AI圖像水印失守！開源工具5分鐘內(nèi)抹除所有水印
AI圖像的水印技術(shù)要變天了！
一款全新的去水印技術(shù)——UnMarker，能在5分鐘內(nèi)去除市面上幾乎所有的AI圖像水印。
其中，谷歌水印工具HiDDeN已被完全破解，SynthID也已被攻破79%！
UnMarker在高效去除水印的同時(shí)，還保持了較高的圖像質(zhì)量。
目前，UnMarker已經(jīng)在GitHub上免費(fèi)開源，用戶僅憑消費(fèi)級(jí)顯卡就可實(shí)現(xiàn)本地部署。
UnMarker的出現(xiàn)，讓原本被視為有效對(duì)抗AI造假的水印技術(shù)變得不再可靠。
UnMarker創(chuàng)作者Andre Kassis表示：
我就想知道，這些水印技術(shù)是否真像他們說得那么厲害。
AI圖像水印技術(shù)
想知道UnMarker是怎么去除AI圖像水印的，有必要先了解一下AI圖像的水印是怎么回事。
與一般直接在圖片上打上品牌名的顯性水印（Visible Watermark）不同，AI圖像的水印主要是藏在頻譜特征等圖像深層信息中的隱性水印（Invisible Watermark）。
頻譜特征描述的是圖像中像素值彼此之間的變化方式，由頻譜幅度（Magnitude）和頻譜相位（Phase）兩個(gè)要素構(gòu)成。
當(dāng)前，水印技術(shù)主要通過修改頻譜幅度這一頻譜特征，在圖像中嵌入隱性水印。
舉例來說，在下面人類和熊的兩張圖片中，雖然內(nèi)容截然不同，但它們的頻譜幅度分布模式卻非常相似 ，而頻譜相位卻差別較大。
由此，對(duì)內(nèi)容高度敏感，在不同圖像之間變化巨大的頻譜相位就不適合作為可靠的通用載體來嵌入水印。
相反，對(duì)具體的像素位置依賴性較低的頻譜幅度成為了嵌入水印的絕佳載體，其對(duì)裁剪、模糊、壓縮等常見操作具有抵抗力，具備較好的魯棒性。
同時(shí)，我們還可以觀察到圖像的主體（人物和熊）與頻譜幅度圖中心的藍(lán)色區(qū)域相對(duì)應(yīng)，而圖像的背景則對(duì)應(yīng)著四周的橙色區(qū)域。
這是因?yàn)?，主體中平滑的區(qū)域，如衣物和毛發(fā)，擁有大片相同的色彩，導(dǎo)致像素值變化較慢，屬于頻譜中的低頻部分。
而細(xì)節(jié)豐富的區(qū)域，如輪廓和紋理，像素值變化較快，屬于頻譜中的高頻部分。
在Google的水印技術(shù)SynthID中，水印信息就被嵌入在圖片的低頻部分。
不過，水印嵌入有時(shí)候會(huì)改變圖像的輸出，如下圖所示。
（注：上圖從上到下按逆時(shí)針方向分別是：Google Imagen、Google SynthID，以及使用UnMarker去除水印后的圖片）
值得一提的是，在UnMarker之前，水印檢測(cè)器并非通用工具。
每一種水印都有自己專屬的檢測(cè)器，以及用來尋找該水印隱藏的頻譜模式。
而UnMarker以其強(qiáng)大的通用性，在不同的水印中實(shí)現(xiàn)了一種“通吃”的方法。
那么，UnMarker是怎么去水印的呢？
新的水印Killer
就像上面提到的，不可見的水印存在于頻譜幅度中。
于是，UnMarker就專門針對(duì)這一點(diǎn)進(jìn)行攻擊。它忽略圖像的像素值，直接修改整個(gè)圖像的頻譜信息，從而有效擾亂水印。
正如Andre Kassis所說的：
UnMarker并不試圖尋找水印隱藏的位置，也不精準(zhǔn)定位水印編碼的頻譜特征。它只需擾亂圖像，就能去除水印。
這種忽略像素層，專攻頻譜特征的方式使UnMarker不限于單一種類的水印去除，能夠應(yīng)對(duì)多種水印。
實(shí)驗(yàn)表明，根據(jù)AI圖片使用的水印方法不同，UnMarker能移除57%到100%的可檢測(cè)水印。
其中HiDDeN和Yu2兩種水印能被完全破解，而在Google SynthID中，UnMarker也成功移除了79%的水印。
在一些較新的水印技術(shù)，如StegaStamp和Tree-Ring Watermarks中，UnMarker依舊表現(xiàn)不俗，能去除60%的水印。
不過，UnMarker也非完美無缺，在去除水印的同時(shí)，往往也會(huì)對(duì)圖像造成一些輕微的改動(dòng)（如果你仔細(xì)觀察上面女生的頭發(fā)）。
針對(duì)這一問題，Kassis表示，稍微裁剪圖像可以取得更佳的去水印效果。
在論文中，UnMarker被部署在一張40GB顯存的Nvidia A100 GPU上，而據(jù)Kassis透露，在經(jīng)過一些針對(duì)性的調(diào)整后，UnMarker應(yīng)該也能在Nvidia RTX 5090這樣的消費(fèi)級(jí)顯卡上運(yùn)行。
這將大大降低普通用戶部署的成本和門檻。
One more thing
最近，微軟一項(xiàng)覆蓋全球12500名參與者的研究表明，人們識(shí)別AI圖像的平均成功率僅為62%。
不客氣地說，也就比瞎猜好一點(diǎn)。
為了在“亂花漸欲迷人眼”的圖像世界中“去偽存真”，水印作為一種解決方案就被提上了臺(tái)前。
例如，歐盟的《人工智能法案》要求大多數(shù)AI圖像生成工具必須加入水印，許多擁有AI圖像生成器的公司已經(jīng)實(shí)施了水印，或計(jì)劃在不久后實(shí)施。
但就在大家寄望于水印技術(shù)的時(shí)候，像UnMarker這樣的去水印技術(shù)已悄然登場(chǎng)。
