现代图像后置水印信道的优化与安全：SNW 方案

现代事后图像水印把编码器-解码器当黑盒训练，既没有容量的理论保证，也没有密钥，因而在Kerckhoffs原则下可被伪造。

• 场景与重要性：作者称生成模型普及后数字水印复兴；写作时EU AI Act及其Code of Practice已要求生成模型与服务提供者使用标记技术。工业界更倾向事后（post-hoc）而非生成时（in-generation）水印；SynthID图像报告把多比特事后水印视为最实用路线，开源工作中Meta的SEAL系列与Adobe的TrustMark也几乎只做事后多比特方案（例外是DistSeal）。
• 现有方法的不足：现代方案自HiDDeN起用端到端DNN，信道噪声用有限图像增强建模。作者认为这带来未经审视的设计缺陷：无密钥，在Kerckhoffs原则下可擦除、复制或伪造水印；DNN扩大对抗攻击面。作者还称，在值度量增强上经典方案的鲁棒性并不更差，但对白盒与黑盒攻击更不易受影响。方法上，Chunky-Seal用更大模型去逼近理论容量；作者认为低效来自架构与训练管线的隐含选择，而非模型尺寸。
• 核心观察：编码器-解码器隐含定义一组并行AWGN信道，消息用BPSK调制，字母表为二进制，每信道元素容量至多为1 bit；线性头只保留少数“稳健分量”，其余为脆弱或冗余维度。无密钥时，即使线性头保密，Eve仍可用线性估计解出该头。
• 本文提出：一般性框架区分水印安全与对抗鲁棒性；把现代信道建模为AWGN+BPSK并在SOTA系统上经验验证；提出Secure Neural Watermarking（SNW），把密钥放进嵌入与判决，允许连续字母表，并用逼近容量的纠错码提高速率。
• 威胁模型：
  • 场景：Alice的API生成图像，Bob提供密钥k与事后系统W；每个用户有唯一消息m。Bob持k应解出对应用户消息；未加水印或密钥错误时，解码消息应随机。
  • 目标：Spoofing attack。Eve要伪造用户Camille的身份，其身份记为消息m_Camille，经码字c_Camille。
  • 知识：Kerckhoff（Alice的恶意同事）向Eve提供除k以外的完整水印流水线。Eve观察N张独立用户的pristine watermarked图像，并至少有一张Camille生成的图像，但事先不知道c_Camille。
  • 能力与假设：解码时Eve不引入噪声（perfect channel assumption）。作者称转向擦除攻击只需把分析对象从非水印图换成水印图。Definition 1把系统称为ηL-secure，当N次独立观测平均而言不使伪造成功率超过随机猜测。本文只分析水印安全（嵌入/判决是否依赖密钥）；对抗鲁棒性（针对解码投影fd）被明确放在范围之外。

• 经典水印：Spread-Spectrum（Cox等，1997）与Broken-Arrows（Furon & Bas，2008）用手工、常可逆且正交归一的变换构造水印空间。Cox等（2006）把多比特水印定义为在不可靠信道上可靠传消息。几何鲁棒性上，Fourier-Mellin对旋转、缩放、平移不变时会失去对裁剪的鲁棒性（Bas等，2002）；同步策略另有困难。安全理论方面，Cayre等（2005）、Kalker（2001）、Bas & Furon（2013）讨论密钥与有效密钥长度；Cox & Linnartz（1997）、Linnartz & Van Dijk（1998）讨论公开水印与篡改、sensitivity attack。
• 现代DNN事后水印：HiDDeN（Zhu等，2018）开创端到端编码器-解码器及增强噪声的训练配方。其后有VideoSeal（Fernandez等，2024）、PixelSeal（Souček等，2025a）、Chunky-Seal（Petrov等，2025）、TrustMark（Bui等，2025）与SynthID-Image（Gowal等，2025）。VideoSeal在附录中报告同时加入缩放与裁剪后，对两种操作都有一定鲁棒性。Chunky-Seal的作者对理论容量远未达到感到意外，其回应是训练更大模型。WAM（Sander等，2025）把每个比特映射到两个预先固定的数，被VideoSeal与PixelSeal用作steering vector。DistSeal（Rebuffi等，2026）是基于种子的生成时方案，被作者标为上述事后路线的例外。作者此前工作（Gesny & Giboulot，2026b）给出归因场景与事后系统的一般表述，本文对其改编。
• 安全与对抗批评：Bas & Butora（2025）、Tarhini等（2026）指出缺少隐藏消息的密钥，在Kerckhoffs原则下系统高度脆弱。Jiang等（2023）、Kassis & Hengartner（2025）以及作者自己的Gesny & Giboulot（2026a）表明，对这些系统擦除、复制或伪造水印既可能又简单、代价低；Gesny & Giboulot（2026a）还比较现代方案与经典方案在白盒、黑盒攻击下的脆弱性。Souček等（2025b）研究经图像偏好模型的可迁移黑盒一次性伪造。作者称所引现代方案中只有SynthID-Image提到安全。扩散纯化（Nie等，2022）出现在附录的擦除攻击设置中。
• 基线方法与基准：实验基线为VideoSeal（256-bit二进制码字）、PixelSeal（256-bit）与TrustMark（100-bit）。信道经验分析用10k张1024×1024 ImageNet图像（Deng等，2009）。SNW在COCO 2017 train（Lin等，2014）上训练。容量、画质与安全的主评测用与训练集不相交的1000张1024×1024 MFlickr图像；擦除攻击用200张。白化用10^6张MFlickr图像。

作者把本文定位为：不靠加大网络或改架构，而是显式建模隐含信道、加入密钥，并允许连续字母表与容量可达码；在同一DNN架构下提高容量并给出对PCA攻击的安全保证。

作者把现代事后水印看成通信系统，再用SNW把密钥放进嵌入与判决，并训练各向同性、满秩的神经投影，使连续码字可用容量可达码。

问题设定与信道模型

• 消息与码字：M比特消息m属于{0,1}^M；码字c是经纠错码映射的对象，可为{0,1}^{M'}或R^{M'}，且M'≥M。附录B把冗余机制定义为码本上的双射编码器与等价类解码器，并假设该机制工作在Shannon容量上。
• 系统组成：密钥集合K；嵌入e_k；像素到水印空间的前向投影f_e、f_d与后向投影f_e^†；判决d_k。封面分布F不应偏向某一消息（Def. B.3，二进制时各密钥下解码为公平Bernoulli）。
• 现代流水线：嵌入是单个自编码器：下采样f_e、瓶颈处Mix(·, v(c))、上采样f_e^†。式(4)用γ控制水印PSNR。解码是CNN加池化，输出L维潜向量z=f_d(x̃_wm)，再经线性头得软码字，c=sign(Wz+b)。作者称Σ_t秩亏：约M'个特征值高（稳健分量），一小部分较小非零（脆弱分量），其余为零（冗余）。软码字被建模为对角协方差高斯N(ϱ_t c, σ_t I)。
• 容量上界：Proposition 1给出BPSK调制AWGN信道容量C_{ϱ,σ}=h_2(1−Φ(−|ϱ|σ^{−1}))，且对任意ϱ>0、σ≥0有C≤1，即每码字比特至多1个消息比特。无密钥时，Eve用水印L+1张独立消息的图像，由已知c与z解线性系统Wz+b=c，即可恢复Camille的码字。

安全定义

• 与对抗鲁棒性分开：偷密钥对应嵌入/判决(e_k, d)；复制已知消息图像的潜向量f_d(x_wm)对应解码投影f_d。Definition 1只约束前者。
• ηL-secure：ψ_N从N张水印图的潜向量估计密钥。攻击图由估计出的密钥嵌入目标码字后再映回像素。系统为ηL-secure，当对封面图、均匀抽取的码字与密钥，N=ηL时的平均伪造成功概率不超过用随机密钥解码命中该码字的概率。

SNW的嵌入与判决

• 密钥：K是全体L×M'半正交矩阵U，U^T U=I_{M'}。码字c取连续字母表R^{M'}。
• Steering向量：式(5)把能量按α∈[0,1]分到密钥子空间Uc与正交补上的高斯方向q；α控制容量与安全的折中。判决假设f_d能取回v，则d_U=U^T v=cα/√M'。再取符号即回到第3节的BPSK；c为实数时可用嵌套格码等AWGN容量可达码（Zamir，2014）。
• 扰动模型：变换后的归一化向量满足ṽ=ρv+√(1−ρ²)n，n在与v正交的球面均匀分布。即使t为恒等，因f_d不完美，ρ一般不为1。二进制容量为Proposition 2：正确解码概率p(ρ)=Φ(α√(ρ²L/((1−ρ²)M')))，Shannon容量C_ρ=M'(1−h_2(p(ρ)))。Figure 2中α=1（虚线）是最大鲁棒设置；α=√(M'/L)时作者称对PCA完全安全，且比特准确率不随M'变化。

PCA安全

• 攻击：N≥L张不同码字的水印图上，Eve用PCA估计协方差。期望特征值λ_1、λ_2分别对应维数M'与L−M'（式9）。未水印图的经验特征值渐近支撑为Marchenko-Pastur分布S_0；若水印特征值支撑S_1∪S_2⊆S_0，则PCA分不出密钥的任何一维。
• Proposition 3：对PCA达到ηL-secure所需观测数由λ_1、M'、L给出。取α^*=√(M'/L)时N→∞，作者称对PCA完全安全。α=1且L=M'时同样完全安全，且这是最大容量区间：水印空间被用满时应把全部能量给水印信号；若M'<L，则必须把一部分能量“淹没”进随机噪声。

投影的训练

• 目标：式(6)联合优化(f_e, f_e^†, f_d)，平衡对齐、潜空间各向同性与画质。L_align最大化提取向量与v的余弦相似度；L_iso惩罚不同码字或未水印图之间的非零内积，以得到均匀球面潜空间、满秩协方差；L_qual用PSNR铰链与LPIPS。完整损失在附录C.2，含空间对齐、池化对齐、same/cross/host三种各向同性，以及反残差迁移的L_spoof。
• 架构与阶段：采用PixelSeal架构，去掉分类线性头，只训练ConvNeXt投影与嵌入器。PixelSeal的M'=256；U-Net嵌入器改为接受L=768的连续随机单位向量。附录C称不声称该流程唯一或最优。三阶段（Table 3）：Stage 1无变换下找到信号并各向同性，PSNR目标从0 dB升到42 dB，并逐步加入与PixelSeal相同的变换；Stage 2把信号转到池化表示，加入LPIPS与PixelSeal的JND衰减；Stage 3用少量步加入L_spoof，使残差可检测性依赖图像内容。
• 评测口径：实验为公平起见只用二进制字母表对比基线，并设α^*=1、M'=L。容量不用原始比特准确率，而由经验码字比特准确率在比特独立（经附录F白化）假设下换算总Shannon容量；作者举例PixelSeal比特准确率0.997时，整条256比特消息的解码错误概率为1−0.997^{256}=0.53。

实验设置

• 被测系统：PixelSeal与VideoSeal嵌入256-bit二进制码字，TrustMark嵌入100-bit二进制码字，SNW采用与PixelSeal相同的架构与增强并去掉线性头。全节SNW取α^*=1且M'=L。
• 数据：信道模型用10k张1024×1024 ImageNet、随机消息。白化用10^6张MFlickr。主评测为与COCO 2017 train不相交的1000张1024×1024 MFlickr；擦除攻击为200张同规格MFlickr。训练在COCO 2017 train上，多阶段流程见附录C。
• 基线处理：为做与消息无关的比较，所有模型的输出表示都在10^6张MFlickr上按附录F白化。
• 指标：容量是由经验码字比特准确率算出的总Shannon容量（比特），假设各码字比特独立。画质在固定48 dB PSNR下用LPIPS。安全是Definition 1的η-security，Eve用PCA估计密钥。Table 1另报告信道特征ϱσ^{−1}与每码字比特的理论/经验容量。
• 变换与攻击：经典值度量与几何变换的完整集合在附录H的Table 7；擦除攻击在Table 6，含VAE、Sana（2/4/8/10/20步）与WM Forger（50/100步）。论文未报告主实验的重复次数。

主结果

Identity与若干变换下的Shannon容量（比特）据Table 7，1000张MFlickr 1024×1024。斜线前为Table 7中的速率R_σ，斜线后为容量。

表格较宽，可左右滑动

方法	Identity	JPEG QF=50	Rotation 90°	Crop 50%	Contrast ×2
PixelSeal	0.939 / 240.5	0.876 / 224.4	0.863 / 221.0	0.561 / 143.7	0.709 / 181.6
VideoSeal	0.878 / 224.7	0.816 / 209.0	0.821 / 210.1	0.019 / 4.8	0.539 / 138.1
TrustMark	0.611 / 61.1	0.491 / 49.1	0.007 / 0.7	0.007 / 0.7	0.309 / 30.9
SNW	0.983 / 686.0	0.837 / 642.5	0.633 / 486.5	0.133 / 102.0	0.514 / 394.6

• 作者解读：第6.2节称，在二进制字母表下，SNW在经典值度量、几何操作以及基于扩散模型的盲擦除攻击上，经验容量约为PixelSeal的2.5倍。引言另称，同一DNN架构下二进制字母表的最大容量为656 bits，高于当时256 bits的SOTA。Table 7的Identity容量是686.0 bits；两处数字不同，正文未解释差异。
• 例外：Table 7中Contrast ×2时PixelSeal为181.6 bits，高于SNW的394.6？不对，394.6仍更高。Crop 50%时SNW为102.0，低于PixelSeal的143.7。Hue 0.5时SNW为542.6，仍高于PixelSeal的188.5。Rotation 90°时TrustMark容量为0.7 bits。
• 画质与安全（Table 2，48 dB PSNR）：LPIPS为PixelSeal 0.0034、VideoSeal 0.0025、TrustMark 0.0010、SNW 0.0047。η-security为PixelSeal 1.00、VideoSeal 1.00、TrustMark 1.01、SNW +∞。作者称TrustMark感知失真略低，但容量远低于其他方案，各方法LPIPS仍在同一数量级；对无密钥系统给出η=L/(L+1)≈1，而α^*=1且M'=L时SNW对PCA密钥估计完全安全。

信道模型验证

• 测了什么：Figure 1与Table 1在10k张1024×1024 ImageNet、随机消息上，看f_d潜向量协方差的特征值，以及软码字相对理论AWGN的分布。
• 结果：Table 1的ϱσ^{−1}在Identity上为PixelSeal 3.07、VideoSeal 2.03、TrustMark 3.11；对应理论/经验容量（消息比特/码字比特）为0.99/0.96、0.85/0.85、0.99/0.98。Crop 0.6时TrustMark为0.03/0.00，VideoSeal为0.21/0.21，PixelSeal为0.75/0.75。Rotation 90°时TrustMark为0.02/0.00。
• 作者解读：作者称特征值呈阶梯状，稳健分量约M'个，并称DNN对诱导出M'路并行AWGN加BPSK；Table 1用来说明该模型可预测经验容量，同时容量不超过1。

擦除攻击

• 测了什么：Table 6在200张MFlickr 1024×1024上报告比特准确率/容量。Identity：PixelSeal 0.939/240.5，VideoSeal 0.884/226.2，TrustMark 0.632/63.2，SNW 0.892/684.7。
• 结果：Sana 8步时容量为PixelSeal 91.3、VideoSeal 100.4、TrustMark 18.4、SNW 298.3；Sana 20步时四者分别为0.8、0.9、0.7、0.8。WM Forger 100步时为PixelSeal 71.8、VideoSeal 48.8、TrustMark 7.8、SNW 106.5。VAE时SNW为380.3，高于PixelSeal的142.0。
• 作者解读：第6.2节称SNW在较新的扩散盲擦除上仍约为PixelSeal容量的2.5倍。Table 6里Sana 20步时SNW容量与基线同为约0.7–0.9 bits；Sana 10步时SNW为52.2，高于PixelSeal的6.4。

其他消融与分析

• Table 1，JPEG 50的ϱσ^{−1}：PixelSeal 2.21、VideoSeal 1.64、TrustMark 2.67；理论/经验容量0.90/0.88、0.71/0.75、0.96/0.95。
• Table 7，Crop 90%到60%的容量：SNW由623.2降到269.6；PixelSeal由232.9降到192.5；VideoSeal由196.7降到33.6；TrustMark由69.4降到0.8。
• Table 7，Gaussian Blur与Median Filter下SNW容量为685.1与685.0，PixelSeal为240.3与240.1。
• Table 6，Sana步数从2增到20：SNW容量由368.1降到0.8；PixelSeal由132.8降到0.8。
• Figure 2给出比特准确率p(ρ)与Shannon容量随投影余弦对齐ρ的理论曲线，以及不同ρ、M'∈{256,512}下PCA所需安全比η随α的变化；图注称α=√(M'/L)保证对PCA完全安全且比特准确率不随M'变，虚线为α=1。论文未在正文给出图中逐点读数。
• 附录H.1称完整理论分析有经验验证；正文未单列该附录的数值表。反例见上：Crop 50%时SNW容量102.0低于PixelSeal的143.7（Table 7）。

作者指出的局限与后续方向

• 连续字母表：结论称，使用连续字母表及相应的容量可达码是自然扩展，可在几乎不增加代价的情况下达到高得多的容量（第7节）。实验为与基线公平比较，把评测约束在二进制字母表（第6.1节），尽管框架支持连续字母表以获得更高传输速率。
• 训练流程：附录C称，所给投影训练流程并不被作者声称是达到第4节目标的唯一或最优方法。
• 对抗鲁棒性：第2.3节称对抗鲁棒性是完全不同的问题，需用对抗机器学习工具，不在本文范围内；附录E给出对现状的评测。结论未把对抗鲁棒性列为已解决项。
• 设计重点：结论称本文的推动力是把注意力从训练与架构转到这些系统的隐含信道；无密钥与水印空间利用不充分被作者当作分析所揭示的问题，SNW用密钥给出理论上的安全保证。

实验覆盖范围

• 系统与架构：容量-画质-安全比较包含PixelSeal、VideoSeal、TrustMark与SNW；SNW使用PixelSeal架构与增强并去掉线性头，在COCO 2017 train上按附录C三阶段训练，L=768。
• 信道诊断：Figure 1与Table 1覆盖上述三个基线（不含SNW），10k张1024×1024 ImageNet、随机消息，变换为Identity、JPEG 50、Contrast ×2、Crop 0.6、Rotation 90°。
• 主评测规模：Table 7的经典变换容量在1000张1024×1024 MFlickr上计算，水印功率固定48 dB PSNR；Table 2的LPIPS与η-security同一功率。Table 6的擦除攻击在200张上计算。
• 安全攻击：η-security按Definition 1、Eve使用PCA估计密钥；Proposition 3给出对PCA的ηL-secure条件。第6.1节的SNW设置为α^*=1、M'=L。
• 容量定义：报告的是由经验码字比特准确率换算的Shannon容量，并假设白化后各比特独立；论文未报告主表的重复次数，也未报告具体纠错码在这些图像上的实测解码错误率。附录F给出白化步骤，附录H给出扩展变换与擦除结果。

Gesny与Giboulot针对生成内容追溯所依赖的多比特事后图像水印，批评端到端DNN方案既无容量理论、又无密钥。

• 问题：Alice-Bob归因场景中，第三方要用密钥解出用户ID；威胁模型是Kerckhoffs原则下的伪造。Eve知道除密钥外的整个流水线，并看到多张水印图。作者把“偷密钥”与“对解码投影做对抗样本”分开，本文只处理前者。
• 分析：PixelSeal、VideoSeal、TrustMark的解码潜变量协方差呈阶梯谱，软码字接近对角高斯。作者将其建模为BPSK调制的并行AWGN，每信道元素容量不超过1。无密钥时，L+1个已知消息即可线性解出判决头。Table 1中Identity下三者的理论/经验每比特容量最高为TrustMark的0.99/0.98，Crop 0.6与Rotation 90°下TrustMark降至0.03/0.00与0.02/0.00。
• 方法：SNW的密钥是L×M'半正交矩阵。Steering向量把比例α的能量放进密钥子空间，其余放进正交补。α=√(M'/L)，或α=1且M'=L时，作者称对PCA完全安全。投影用对齐、各向同性与PSNR/LPIPS训练，架构同PixelSeal但去掉线性头，码字维与潜空间维对齐（实验中L=768）。
• 结果：1000张MFlickr、48 dB PSNR、二进制字母表下，Identity的Shannon容量为SNW 686.0 bits、PixelSeal 240.5、VideoSeal 224.7、TrustMark 61.1（Table 7）。JPEG QF=50时SNW为642.5。Crop 50%时SNW为102.0，低于PixelSeal的143.7。Table 2中SNW的LPIPS为0.0047、η-security为+∞，三基线η约为1.00–1.01。200张上的Sana 8步容量SNW为298.3、PixelSeal为91.3；Sana 20步时两者都约为0.8 bits（Table 6）。
• 作者结论：低容量来自水印空间利用不充分和二进制调制，而不是必须加大网络。密钥使PCA密钥估计在满维、全能量设置下不能成功。连续字母表与容量可达码被作者视为几乎不增加代价即可进一步提高容量的自然扩展。