[Paper] RAVEN：通过新视角合成消除不可见水印

Source: arXiv - 2601.08832v1

概述

隐形水印正日益被用于证明 AI 生成图像的来源，但其对巧妙攻击的鲁棒性仍是一个未解之谜。论文 “RAVEN: Erasing Invisible Watermarks via Novel View Synthesis” 表明，仅通过生成同一场景的一个略微偏移的新视角——就像从不同角度观察物体——就可以去除水印。作者将水印去除视为视图合成问题，揭示了当前水印设计的根本弱点，并提出了一种基于扩散的零样本攻击，无需了解水印或其检测器。

关键贡献

• 重新构建水印去除 为 新颖的视图合成 任务，展示语义保留的几何变化自然抹除不可见标记。
• RAVEN 框架：一种零样本扩散管线，利用视图对应注意力模块引导受控的潜在空间变换，保留结构的同时去除水印。
• 模型无关攻击：适用于冻结的预训练扩散模型，无需访问水印检测器、水印密钥，亦无需对目标水印方法进行任何训练。
• 全面评估 覆盖 15 种最先进的不可见水印方案，在水印抑制和视觉质量两方面均优于 14 种基线去除攻击。
• 开源发布 代码和预训练组件，支持可重复的研究并促进更具韧性的水印技术发展。

方法论

1. 潜在空间视角扰动 – 从输入图像的潜在表示（由预训练扩散模型生成）出发，RAVEN 应用一个小的几何变换（例如轻微的旋转或平移），模拟新的相机视角。
2. 视角引导对应注意力 – 为了保持重建图像对原始内容的忠实，注意力模块在原始潜在图和变换后潜在图之间对齐补丁，确保边缘、纹理和物体布局保持一致。
3. 基于扩散的重建 – 扰动后的潜在向量被送回扩散解码器，合成“新视角”的高保真图像。由于水印与原始像素排列紧密耦合，视角的变化有效破坏其嵌入，同时保持视觉场景完整。
4. 零样本操作 – 无需微调或针对水印的专门训练；该流水线可直接应用于任何由扩散模型生成的图像，成为通用的去除工具。

结果与发现

• Watermark Suppression：RAVEN 将 15 种水印检测方法的检测率平均降低 78 %，在抑制效果上比最强基线（频域滤波器）高出 +12 %。
• Perceptual Quality：通过 LPIPS 和 SSIM 进行测量，合成图像保持 >0.95 SSIM 和 <0.08 LPIPS，表明视觉保真度基本未受影响。
• Robustness Across Datasets：在 COCO、LAION‑Aesthetics 以及专有 AI‑art 数据集上的实验显示出一致的性能，证实该攻击并非局限于特定图像领域。
• Ablation Studies：去除对应注意力模块会导致 SSIM 下降约 0.07，凸显其在保持结构一致性方面的作用。改变视角偏移的幅度可发现一个最佳区间（约 2–3° 旋转或 5 % 平移），在此范围内水印去除效果最大且不会出现可感知的伪影。

实际意义

• 针对平台工程师：仅依赖像素空间或频域鲁棒性的当前不可见水印方案可能不足。系统需要考虑会改变图像语义几何的攻击。
• 针对水印设计者：嵌入策略必须实现视角不变——例如，通过在 3‑D 场景表示中分布水印，或在验证过程中使用多视角一致性检查。
• 针对生成模型开发者：RAVEN 流程可以作为诊断工具，在部署前对任何新水印方法进行压力测试。
• 法律与合规：低成本、零样本的去除攻击的存在可能影响不可见水印在版权纠纷中的证据权重，促使人们重新评估仅依赖此类标记的做法。

限制与未来工作

• 对扩散模型的依赖：RAVEN 假设可以使用与图像来源兼容的扩散解码器；将其应用于非扩散生成器可能需要额外的适配。
• 视角微小扰动：极大的视角变化可能导致明显的失真，限制了该攻击对某些图像类型（例如高度结构化的图形）的隐蔽性。
• 未探讨的对策：论文未提出能够抵御视图合成攻击的具体水印设计，这仍是一个开放的研究方向。
• 未来方向：将该方法扩展到视频帧，研究针对视图合成的水印对抗训练，并探索结合几何和频域扰动的混合攻击。

作者

• Fahad Shamshad
• Nils Lukas
• Karthik Nandakumar

论文信息

• arXiv ID: 2601.08832v1
• 分类: cs.CV
• 发表时间: 2026年1月13日
• PDF: 下载 PDF