256 上低 7.84% 与 7.71%，该句未标明二者对应哪种负类；512 上对干净负类低 0.43%，对水印负类低 5.49%。四种设置的差距被写成 0.43–7.84%。
• 512 低于 256。作者称不应把原生分辨率评测读成分辨率不变。Table 2 是三随机种子均值，与下面种子 42 的表不是同一汇总。

与重训隐写分析系统对比

据 Table 3，种子 42、n=100，对 23 条攻击和 10 个水印宏平均的 TPR@1%FPR（%）。

Swipe horizontally to read the table

模型	256 Clean	256 Watermarked	512 Clean	512 Watermarked
SRNet	61.46	63.33	51.61	53.35
ZhuNet	69.04	68.34	61.80	62.37
SiaStegNet	75.69	75.40	70.25	69.05
RemTraceNet	86.49	87.77	84.12	84.73

• 四种总体设置里，基线中 SiaStegNet 最高。摘要写 RemTraceNet 高出 10.80–15.68 个百分点；第 4.5 节写分别高 10.80%、12.37%、13.87% 和 15.68%。引言写的是 10.80–15.68%。
• 据 Table 4，再对两种分辨率和两种负类宏平均后，RemTraceNet 在常规失真、扩散再生、潜空间反演、水印伪造四列更高。SiaStegNet 在学习式压缩/VAE 为 98.44%、经典去噪为 98.70%，高于 RemTraceNet 的 94.38% 与 93.85%。扩散再生列 SRNet 为 19.94%，潜空间反演列 ZhuNet 为 21.12%、SRNet 为 27.25%。
• 作者称这是任务适配后的完整系统对比，不是现成隐写分析检查点，也不是共享损失下的架构消融；不能据此声称跨种子统计上更优，或优于更广的图像取证文献。

样本量与水印子组

• 作者称，n 从 10 到 100，总体宏平均 TPR@1%FPR 在 256 上对干净/水印负类上升 18.34% 与 16.10%，在 512 上上升 26.13% 与 20.36%；n 从 100 到 200 只再增加 0.22–4.31%。更新预算固定，作者称这不是逐样本暴露对齐的学习曲线，单个单元格不必单调。正文未给出 n=10 的绝对 TPR。
• Figure 3 按攻击家族报告 n=100 的三随机种子宏平均 AUROC，面板 (a) 分已见/未见，面板 (b) 分内置与后验。内置指 Stable Signature、Gaussian Shading、Tree-Ring，后验指其余七个配置。正文写：512 上扩散再生对内置水印为 75.69%/79.44%（干净/水印负类），对后验水印为 98.06%/98.10%。作者称该内置×扩散再生子组是图中最低 AUROC，但配对方式和组内构成不同，不能把差异归因于生成器内置。纯文本图中单元格可能错列，此处只用正文数字。
• Figure 2 是种子 42、原生 256、n=100 的 DwtDctSvd 配对示例，列为 JPEG、BM3D、VAE regeneration、CtrlRegen+、WMForger、NFPA、Gaussian noise、Gaussian blur、Watermark-Attacker。行包括干净图、水印图、攻击图、放大 15 倍的攻击图减水印图残差，以及 Top-k 前的局部决策响应。作者称该行是局部决策诊断，不是像素级归因，此例也不能确立与残差严格对齐或与图像语义独立。

其他消融与分析

• 方向性准则预先规定：相对本套件参照，TPR@1%FPR 须在 256/512×干净/水印四种组合都下降。套件的攻击覆盖和种子数不同，效应只在套件内比较。Figure 4 省略方向不一致的设置。
• 八攻击核心套件、只留残差全局路径：作者称低 18.58–20.47%。正文未列出这八个操作的名称。
• 同套件去掉全局编码器、频谱、块 DCT、稠密局部分数：作者称分别低 0.50–0.79%、1.14–2.68%、1.85–3.62%、1.38–2.98%，并称不必在全部 23 条流水线上一致。
• 全部 23 条攻击：去掉分支辅助监督低 5.38–7.68%；只用角色平衡交叉熵低 3.53–8.55%。完整目标高于这两项。后一对比不能分离排序、配对、门控或高通项。
• 仅种子 42：去掉干净负类低 0.37–8.53%；去掉全局 DCT 直方图低 5.43–9.73%。这两行只在该种子的四种条件上都满足方向性准则。
• 正文表格给出 AUROC 与 TPR@1%FPR；第 4.2 节列入的 AUPRC、TPR@5%FPR 数值未出现在正文表中。

作者指出的局限与后续方向

• 当前对照协议没有系统纳入传输中的压缩和平台重编码等良性操作。因此现有实验没有检验恶意水印去除能否与所有类型的良性后处理区分（第 5 节）。
• RemTraceNet 检测的是与指定攻击流水线相关的痕迹，不能恢复受损水印载荷，也不能推断密钥、所有者身份或签名信息（第 5 节）。
• 若已有独立信息指向特定去除工具或算法，可用对应专才评估痕迹是否与该流水线一致，并与原文件、水印密钥、数字签名及其他调查证据一起解释。检测器单独不能确立版权归属、侵权或攻击者意图（第 5 节）。
• 作者计划研究攻击类型和受影响区域的估计能否引导图像恢复与水印解码，并把攻击检测和载荷恢复结合起来，以便直接核验失败时分析原因并在可能时恢复权属证据（第 5 节）。这是计划，不是已完成的实验。

实验覆盖范围

• 被评测检测器为 RemTraceNet，对照为从零重训的 SRNet、ZhuNet、SiaStegNet。图像来自 MS-COCO，去除流水线 23 条，水印配置 10 个，其中 5 个用于拟合和检查点选择，5 个未见且不进入训练或验证。
• 主扫描种子为 42、43、44。训练在原生 256×256 上进行，同一检查点评原生 256 与 512，不做外部缩放。正式测试对每个水印和分辨率使用 100 张攻击图、100 张干净图和 100 张未攻击水印图；训练三元组 n 从 10 到 200。
• TPR@1%FPR 由各切片测试分数的经验 ROC 读取，不是单一验证集校准阈值。每切片负类为 100。基线对比和第 4.6 节的部分消融使用种子 42；第 4.5 节写明该对比不是三随机种子显著性分析。论文未报告显著性检验。
• 架构消融使用预先固定、覆盖六个攻击家族的八攻击核心套件，具体操作名单在补充材料；损失消融覆盖全部 23 条攻击。正文 Table 2–4 报告 AUROC 与 TPR@1%FPR。AUPRC 与 TPR@5%FPR 在第 4.2 节被列为报告指标，正文表格未给出数值。
• 论文未报告人工标注，也未报告评审与人工的一致性。检测器不接收密钥、编码器、解码器、目标检测器或攻击参数。

RemTraceNet 把不可见水印去除之后的取证写成处理历史检测：作者认为，擦掉水印和擦掉去除痕迹不是同一件事。

任务不是判断水印还在不在，也不是判断载荷有没有被去掉。每条已知流水线有自己的二分类专才。输入不含流水线或水印身份，检测器也不使用密钥、编解码器、目标检测器或攻击参数。后验方案按源图配对，生成器内置方案按提示词配对。模型融合受限残差、局部关系、FFT/Haar 和块 DCT，全局 logit 与局部 Top-k 等权。两种对照都是负类，并分开报告。

• 图像来自 MS-COCO，共 23 条流水线、10 个水印配置，其中 5 个不参与拟合。主指标是测试 ROC 上的 TPR@1%FPR。
• Table 2 在 n=100、三随机种子、对攻击和水印宏平均后，256 的干净/水印负类为 87.35% 与 88.17%，512 为 82.75% 与 82.88%。作者称 512 不能读成分辨率不变，未见水印在四种设置上都低于已见水印。
• 正文另给出：512 上内置水印的扩散再生 AUROC 为 75.69% 与 79.44%（干净/水印负类），后验水印为 98.06% 与 98.10%。作者称不能把这一差异归因于生成器内置。
• Table 3 的种子 42 上，RemTraceNet 为 86.49%、87.77%、84.12%、84.73%。摘要写相对重训基线高出 10.80–15.68 个百分点，第 4.5 节写高 10.80%、12.37%、13.87% 和 15.68%。Table 4 里 SiaStegNet 在 VAE 重建和经典去噪上更高。作者称这不是跨种子显著性结论。
• 作者的结论是：去除痕迹在有限监督下仍可学习，可在直接核验失败时补充处理历史证据。检测器不能单独确立权属、侵权或意图，也不能恢复载荷。作者计划以后把检测和恢复结合起来。对照目前没有系统纳入传输压缩等良性后处理。