[논문 리뷰] Invisible Image Watermarks Are Provably Removable Using Generative AI

Xuandong Zhao, Kexun Zhang외 7명|arXiv (Cornell University)|2023. 06. 02.

Generative Adversarial Networks and Image Synthesis인용 수 9

한 줄 요약

논문은 노이즈 손상 및 생성 모델로의 이미지 재구성을 통해 보이지 않는 이미지 워터마크를 제거하는 재생성(attacks) 공격을 도입하고, 광범위한 조건에서 제거를 입증하며 높은 워터마크 제거율을 달성한다.

ABSTRACT

Invisible watermarks safeguard images' copyrights by embedding hidden messages only detectable by owners. They also prevent people from misusing images, especially those generated by AI models. We propose a family of regeneration attacks to remove these invisible watermarks. The proposed attack method first adds random noise to an image to destroy the watermark and then reconstructs the image. This approach is flexible and can be instantiated with many existing image-denoising algorithms and pre-trained generative models such as diffusion models. Through formal proofs and extensive empirical evaluations, we demonstrate that pixel-level invisible watermarks are vulnerable to this regeneration attack. Our results reveal that, across four different pixel-level watermarking schemes, the proposed method consistently achieves superior performance compared to existing attack techniques, with lower detection rates and higher image quality. However, watermarks that keep the image semantically similar can be an alternative defense against our attacks. Our finding underscores the need for a shift in research/industry emphasis from invisible watermarks to semantic-preserving watermarks. Code is available at https://github.com/XuandongZhao/WatermarkAttacker

연구 동기 및 목표

• 강력한 생성 모델 시대에서 보이지 않는 워터마크의 견고함에 대한 필요성 동기 부여.
• 픽셀 기반 보이지 않는 워터마크를 심각한 품질 저하 없이 제거하는 재생성(attacks) 프레임워크를 제안.
• 공간 ℓ2 거리 제약 하에서 워터마크를 제거할 수 있다는 이론적 보장을 제공.
• 다양한 워터마크링 스킴과 확산 기반 재생성에 대해 공격을 실증적으로 평가.
• 의미적으로 유사한(가시적인) 워터마크를 포함한 대체 워터마크링 전략을 방어 수단으로 탐색

제안 방법

• 먼저 Gaussian 노이즈를 추가하여 은닉/임베딩 공간에서 워터마크된 이미지를 파괴한 뒤 재생성 함수를 이용해 이미지를 재구성하는 재생성(attacks) 공격을 정의한다.
• 정체성 임베딩과 디노이저, VAE, 확산 모델(잠재 확산)을 포함한 서로 다른 φ 및 A 선택으로 공격을 구체화한다.
• 공격을 x_w → φ(x_w) + N(0, σ^2 I_d) → â = A(·)로 모델링하여 재생성된 이미지 hat{x}를 생성한다.
• 확률적/해석적 경계: 공격 후 워터마크 탐지기의 성능 저하를 Gaussian 미분 프라이버시와 유사한 거래로 일치시키는 f-Certified-Watermark-Free 보장을 제공(정리 4.3).
• Local Watermark-Specific Lipschitz 특성 L_{x,w}를 갖는 임베딩 함수와 이의 제거 보장에 대한 영향에 대해 논의한다.
• 실용적인 구상(Algorithm 1)을 개괄하고 확산 기반 재생성에서의 매개변수 선택(예: σ, t*)를 설명한다.

실험 결과

연구 질문

• RQ1 워터마크의 임베딩 공간에서 노이즈를 추가한 뒤 이미지를 재생성하는 공격이 이미지 품질을 보존하면서 보이지 않는 워터마크를 제거할 수 있는가?
• RQ2 ℓ2 거리 제약과 임의 탐지기에 대해 보장된 워터마크 제거를 위한 이론적 보장은 무엇인가?
• RQ3 다양한 재생성 백본(denoisers, VAEs, 확산 모델)이 다양한 보이지 않는 워터마크 스킴에 대해 얼마나 효과적인가?
• RQ4 재생 공격에 대한 숨김성 이외의 방어 수단으로 의미적 또는 시각적으로 의미를 가지는 워터마크 등 가능한 방어가 있는가?
• RQ5 임베딩 함수의 Lipschitz 특성이 공격의 효과에 미치는 영향은 무엇인가?

주요 결과

• 제안된 재생성 공격은 특히 탄력적인 워터마크(RivaGAN)에 대해 보이지 않는 워터마크의 93-99%를 제거한다.
• 같은 설정에서 기본 공격은 보이지 않는 워터마크를 최대 3%만 제거한다.
• 확산 모델 기반 재생성, 특히 잠재 확산이 가장 강한 제거 성능을 나타낸다.
• 공격은 재생성된 이미지의 품질이 높아 원래 워터마크가 없는 경우와 거의 차이가 없다고 저자들이 주장한다.
• f-Certified-Watermark-Free 보장이 워터마크 제거를 Gaussian 미분 프라이버시 개념과 연결해 ℓ2 제약 하에서 입증 가능한 제거를 확립한다.
• 또한 침묵성을 의미적으로 유사한 워터마크(예: Tree-Ring)로 완화하는 것이 공격에 대한 더 강력한 방어를 제공할 수 있음을 보여준다.