AI水印技术挑战：UnMarker的崛起

AI图像水印技术的挑战即将来临！

一项全新的去水印技术——UnMarker，能够在5分钟内清除市场上几乎所有的AI图像水印。

目前，谷歌水印工具HiDDeN已被彻底攻克，SynthID也已被破解了79%！

UnMarker在高效去除水印的同时，还确保了图像的高质量。

目前，UnMarker已在GitHub上免费开源，用户只需使用消费级显卡即可实现本地部署。

UnMarker的问世，使得原本被视作有效对抗AI造假的手段——水印技术，变得不再可靠。

创作者Andre Kassis表示：

我就想看看，这些水印技术是否真的像他们所说的那么强大。

AI图像水印技术的奥秘

要理解UnMarker如何去除AI图像水印，先了解AI图像水印的运作原理是很有必要的。

与直接在图片上打品牌名的显性水印不同，AI图像的水印是隐藏在图像深层信息中的隐性水印（Invisible Watermark），这些深层信息包括频谱特征等。

频谱特征描述了图像中像素值的变化方式，由频谱幅度（Magnitude）和频谱相位（Phase）两个要素构成。

当前，水印技术主要通过修改频谱幅度这一频谱特征，在图像中嵌入隐性水印。

举个例子，看下面两张人类和熊的图片，尽管内容完全不同，但它们的频谱幅度分布模式却非常相似，而频谱相位却差异很大。

因此，对内容高度敏感且变化巨大的频谱相位不适合作为嵌入水印的通用载体。

相反，对具体像素位置依赖性较低的频谱幅度成为了嵌入水印的理想载体，它对裁剪、模糊、压缩等常见操作具有抵抗力，具备良好的鲁棒性。

同时，我们还可以观察到图像的主体（人物和熊）与频谱幅度图中心的蓝色区域相对应，而图像的背景则对应着四周的橙色区域。

这是因为主体中平滑的区域（如衣物和毛发）拥有大片相同的色彩，导致像素值变化较慢，属于频谱中的低频部分。

而细节丰富的区域（如轮廓和纹理）则像素值变化较快，属于频谱中的高频部分。

在Google的水印技术SynthID中，水印信息就被嵌入在图片的低频部分。

然而，水印嵌入有时会改变图像的输出，如下例所示。

（注：上图从上到下按逆时针方向分别是：Google Imagen、Google SynthID，以及使用UnMarker去除水印后的图片）

值得一提的是，在UnMarker出现之前，每种水印都有其专属的检测器以及寻找隐藏水印的频谱模式。

而UnMarker凭借其强大的通用性，在不同种类的水印中实现了一种“万能”的解决方法。

“新杀手”UnMarker的工作原理

正如上文所述，不可见的水印存在于频谱幅度中。

因此，UnMarker就专门针对这一点进行攻击。它忽略图像的像素值，直接修改整个图像的频谱信息，从而有效扰乱水印。

UnMarker并不试图寻找水印隐藏的位置，也不精准定位水印编码的频谱特征。它只需扰乱图像，就能去除水印。

这种忽略像素层、专攻频谱特征的方式使UnMarker不限于单一种类的水印去除，能够应对多种水印。

实验表明，根据AI图片使用的水印方法不同，UnMarker能移除57%到100%的可检测水印。 其中HiDDeN和Yu2两种水印能被完全破解，而在Google SynthID中，UnMarker也成功移除了79%的水印。 在一些较新的水印技术如StegaStamp和Tree-Ring Watermarks中，UnMarker依旧表现不俗，能去除60%的水印。 不过，UnMarker也非完美无缺。在去除水印的同时，往往也会对图像造成一些轻微的改动（如果你仔细观察上面女生的头发）。针对这一问题Kassis表示稍微裁剪图像可以取得更佳的去水印效果。 在论文中UnMarker被部署在一张40GB显存的Nvidia A100 GPU上。而据Kassis透露在经过一些针对性的调整后UnMarker应该也能在Nvidia RTX 5090这样的消费级显卡上运行这将大大降低普通用户部署的成本和门槛。