用于神经图像水印的可转移残留物

超级描述: Cover Lock 和两个机制帮助神经图像水印抵抗残留可转移性,这是一个允许伪造的水标存活在图像交换中的缺陷.

标签:残留可转移性,神经图像水印 Cover Lock, AI安全性,影像法医

首选图片: neural networks 的抽象技术插图,图像网格和水印残留锁定到源像素,没有人,公司标志或文本.

剩余可转移性是对抗伪造的神经图像水印的新努力的核心.该研究正式化了残留可转换性 (RT),确定了减少它的两个架构机制,并引入 Cover Lock ,用于现有系统的插件和操作防御.结果为团队提供了一种更清晰的方式来比较在暴露于真实来源攻击之前的水标设计.

背景:从被证明的伪造到可衡量的风险

神经图像水标嵌入可解码的证据在图片中,通常是这样一个检测器可以以后识别出源模型或编辑管道.早期的工作显示了一个实用的弱点:攻击者可以从发布的图像中提取带有水标的残留物并将这些残余物转移到与之无关的内容上.传输的图片仍然可以携带足够的水标证据来看起来是真实的.重要的差距不是攻击是否可能发生,而是为什么一些水标系统让证据如此轻松地传播而另一些则没有.对于平台来说,担心的是信任:伪造的水印可以使不相关的内容看起来好像来自已知的模型或管道一样.

发展:建筑解释了剩余的可转移性

通过对比高RT和低RT系统并使用受控干预,该研究分离了两种机制,加强了水印证据在封面图像上的依赖.这种依赖抑制了剩余的可转移性,因为当从原始图像移开时,水印信号存活的可能性较小.这重新定义了这个问题:可传输性不是一种技术攻击,而是产生水印模型的一个属性.

最新进展:覆盖锁保护现有系统

重新设计水印架构并不总是可能的,特别是在已经部署的系统中.对于这些情况下,该研究引入了 Cover Lock ,用于现有水印系统的一种插即用策略.它在没有建筑重新设计的情况下加强图像依赖性.在具有高残余可转移性的代表性水标系统中 Cover Lock,比传统手工防御和基于学习分类器的防御实现了更有利的安全稳定性权衡.这种权衡很重要,因为阻断传输的能力的防御也可以削弱正常解码,如果它们过于激进地打破图像和水标之间的联系.

当前阶段:更清晰的防伪路径

该工作将神经图像水印安全性置于更具体的基础上.RT为研究人员提供了一种通过相同可转移性的标准来比较系统的方式,而这两个机制指向未来防伪架构的具体设计选择.Cover Lock 为无法重建的系统提供了一个短期的选项.值得关注的是团队是否使用RT作为与解码精度和稳定性一起进行比较的指标,以及是否在生产水印管道中测试了类似Cover Lock 的策略.目前,当前阶段是从已被证明的漏洞向可衡量的防御方向迈进.