研究给出潜空间图像水印的鲁棒性上限理论分析

作者要解释潜空间水印为何被高估了鲁棒性，以及其对像素扰动缺乏不变性。

• 场景： 作者称扩散模型生成图已难与自然图像区分，虚假信息会造成财产和声誉损失；多地政策建议用数字水印做 AIGC 检测与溯源。
• 现有不足： 作者称已有方法只能在有限扰动类型和有限参数下声称鲁棒，从而掩盖鲁棒性不足的风险。作者关心水印图案、潜分布偏移等因素如何影响这些声称。
• 核心观察： 作者把 RST 框架与扩散模型合在一起，称 DDIM 逆过程对像素空间扰动缺乏不变性。放松不变关系后可得到水印附近变化对应的像素扰动上界；作者称把标准正态的均值移得足够远，能提高对相应图像失真的鲁棒性。
• 给出的工具： 反向与逆过程的 Lipschitz 闭式、水印图像的 ℓp 扰动上界，以及含水印设计、扰动、FPR 和扰动 Lipschitz 常数的检测解析式；实验用于核对，并附设计准则。

潜空间生成式水印

• Tree-Ring [48]： 作者称生成式或过程中水印的概念首先在 Tree-Ring 提出；水印嵌入初始噪声，检测需 DDIM 逆过程。作者称其验证水印存在时有一定鲁棒性，但因容量低，识别性能下降。
• RingID [4] 与 Gaussian Shading [52]： RingID 用更精细图案和多通道异构框架，追求更高鲁棒性与识别能力。Gaussian Shading 及其变体 [25] 把水印映射到标准高斯初始噪声；作者明确对比：Tree-Ring 与 RingID 会使初始噪声偏离标准高斯，后两者不会。
• 其他嵌入位置： ROBIN [16] 在中间时间步嵌入；Latent Watermark [26] 在解码前嵌入；ZoDiac [54] 用预训练 stable diffusion 把水印嵌入可训练潜空间。

内容相关水印与估计攻击

• CDW [21]： 作者称该概念最早用于对抗水印估计攻击，后者用于共谋与拷贝攻击 [44]。它含所有者信息水印和表示载体的图像或内容哈希。
• Yang et al. [51]： 对若干图像取平均以抽出可加图案，用于伪造与去除。作者称他们同时建议内容自适应水印（与 CDW 同一概念）能抵抗该攻击。

几何不变与后处理水印

• RST 传统方法： 引言把 RST 框架 [38] 与扩散模型合在一起。附录 A 写 [38] 用 Fourier–Mellin 抵抗旋转与缩放的组合，[22] 针对 Stirmark。论文用该框架检查扩散逆过程是否仍有 RST 不变性。
• 后处理水印： 脚注将其定义为图像已经生成或已经存在后再加水印，引用 [18, 22, 23, 40, 54, 55]。设计准则另称 [13, 17, 42, 46, 49, 53] 在敏感潜空间之外操作，因而符合其准则。

作者将本文定位为：把 VAMP 与 DDIM 反向过程接起来，解释潜表示水印缺乏扰动不变性，并给出含 FPR 与 Lipschitz 常数的检测解析式。作者称这是对此类方法缺乏不变性的理论分析，也是对实用检测机制各成分的解析形式。

整体思路是把潜空间水印的生成与检测写成算子复合：用 VAMP 和 MMSE 去噪器 分析 DDIM 反向与逆过程，再放松严格不变性，得到像素扰动与检测距离的关系。

记号与生成、检测

• 对象： 图像为 I；x0 是时间步 0 的潜表示，y 是时间步 T 的潜表示。范数为 ℓp，p≥1。编码器 E、解码器 G 来自文献 [37]。
• 生成： y 采自标准正态。W 注入水印，y_w 为 Fourier 域中掩码外保留原值、掩码内放入 w。再经逆 Fourier、反向过程 fθ 和解码得到图像。作者给出 W 的 Lipschitz 常数为图像高与宽乘积的平方根。
• 检测： 对失真图像做编码、DDIM inversion、Fourier 和掩码 M，得到估计水印。扰动算子 T 来自集合 S_T，含几何、非几何和基于模型的扰动；不同参数视为不同算子。

DDIM 的可逆性与扩张性

• Theorem 3.1： 作者不采用“分段线性、无偏置网络”假设，把 T 步反向过程写成 MMSE 去噪器上的 VAMP 展开。作者称 fθ 全局可逆。附录用 Tweedie 公式论证去噪器 Jacobian 的特征值在 [0, 1]，再结合噪声日程使单步 Jacobian 严格正定。
• Theorem 3.4： 噪声日程单调下降时，生成与逆过程的全局 Lipschitz 上界为 L_fθ≤√(α₀/ᾱ_T) 与 L_fθ⁻¹≤√((1−ᾱ_T)/(1−α₀))。ᾱ_t 是从 s=0 到 t 的 α_s 乘积。作者称两常数都大于 1，故二者都是扩张映射。

扰动不变性

• Theorem 3.2： 若 RST 后的表示与原表示不同，则二者再经 Fourier 与 Fourier–Mellin 仍不相等。作者称要取等号须满足 “fragility”：两侧不允许扰动。
• Theorem 3.3： 若输出对 RST 非不变，则对任意扰动也不变。作者把逆过程的扩张造成的幅度不一致当作随机变量，称联合变换后的不等几乎必然成立。
• 放松： 作者称数值误差、不对称 guidance scale 和截断使严格不变即使无攻击也很难达到，故用标量 r 概括这些效应。

扰动上界与检测准则

• Theorem 3.5： 以 w 为心、半径 r 作球。若任意水印图像满足与其受扰版的距离不超过 L_F r，则真水印与受扰估计水印的距离不超过 L_{F^{-1}}(1+L_T)L_F r。L_F 由解码器、反向过程、逆 Fourier 和 W 的 Lipschitz 常数相乘；L_{F^{-1}} 由编码器、逆过程、Fourier 和 M 相乘。
• 阈值： 在给定 FPR 及阈值 R 下，判为嵌入水印需要该距离不超过 R，且 r<R。R 包围真水印与任意受扰水印的距离；r 是两个未受扰水印之间、以及真水印与其受扰对应物之间距离的上界。
• Finding 3.7： 给定扩散模型、M、w 和 R，能抵抗的扰动其 Lipschitz 常数至多为 R 除以（L_{F^{-1}} L_F r）再减 1。作者称提取水印时使用扩张模块会放大像素扰动；若约束这些模块为非扩张，又会限制生成样本多样性。
• Remark 3.8–3.9： 低 FPR 要求更小的 R，R 与 r 之比进一步限制鲁棒性。若 R≤r，检测器会把未受扰的水印图像判为无水印。作者称 r 因扩散模型中不可避免的误差始终存在，实际使用时 R 不能小于 r。

分布偏移与设计准则

• FPR： 无水印集经逆过程后与真水印的距离，在样本量增大时收敛到非中心 χ 分布。R 使落在阈值内的面积比等于目标 FPR，该不等式即检测准则。
• buffer： 增大 r 或 w 的范数可扩大像素侧可容忍范围。作者认为鲁棒性来自把 N(0, I) 移到 N(μ_w, Σ_w)，从而在两分布之间形成 buffer。Tree-Ring 与 RingID 只比较选定通道；作者称其余通道差很多时，只要选定维在约束内仍视为有水印，r 取无穷会出现高 FPR。
• 三条准则： 作者认为潜空间方法在结构上都不满足：反向与逆过程无扰动不变性；Lipschitz 常数大于 1 会放大像素攻击或数值误差，注入与检测应绕过扩张模块；更强信号要移动采样分布，从而降低生成质量并提高 FID。作者质疑该范式的长期可行性，并称若干后处理水印已符合这些准则。Table 1 中的方法，无论是否微调、修改采样或加补偿模块，作者称都不满足上述准则。

实验设置

• 模型与数据： 生成与逆过程采用 Stable Diffusion v2-1；提示词来自 stable-diffusion-prompts。Regen-DiffPure 使用 Stable Diffusion v1-4。附录 K 表头写 Diffusion model 为 LDM，论文未说明是否与 v2-1 为同一权重。
• 方案与采样： 检验对象为 Table 1 上栏中的一部分，实验涉及 Tree-Ring、RingID、HSQR、HSTR、PRCW。环半径 Tree-Ring 为 0∼10，RingID 为 3∼14。生成 50 步、guidance scale 7.5；检测前 DDIM inversion 50 步、guidance scale 1.0。
• 阈值样本： 1e-2 FPR 的阈值由 1,000 对水印与无水印图像的距离计算。附录 G 中上述五种方案各用 100 张水印图经过十类失真。论文未报告重复次数，也未使用 LLM 评审。
• 失真： 每类五个参数（附录 G）：模糊核 1、2、4、6、8；亮度因子 1、2、4、6、8；JPEG 质量 1、5、25、40、80；顺时针旋转 5°、15°、30°、45°、75°；裁剪 10%、25%、40%、60%、80%；弹性形变 (α,σ) 从 (500,50) 到 (1000,100)；透视畸变尺度 0.5 到 1.0；剪切 5、7、10、15、20；Regen-VAE 质量 1 到 5；Regen-DiffPure 的噪声与去噪步数为 10、20、30、40、50。正文因篇幅只展示五类、每类三个参数。
• Stirmark： 附录 K 用 Stirmark 3.1.79，水印图与无水印图各 1000，图像 3×512×512，潜变量 4×64×64，FPR 为 1e-2。指标为 AUC、ACC 和 [email protected]。ACC 在两类样本数相等时与常规定义一致。
• PRCW 判定： 解码分量要求恢复比特与测试比特精确匹配；检测分量用 Eq. (42)。二者满足其一即判成功。图注写 1e-2 FPR 对应 7 比特，1e-5 FPR 对应 17 比特。

主结果

下表把 1e-2 FPR 阈值和 Table 2 在 t=50 的距离均值放在一起。Table 2 标题未写是否含攻击；正文把它当作数值误差实验。

| 方案 | 1e-2 FPR 阈值 | t=50 距离均值 | 出处 | | Tree-Ring | 77.12 | 53.72 | Fig. 1；Table 2 | | RingID | 73.0 | 25.63 | Fig. 15；Table 2 | | HSQR | 68.52 | 41.33 | Fig. 2；Table 2 | | HSTR | 50.39 | 16.94 | Fig. 20；Table 2 |

• Figs 1–2 中橙分布是水印潜表示与真水印的距离，蓝是无水印，红是受扰水印。作者称理想情况下橙分布应集中在 0，实际的非零偏移由 r 刻画，来自数值误差、不同 guidance scale、随机采样和截断。
• 作者称扰动强度增加使红分布逐步右移；若把阈值从红虚线再向左收紧，若干扰动会越过更严阈值。作者称更低 FPR 会排除更多扰动，从而降低鲁棒性，但方案仍应在更低 FPR 下鲁棒。
• 作者称从图上看 HSQR 对旋转敏感而 Tree-Ring 不是，并假设原因是方形掩码与类 QR 图案造成失同步。作者同时写 Fig. 1 中旋转 5° 仍使红分布离开橙分布，并称扩散过程不像 Fourier 与 Fourier–Mellin，不具旋转不变性，且对扰动非不变。

Stirmark 检测率

• 许多滤波、高 JPEG 质量和轻微剪切的 [email protected] 为 1.0000。JPEG 质量 10 时，Tree-Ring 的 TPR 为 0.9360（AUC 0.9968），RingID 为 1.0000（AUC 1.0000）（Tables 4、6）。
• Tree-Ring：旋转 5° 的 TPR 为 0.5500（AUC 0.9584），旋转 45° 为 0.1920（AUC 0.8735），裁剪 10% 为 0.1070（AUC 0.7880），裁剪 75% 为 0.0280（AUC 0.6154）（Tables 4–5）。旋转 90° 的 TPR 为 0.9950。
• RingID：旋转 5° 的 TPR 为 0.6050（AUC 0.9777），旋转 10° 为 0.0080（AUC 0.6227），旋转 45° 为 0.0020（AUC 0.3698），裁剪 50% 为 0.0070（AUC 0.3713）（Tables 6–7）。旋转 90° 的 TPR 为 1.0000。作者称该实验用来核对二者所声称的鲁棒性；附录未解释 90° 与 45° 的差异。

水印范数与 FID

• 作者按 Sec. 3.5 增大 ∥w∥。RingID-2-128 把通道 0 图案乘 2 且 α=128；HSTR-2-2 把通道 0 和 3 的图案都乘 2。
• Table 3：RingID 的 FID 为 45.31，RingID-2-128 为 428.68；HSTR 为 45.32，HSTR-2-2 为 187.77。
• 1e-2 FPR 阈值：RingID 为 73.0，RingID-2-128 为 119.85（Figs 15–16）；HSTR 为 50.39，HSTR-2-2 为 82.15（Figs 20–21）。作者称橙、蓝分布间距变大，该间隙可容纳受扰后的估计水印。设计准则中作者称这种分布移动会提高 FID。

步数、Lipschitz 与攻击直方图

• Table 2 在 t=10、30、50、70、90 给出距离均值与最大值。Tree-Ring 均值从 55.36 到 53.52，最大从 62.38 到 60.16；HSTR 均值从 19.94 到 16.55。RingID 均值从 29.34 到 25.03，但 t=50 的最大值为 45.91，高于 t=10 的 45.37。HSQR 的 t=70 与 t=90 最大值均为 47.75，高于 t=50 的 47.53。作者称增加步数可略微减小均值和最大值；最大值并非在所有方案上都随 t 下降。
• Fig. 3 横轴为各扰动参数，纵轴为作者所说的估计水印远离真水印的潜在威胁。作者称纵轴较低对应模糊和高 JPEG 质量因子，较高通常对应裁剪和部分旋转；Jitter 标准差大，对应 Figs 1–2 中红条分散。Figs 22–23 的图样被作者称为高度相似，因为 (1+L_T)∥I−T(I)∥ 与水印图案无关。正文未给出纵轴读数。
• 附录 F 的 Fig. 7 比较伪造与去除攻击下的距离直方图，正文无具体数字。作者认为成功去除应把样本推出球外，伪造则推向真水印分布；红直方图显示攻击后样本并未更靠近目标分布。

其他消融与分析

• RingID-1-128（只把 α 设为 128）的 1e-2 FPR 阈值为 73.51（Fig. 19），低于 RingID-2-128 的 119.85。
• PRCW 的汉明距离与判别式图见 Figs 10–13；1e-5 FPR 的检测图用蓝虚线标阈值。正文未给出各参数下的成功率。
• Fig. 6 模拟不同均值偏移下的高斯与 χ 分布，阴影为 0.3 与 99.7 分位；正文未给出各 μ。
• 附录 D：同一容差 τ 下，只约束部分轴时覆盖体积更大；作者称点更容易被判进该区域。

作者指出的局限与后续方向

• 分析依赖对 MMSE 去噪器的假设以及 DDIM 的可逆性，作者承认二者在实践中可能并不总成立（Sec. 5）。
• 作者称尽管有这些局限，该框架仍可作为识别未来水印设计中潜在弱点的分析视角（Sec. 5）。
• 作者称目的不是阻碍潜空间水印的发展，而是为后续研究提供指导（Sec. 5）。摘要写明给出后续可遵循的分析工具与设计准则。
• 作者在结论中称，使用 DDIM 或其他扩张模块的现有潜空间方案，在实际设置、尤其是低 FPR 约束下受到根本限制；当前设计范式可能不足以实现鲁棒水印（Sec. 5）。

实验覆盖范围

• 正文生成与逆过程使用 Stable Diffusion v2-1；Regen-DiffPure 使用 Stable Diffusion v1-4（Sec. 4.1，附录 G）。附录 K 表头写 Diffusion model 为 LDM。
• 跑过扰动检测实验的方案为 Tree-Ring、RingID、HSQR、HSTR、PRCW（Sec. 4，附录 G–K）。Table 1 还列出 GS、WIND、SynTag、CoSDA、MaXsive、WMAdaptor、LaWa、Stable Signature、HiDDeN 等，论文未报告对这些方案重复同一套扰动实验。
• 1e-2 FPR 阈值用 1,000 对图像估计；十类失真的直方图实验每种方案为 100 张水印图（附录 G）；Stirmark 为水印与无水印各 1000 张（Tables 4–7）。论文未报告重复次数。
• 默认生成与逆过程各 50 步，guidance scale 分别为 7.5 与 1.0；Table 2 另报告 t=10、30、50、70、90。检测由距离阈值，或 PRCW 的比特匹配与 Eq. (42) 完成。论文未报告 LLM 评审或人工一致性。
• FID 只报告 Table 3 的 RingID、RingID-2-128、HSTR、HSTR-2-2。伪造与去除的讨论为附录 F 的直方图，正文未给出对应检测率。

作者把扩散模型潜空间水印的鲁棒性写成 Lipschitz 常数、容差 r 与 FPR 阈值 R 的关系，而不是只在一组参数上报告成功率。

• 问题： 过程中水印把图案注入扩散潜表示，检测依赖 DDIM inversion。作者称现有方法只在一部分扰动类型和参数下声称鲁棒，且该范式可能受嵌入域本身限制。
• 分析： 用 MMSE 去噪器把 DDIM 反向过程写成 VAMP 展开，给出全局可逆性，以及生成、逆过程都大于 1 的 Lipschitz 上界。Theorem 3.2–3.3 称该过程没有 RST 不变性，因而也对任意扰动非不变。放松不变性后，估计水印与真水印的距离由 (1+L_T)、r 和各模块 Lipschitz 常数上界，并与 R 比较。
• 距离实验： 在 Stable Diffusion v2-1 上，1e-2 FPR 时 Tree-Ring 阈值为 77.12（Fig. 1）。Table 2 在 t=50 的距离均值为 53.72，作者将其联系到数值误差所对应的 r。扰动加强使红分布右移；旋转 5° 时 Tree-Ring 的红分布仍离开橙分布。
• 范数与几何攻击： RingID 的 FID 为 45.31，通道 0 图案乘 2 且 α=128 后为 428.68（Table 3）。Stirmark、FPR=1e-2、各 1000 张时，旋转 45° 的 [email protected]：RingID 为 0.0020，Tree-Ring 为 0.1920（Tables 5、7）。许多 JPEG 与滤波项的 TPR 仍为 1.0000。
• 作者结论： 作者认为当前设计下，扩张模块会放大像素扰动，r 不可避免，低 FPR 又要求更小的 R。他们把鲁棒性归于潜分布偏移，同时称这会提高 FID。作者建议注入与检测绕过扩张的扩散模块，并承认分析依赖 MMSE 去噪器与 DDIM 可逆假设，二者实践中未必总成立。