[論文レビュー] Invisible Image Watermarks Are Provably Removable Using Generative AI

Xuandong Zhao, Kexun Zhang+7 more|arXiv (Cornell University)|Jun 2, 2023

Generative Adversarial Networks and Image Synthesis被引用数 9

ひとこと要約

本論文は、ノイズの破壊と生成モデルによる画像再構成を用いて不可視の画像ウォーターマークを除去する再生成攻撃を提案し、広範な条件下での除去を実証し、高いウォーターマーク除去率を達成します。

ABSTRACT

Invisible watermarks safeguard images' copyrights by embedding hidden messages only detectable by owners. They also prevent people from misusing images, especially those generated by AI models. We propose a family of regeneration attacks to remove these invisible watermarks. The proposed attack method first adds random noise to an image to destroy the watermark and then reconstructs the image. This approach is flexible and can be instantiated with many existing image-denoising algorithms and pre-trained generative models such as diffusion models. Through formal proofs and extensive empirical evaluations, we demonstrate that pixel-level invisible watermarks are vulnerable to this regeneration attack. Our results reveal that, across four different pixel-level watermarking schemes, the proposed method consistently achieves superior performance compared to existing attack techniques, with lower detection rates and higher image quality. However, watermarks that keep the image semantically similar can be an alternative defense against our attacks. Our finding underscores the need for a shift in research/industry emphasis from invisible watermarks to semantic-preserving watermarks. Code is available at https://github.com/XuandongZhao/WatermarkAttacker

研究の動機と目的

• 強力な生成モデル時代において、頑健な不可視ウォーターマークの必要性を喚起する。
• 画素ベースの不可視ウォーターマークを著しく画質を劣化させずに除去する再生成攻撃フレームワークを提案する。
• ℓ2距離制約の下で攻撃が不可視ウォーターマークを除去できることを理論的保証として提供する。
• いくつかのウォーターマーク手法および拡散ベースの再生成に対して、経験的に評価する。
• セマンティックに類似した（可視の）ウォーターマークを含む代替ウォーターマーク戦略を検討し、防御策としての可能性を探る。

提案手法

• ガウスノイズを加えて潜在/埋め込み空間で水印付き画像を最初に破壊し、次に再生成関数を用いて画像を再構成する再生成攻撃を定義する。
• φとAの異なる選択肢で攻撃を具体化する。デノイザーによる自己埋め込み、VAE、拡散モデル（潜在拡散）を含む。
• 攻撃を x_w → φ(x_w) + N(0, σ^2 I_d) → â = A(·) としてモデル化し、再生成画像 hat{x} を生成する。
• 確率的/解析的境界：攻撃後、ウォーターマーク検出器の性能低下がガウス差分プライバシーに類似したトレードオフに一致することを示す a f-Certified-Watermark-Free 保証（Theorem 4.3）。
• 局所的なウォーターマーク特有のリプシッツ特性 L_{x,w} をもつ埋め込み関数を議論し、それらが除去保証に与える影響を検討する。
• 実用的な具体例（Algorithm 1）を概説し、拡散ベースの再生成のパラメータ選択（例：σ, t*）を説明する。

実験結果

リサーチクエスチョン

• RQ1 ウォーターマークの埋め込み空間にノイズを加えて画像を再生成する攻撃は、画像品質を保ちながら不可視ウォーターマークを除去できるか。
• RQ2 ℓ2距離制約と任意の検出器の下で、保証されたウォーターマーク除去に関する理論的保証は何か。
• RQ3 異なる再生成バックボーン（デノイizers, VAE, 拡散モデル）が、さまざまな不可視ウォーターマーク手法に対してどれほど効果的か比較する。
• RQ4 このような再生成攻撃に対して、不可視性を超えた実用的な防御策はあるか、たとえばセマンティックまたは可視だがセマンティックなウォーターマークなど。
• RQ5 埋め込み関数のリプシッツ特性が攻撃の有効性に与える影響は何か。

主な発見

• 提案された再生成攻撃は、特に耐性のあるウォーターマーク（RivaGAN）に対して不可視ウォーターマークの93-99%を除去する。
• 同条件下でベースライン攻撃は不可視ウォーターマークを最大でも3%しか除去できない。
• 拡散モデルベースの再生成、特に潜在拡散が最も強い除去性能を示す。
• 著者の主張によれば、再生成画像の忠実度が高く、元のウォーターマークなし画像と区別がつかないことが多い。
• 形式的な f-Certified-Watermark-Free 保証はウォーターマーク除去をガウス差分プライバシー概念に結びつけ、ℓ2制約下での証明可能な除去を確立する。
• また、不可視性をセマンティックに類似したウォーターマークへ緩和することが、この攻撃に対するより堅牢な防御策となり得ることを示している（例：Tree-Ring）。