type
status
date
slug
summary
tags
category
icon
password
在生成模型的输出中添加水印可以追踪版权和防止AIGC技术的滥用。
📝 图像水印
背景
扩散模型的发展导致了生成图像质量有了很大程度的提升。现有的模型如文生图，图像编辑使得人类难以辨别图像的”真伪“。这促使了图像水印的研究开发。传统水印作为一种显式的存在，在图像上打上”logo”，这种方式不仅破坏了图像的感官，而且显式水印易于定位和擦除。而隐形水印作为一种人类不可见的信号被添加在图像中，可以使得图像能够“正常”使用且能够通过该图像识别其来源和鉴别该图像是否是真实的图像。
现有数字图像水印可以分为两种方式，一种是在生成后的图像上添加水印，这种方法简单便捷，但有可能会降低图像的质量并且该方法添加的水印容易被攻击使得无法识别。另一种是在模型的生成过程中“不知不觉”地添加水印，使得水印与图像一起被生成出来，该方法生成的图像质量较高且不易被攻击。
这里简单介绍一下图像水印的“攻防”形式：
- 模型的所有者（生成）：Gene拥有生成模型，并且允许别人使用给定的API调用该模型。
- 模型的攻击者：Fiona通过API生成图像，然后通过一些数据增强的方法将转化为来逃避水印检测。
- 模型的所有者（检测）：给定图像判断是否由模型生成。
因此，图像水印的方法通常包括两个算法或模型，一个是添加水印的方法，一个则是检测水印的方法。而水印的攻击方法需要使检测水印的方法失效。
Tree-Ring
本节介绍一种隐形水印方法Tree-Ring，它对原始图像的频域进行一些操作来控制生成的图像。之所以是在图像的频域操作主要考虑到其较强的鲁棒性，针对常见的图像变换（裁剪，颜色抖动，缩放，旋转，翻转，噪声等）其水印仍能够很大程度地保留。其方法的流程图如下：
Tree-Ring在图像的频域选择一个密钥，并选取一块区域。在Diffusion Model的初始高斯噪声转换为带有“水印”的向量:
在水印检测阶段，给定一张图像，模型可以通过DDIM反演过程获得近似的初始噪声向量，然后通过计算度量距离来判断图像是否含有水印:
Tree-Ring没有理论支撑，但实验验证通过该方法能够有效隐藏水印并且其在Stable Diffusion上水印检测精度接近100%，针对一些常见的攻击形式（旋转，剪切，颜色抖动等）其水印检测精度也能够在95%以上。
SEAL
基于Diffusion Model的生成模型水印嵌入的方法框架说明:
显然Tree-Ring有一个比较明显的问题，其扭曲噪声，使得初始噪声不再满足高斯分布。这影响了生成模型的最终效果。SEAL提出可以将生成图像的语义信息嵌入到初始的噪声中。
生成阶段：
首先将文本提示提取到一个语义空间中，然后使用哈希模型将该语义空间的向量映射为一个哈希码并生成密钥。该密钥为标准高斯分布的一个采样。通过添加该密钥的高斯噪声作为初始去生成图像。
检测阶段：
使用文本视觉模型提取出该图像的文本描述，通过相同的文本模型将该文本描述提取到语义空间中，然后由哈希模型生成参考噪声。只要图像的语义保持不变，则生成的参考噪声就是与图像生成时的初始噪声是相关的。通过参考噪声与初始噪声的匹配可以检测水印。
🤗 总结归纳
总之，自从Tree-Ring之后，人们证明了DDIM可以将图像反转回初始噪声，根据该初始噪声上面的一些特定改动来为图像添加水印以及鉴别水印。
📎 参考文章
- Wen Y, Kirchenbauer J, Geiping J, et al. Tree-ring watermarks: Fingerprints for diffusion images that are invisible and robust. NeurIPS, 2023.
- Arabi K, Witter R T, Hegde C, et al. Seal: Semantic aware image watermarking. ICCV, 2025.
- 作者:yugaoyao
- 链接:https://blog.gyyu.top/article/2983a0e0-26f8-8090-86fe-c84213765bb9
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
