Exploring Weaknesses of Generative Image Watermarks against Latent Frequency Masking
作者: Kirill Aistov, Khaled Abud, Irina Serzhenko, Egor Kovalev, Aleksey Yakushev, Aleksandr Akimenkov, Dmitry Obydenkov, Yury Markin, Sergey Lavrushkin, Dmitriy Vatolin, Anastasia Antsiferova
分类: cs.CV, cs.AI, cs.MM
发布日期: 2026-10-01
备注: This work has been accepted for publication at IEEE ICDM 2026 conference. The final published version will be available via IEEE Xplore
💡 一句话要点
提出潜在频率掩蔽攻击以解决生成图像水印的脆弱性问题
🎯 匹配领域: 支柱一：机器人控制 (Robot Control)
关键词: 隐形水印 潜在频率掩蔽 自适应去除攻击 图像生成 数字版权保护
📋 核心要点
- 现有的隐形水印技术在面对自适应去除攻击时表现出脆弱性，亟需提升其鲁棒性。
- 本文提出潜在频率掩蔽攻击，通过替换潜在表示中的傅里叶系数，有效消除水印证据。
- 实验结果显示，该攻击在保持图像感知质量的同时，能够去除或削弱多个水印，且运行效率高于现有方法。
📝 摘要（中文）
隐形水印已成为追踪AI生成图像的重要工具，但其在自适应去除攻击下的鲁棒性仍然是一个未解的安全问题。本文提出了一种潜在频率掩蔽攻击，通过替换水印图像潜在表示中的选定傅里叶系数来消除水印证据。替换可以从高斯噪声中采样以提高效率，或通过扩散再生获得以改善图像保真度。我们提供了一个理论失真界限，关联重建的对抗图像与掩蔽潜在频率扰动之间的变化。我们对六种扩散水印方法进行了评估，结果表明潜在频率掩蔽能够去除或显著削弱多个水印，同时保持感知质量，并在运行时间上优于现有攻击。这些结果表明潜在频率操作是一个实际的攻击面，并强调了在生成图像水印的鲁棒性评估中纳入此类攻击的必要性。
🔬 方法详解
问题定义：本文旨在解决隐形水印在自适应去除攻击下的脆弱性，现有方法在面对潜在频率操作时表现不佳，导致水印易被去除。
核心思路：提出潜在频率掩蔽攻击，通过替换水印图像潜在表示中的傅里叶系数，消除水印证据。此方法设计旨在提高攻击效率与图像保真度。
技术框架：整体流程包括选择傅里叶系数进行替换，替换可以基于高斯噪声或扩散再生技术。评估阶段则对比不同水印方法的鲁棒性。
关键创新：最重要的创新在于引入潜在频率掩蔽作为攻击手段，显著提高了对现有水印技术的攻击效果，且与传统方法相比，具有更高的图像保真度。
关键设计：在参数设置上，选择傅里叶系数的替换策略，损失函数设计关注于图像重建质量与水印去除效果的平衡，网络结构则依赖于扩散模型的特性。
🖼️ 关键图片
📊 实验亮点
实验结果表明，潜在频率掩蔽攻击能够有效去除或显著削弱多种水印，保持图像的感知质量。与现有攻击方法相比，该方法在运行时间上具有明显优势，展示了更高的效率和效果。
🎯 应用场景
该研究的潜在应用领域包括数字版权保护、图像内容认证及AI生成内容的追踪。随着生成图像技术的普及，提升水印技术的鲁棒性将对维护数字内容的安全性和版权保护具有重要价值。未来，研究成果可为水印技术的改进和新型防护措施提供理论基础和实践指导。
📄 摘要（原文）
Invisible watermarking has become a central tool for tracing AI-generated images, but its robustness against adaptive removal attacks remains an open security question. We introduce Latent Frequency Masking, an attack that erases watermark evidence by replacing selected Fourier coefficients in the latent representation of a watermarked image. The replacement can be sampled from Gaussian noise for efficiency or derived from diffusion regeneration for improved image preservation. We provide a theoretical distortion bound relating the change between the reconstructed adversarial image and the masked latent-frequency perturbation. We evaluate the proposed attack against six diffusion watermarking methods on images generated from DiffusionDB and MS-COCO prompts. Latent Frequency Masking removes or substantially weakens several watermarks while preserving perceptual quality and achieving favorable runtime compared with existing attacks. These results identify latent-frequency manipulation as a practical attack surface and highlight the need to include such attacks in robustness evaluations of generative image watermarking.