研究证明隐形图像水印可被生成式 AI 移除

1. 01这篇论文试图解决什么问题？

   作者提出再生攻击，论证像素级不可见水印可被可证明地去除，并探讨语义水印作为替代。

   核心问题：不可见图像水印是否必然不鲁棒——水印的不可见性与抗去除能力之间是否存在根本权衡。

   • 问题场景：AI 生成图像逼真，Google、Microsoft、OpenAI 等公司承诺为 AI 生成图像加水印；不可见水印不损害画质、不易被普通人移除，但恶意使用者会尝试去除它，因此水印必须能抵抗规避攻击。
   • 现有方法不足：作者将已有攻击分为两类——破坏性攻击（调亮度、JPEG 压缩、加高斯噪声）能去水印但画质损失大；构造性攻击（Gaussian blur、BM3D、学习型去噪）保画质但难以去除有鲁棒性的水印。学习型水印则针对已知攻击训练，作者质疑这种攻防循环的终点。
   • 核心观察：生成模型的进步既催生了水印需求，也让水印去除更容易；把破坏（加噪）与构造（生成模型重建）结合，可能同时实现去水印和保画质。
   • 威胁模型：
     • 攻击者能力：只能访问带水印图像；水印方案 Watermark、辅助信息 aux、检测算法 Detect 均未知；不能查询 Detect；可用任意侧信息和算力修改图像。
     • 攻击者目标：使检测算法出现高 Type I 错误（假阳性）或高 Type II 错误（假阴性），同时输出图像质量与原图相当。
   • 论文提出：一族再生攻击（regeneration attack），可实例化为传统去噪器、VAE 或扩散模型；并给出理论证明：对任何在 ℓ2 距离内扰动图像的不可见水印（无论是否已被发明），攻击都能可证明地去除；同时探索语义水印（如 Tree-Ring）作为替代防御。

   收起这一问

2. 02有哪些相关研究？

   相关工作涵盖图像水印与隐写、深度生成模型与净化，以及并发的生成模型去水印攻击。

   图像水印与隐写

   • LSB 嵌入 [62] 等早期手工方法，以及空间域 [17]、频域 [24, 44] 的隐写技术。
   • 深度学习方法：SteganoGAN [66] 用 GAN 做隐写；RivaGAN [67] 引入注意力机制提升 GAN 水印鲁棒性；SSL watermarking [15] 用自监督特征；Stable Signature [14] 微调 Latent Diffusion 解码器加水印；Tree-Ring [60] 提出语义水印。
   • 论文说明本文针对不可见水印而非可见水印：可见水印易被定位，且其去除技术已被 [35, 21, 10] 广泛研究。

   深度生成模型与净化

   • VAE [56, 55]、GAN [18]、flow 模型 [46]、扩散模型 [23, 47] 等生成模型可利用潜在表示做数据净化（purification）。
   • 论文指出 [43] 的扩散净化方法与本文再生攻击的一个实例相似，但用途不同（净化是防御、去水印是攻击），且作者称本文的水印去除理论保证更强。

   并发的生成模型去水印攻击（附录 B.2）

   • DiffWA [32]：用带距离引导的条件扩散模型去水印；论文指出它只适用于低分辨率图像且缺乏理论保证。
   • [49]：训练替代分类器并做 PGD 攻击欺骗黑盒水印检测器；论文指出其需要多次查询目标生成器。
   • [37]：自适应攻击，通过可微代理密钥复制秘密水印密钥；论文指出其假设攻击者知道水印方法，比本文假设更强。

   基线与基准：实验对比 5 类基线攻击——亮度调整、对比度调整、JPEG 压缩、高斯噪声、高斯模糊；被攻击对象为 DwtDctSvd、RivaGAN、StegaStamp、SSL 四种像素级水印，数据集为 MS-COCO 与 SDP 生成图像。

   作者将本文定位为：能处理高分辨率图像、提供理论证明、且不假设攻击者了解水印算法的去水印方法。

   收起这一问

3. 03论文如何解决这个问题？

   先加噪破坏水印嵌入、再用生成模型重建图像；理论借助高斯差分隐私给出可证明去除与质量保持。

   整体思路是把破坏性攻击与构造性攻击结合成再生攻击（regeneration attack）：先将带水印图像映射到嵌入表示并加高斯噪声破坏水印，再用再生算法从带噪表示重建图像。

   问题形式化

   • 不可见水印（Definition 2.1）：若 dist(x, xw) ≤ ∆，称水印对原图 x 是 ∆-不可见的。
   • 检测（Definition 2.2）：Detect 输出 0/1，Type I 错误 ϵ1 为假阳性率，Type II 错误 ϵ2 为假阴性率；攻击目标是同时抬高两者。
   • 判定阈值：提取消息 m′ 与原消息 m 匹配比特数 M(m, m′) ≥ τ 判为检出；以 p < 0.01 拒绝零假设，32 位水印需至少 23 位正确（96 位需 59 位）。

   攻击框架

   • 给定嵌入函数 ϕ、再生函数 A 和噪声水平 σ，攻击为 x̂ = A(φ(x_w) + 𝒩(0, σ² I_d))，前半步是破坏、后半步是构造。
   • ϕ 与 A 的选择影响实证结果但不影响理论保证。

   三个实例

   • 实例 1（恒等嵌入 + 去噪重建）：ϕ 为恒等映射，A 可用 BM3D、TV-denoising、双边滤波、DnCNN 或去噪自编码器；去噪自编码器自身已加噪，无需额外噪声。
   • 实例 2（VAE）：编码器输出高斯分布的均值与方差并采样，编码阶段已注入噪声，无需额外加噪。
   • 实例 3（扩散模型，Algorithm 1）：xw 映射到潜在表示 z0，按 VP-SDE 加噪到时间步 t∗，用数值求解器反向去噪得到 ẑ0，再解码回图像；实验用 Stable Diffusion-v2.1 和 PNDM 采样，噪声步数取 [10, 30, 50, 100, 150, 200]（对应 σ = [0.10, 0.17, 0.23, 0.34, 0.46, 0.57]）。

   理论保证

   • 可证明去除（Theorem 4.3）：定义 f-Certified-Watermark-Free（f-CWF），即攻击后任何检测算法都满足 ϵ2 ≥ f(ϵ1)。对 ℓ2 距离下 ∆-不可见水印，若 ϕ 满足局部水印特定 Lipschitz 性质（∥ϕ(xw) − ϕ(x)∥ ≤ Lx,w∥xw − x∥），则攻击满足 f(ϵ₁) = Φ(Φ⁻¹(1−ϵ₁) − L_x,wΔ/σ)，含义是攻击后检测难度不亚于区分 N(0,1) 与 N(Lx,w∆/σ, 1) 两个高斯分布。证明借助高斯差分隐私 [12]。
   • 质量保持（Theorem 4.4）：若生成模型能以至少 1 − δ 概率把加噪的无水印原图去噪到误差 ξ 内，则同一模型用于带水印图像时以至少 1 − δ̃ 概率达到同样误差，δ̃ 仅略大于 δ（Corollary 4.5 给出 δ̃ ≤ e^(L²∆²/σ²)·δ^(1/2)）。
   • 参数选择（Remark C.5）：t∗ 应取在两个平凡情形之间，使 Lx,w∆√(α(t∗)/(1−α(t∗))) 为小常数；常数越小水印去除越彻底，越大重建保真度越高。

   替代防御

   • 语义水印不限制 ℓ2 扰动，只要图像内容相似即可；论文以 Tree-Ring [60] 为例，它在初始噪声向量的傅里叶空间嵌入模式，检测时反演扩散过程取回噪声向量检验。

   收起这一问

4. 04论文做了哪些实验？

   在四种像素级水印上对比八种攻击，再生攻击去除率与画质兼优；Tree-Ring 语义水印能抵抗但变得更可见。

   实验设置

   • 被测水印方案：DwtDctSvd [41]、RivaGAN [67]、StegaStamp [53]、SSL watermark [15] 四种像素级方法；DwtDctSvd、RivaGAN、SSL 用 k = 32 位，StegaStamp 用 k = 96 位。
   • 数据集：MS-COCO 随机选取 500 张真实照片；用 Stable Diffusion-v2.1 以 SDP 数据集提示词生成 500 张图像。实验在 Nvidia A6000 GPU 上进行。
   • 基线攻击：亮度（因子 2–12）、对比度（2–7）、JPEG（质量 10–60）、高斯噪声（标准差 5–30）、高斯模糊（半径 2–12），各 6 档。
   • 再生攻击配置：VAE 用 CompressAI 的 Bmshj2018 与 Cheng2020 预训练压缩模型（压缩因子 1–6）；扩散攻击用 Stable Diffusion-v2.1，噪声步数 [10, 30, 50, 100, 150, 200]，PNDM 采样。
   • 指标：图像质量用 PSNR、SSIM、FID；水印鲁棒性用 TPR@FPR=0.01；检出阈值为正确解码 23/32、59/96 位（正文另提及 32/48 位），p < 0.01。
   • 重复次数：论文未报告。

   主结果

   无攻击时四种水印均能 100% 检出（Table 1，TPR@FPR=0.01 均为 1.000）：

   表格较宽，可左右滑动

   水印	MS-COCO PSNR↑	MS-COCO SSIM↑	MS-COCO FID↓	SDP PSNR↑	SDP FID↓
   DwtDctSvd	39.38	0.983	5.28	37.73	9.62
   RivaGAN	40.55	0.978	10.83	40.64	13.56
   SSL	41.79	0.984	18.86	41.88	23.87
   StegaStamp	28.50	0.911	35.91	28.28	41.63

   （据 Table 1；两个数据集上 TPR@FPR=0.01 均为 1.000）

   • 去除效果：作者报告 VAE-Bmshj2018、VAE-Cheng2020 与扩散攻击对 DwtDctSvd、RivaGAN、SSL 三种水印的去除率均超过 99%（Figure 4、7）；StegaStamp 鲁棒性最高，只有大噪声的扩散攻击能有效去除。
   • 画质：引言报告对 RivaGAN，再生攻击去除 98% 水印的同时 PSNR 保持在 30 以上；VAE 的 PSNR/SSIM 更高，但 Figure 3 显示 VAE 输出有模糊，作者认为 PSNR/SSIM 对模糊不敏感，扩散与 VAE 的选择应视应用需求而定。
   • 理论验证：Figure 2 显示 DwtDctSvd 检测器在扩散攻击（σ = 1.16∆，L 取经验上界 1，500 张 MS-COCO 图像）后的实证权衡曲线落在理论不可能区域之外，作者称实证检测表现比理论界更差。

   语义水印防御实验

   • 设置：Tree-Ring 在生成过程中加水印，需文本输入，故用 MS-COCO 的 captions 和 SDP 的用户提示词作为输入，再施加同样的攻击。
   • 结果：Tree-Ring 在所有受测攻击下保持检出（Table 2）：MS-COCO 上 TPR@FPR=0.01 最低为 0.998（VAE-Bmshj2018-3），扩散攻击（Diffusion model-60）后为 1.000；SDP 上最低为 0.994（JPEG-50、VAE-Bmshj2018-3、VAE-Cheng2020-3），扩散攻击后为 0.998。
   • 代价：Figure 14 显示 Tree-Ring 水印图像与原图在像素空间和潜在空间的 ℓ2 距离都明显大于四种像素级水印，作者称鲁棒性以水印变得更可见为代价。

   其他消融与分析

   • 噪声水平：Figure 4、7 显示扩散攻击提高噪声水平可提升对 StegaStamp 的去除率，同时画质下降，与"更大扰动需要更多噪声"的理论一致。
   • 嵌入压缩：Figure 5 显示四种水印在潜在空间的 ℓ2 距离小于像素空间，作者称神经嵌入压缩了水印扰动；StegaStamp 在两个空间的扰动都最大。
   • RivaGAN 理论验证：Figure 12 给出 RivaGAN 在 σ = 0.57 扩散攻击下的理论与实证权衡曲线。
   • 例外：StegaStamp 是唯一不能被 VAE 攻击有效去除的水印，作者将其部分归因于其更低的视觉质量和更大的扰动（Table 1、Figure 5、6）。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者讨论了神经嵌入 Lipschitz 上界、噪声机制选择等开放问题，并指出语义水印以可见性换鲁棒性。

   作者指出的局限与后续方向

   • 神经嵌入的均匀上界（附录 A）：Theorem 4.3 的保证依赖具体图像、具体水印的局部 Lipschitz 参数 Lx,w；作者认为 VAE、扩散模型等神经嵌入存在均匀上界，但因对抗样本现象可能 ≫ 1、过于保守而难以实用。
   • 对抗性水印的例外（附录 A）：作者认为若水印扰动被精心设计为与对抗扰动对齐，带水印图像对使用神经嵌入的攻击会更具抵抗力（对不用神经嵌入的攻击则不会）。
   • VAE 的理论适用性（Remark C.6）：Theorem 4.3 不直接适用于 VAE，因其噪声方差依赖输入；需人工扰动输入或潜在向量才能提供可证明保证，或借助 Smooth Sensitivity、Propose-Test-Release 等技术。
   • 噪声机制的选择（附录 A）：除高斯噪声外还可用 Laplace 噪声等差分隐私与密码学中的扰动机制；作者称系统研究噪声选择（及随机量化方法）的影响是有趣的未来方向。
   • 语义水印的代价（附录 E.2）：Tree-Ring 的鲁棒性以图像与原图差异更大为代价，作者称其"并非完美方案"，水印变得有些"可见"。

   实验覆盖范围

   • 被测像素级水印为 DwtDctSvd、RivaGAN、StegaStamp、SSL 共 4 种；语义水印防御只评测了 Tree-Ring 一种（附录 E）。
   • 数据集为 MS-COCO 500 张真实图像和 Stable Diffusion-v2.1 生成的 500 张 SDP 图像。
   • 再生攻击实例化了 VAE（Bmshj2018、Cheng2020）与扩散模型（Stable Diffusion-v2.1）三种；基线攻击为亮度、对比度、JPEG、高斯噪声、高斯模糊五类。
   • 论文未报告每个实验条件的重复次数，也未报告攻击的耗时或计算成本数字。
   • 理论实验（Figure 2、12）在 500 张 MS-COCO 图像上进行，L 取经验上界 1。

   收起这一问

6. 06总结一下论文的主要内容

   再生攻击结合加噪与生成模型重建，可证明地去除像素级不可见水印；语义水印是可能的替代方向。

   一篇关于图像不可见水印鲁棒性的攻击论文，追问水印不可见性与抗去除能力之间是否存在根本权衡。

   • 问题：AI 公司承诺为生成图像加不可见水印以保护版权和标识来源，但已有破坏性攻击损画质、构造性攻击难除鲁棒水印，攻防循环没有终点。
   • 方法：再生攻击先把带水印图像映射到嵌入表示并加高斯噪声，再用去噪算法、VAE 或扩散模型重建图像；攻击者无需知道水印方案、不能查询检测器。理论借助高斯差分隐私证明：对任何 ℓ2 距离内 ∆-不可见的水印，攻击后任何检测算法都无法同时保持低假阳性率和低假阴性率，且重建图像接近无水印原图。
   • 结果：在 DwtDctSvd、RivaGAN、SSL 三种水印上，VAE 与扩散攻击去除率超 99%；对 RivaGAN 去除 98% 水印且 PSNR 超 30；StegaStamp 因扰动更大最鲁棒，仅大噪声扩散攻击有效。实证检测表现与理论界一致（Figure 2）。
   • 替代防御：语义水印 Tree-Ring 在全部受测攻击下保持检出（MS-COCO 上 TPR@FPR=0.01 ≥ 0.998），但水印图像与原图差异明显更大。
   • 作者结论：像素级不可见水印在再生攻击下是脆弱的，作者认为研究和产业重心应从不可见水印转向保持语义的水印等替代方案。

   收起这一问

相关论文