henry 发自凹非寺
量子位 | 公众号 QbitAI
AI 图像的水印技术要变天了！
一款全新的去水印技术——UnMarker，能在 5 分钟内去除市面上几乎所有的 AI 图像水印。其中，谷歌水印工具 HiDDeN 已被完全破解，SynthID 也已被攻破 79%！
UnMarker 在高效去除水印的同时，还保持了较高的图像质量。
目前，UnMarker 已经在 GitHub 上免费开源，用户仅凭消费级显卡就可实现本地部署。
UnMarker 的出现，让原本被视为有效对抗 AI 造假的水印技术变得不再可靠。
UnMarker 创作者 Andre Kassis 表示：
- 我就想知道，这些水印技术是否真像他们说得那么厉害。
AI 图像水印技术
想知道 UnMarker 是怎么去除 AI 图像水印的，有必要先了解一下 AI 图像的水印是怎么回事。
与一般直接在图片上打上品牌名的显性水印（Visible Watermark）不同，AI 图像的水印主要是藏在频谱特征等图像深层信息中的隐性水印（Invisible Watermark）。
频谱特征描述的是图像中像素值彼此之间的变化方式，由频谱幅度（Magnitude）频谱相位（Phase）两个要素构成。
当前，水印技术主要通过修改频谱幅度这一频谱特征，在图像中嵌入隐性水印。
举例来说，在下面人类和熊的两张图片中，虽然内容截然不同，但它们的频谱幅度分布模式却非常相似 ，而频谱相位却差别较大。
由此，对内容高度敏感，在不同图像之间变化巨大的频谱相位就不适合作为可靠的通用载体来嵌入水印。
相反，对具体的像素位置依赖性较低的频谱幅度成为了嵌入水印的绝佳载体，其对裁剪、模糊、压缩等常见操作具有抵抗力，具备较好的鲁棒性。
同时，我们还可以观察到图像的主体（人物和熊）与频谱幅度图中心的蓝色区域相对应，而图像的背景则对应着四周的橙色区域。
这是因为，主体中平滑的区域，如衣物和毛发，拥有大片相同的色彩，导致像素值变化较慢，属于频谱中的低频部分
而细节丰富的区域，如轮廓和纹理，像素值变化较快属于频谱中的高频部分。
在 Google 的水印技术 SynthID 中，水印信息就被嵌入在图片的低频部分。
不过，水印嵌入有时候会改变图像的输出，如下图所示。
（注：上图从上到下按逆时针方向分别是：Google Imagen、Google SynthID，以及使用 UnMarker 去除水印后的图片）
值得一提的是，在 UnMarker 之前，水印检测器并非通用工具。
每一种水印都有自己专属的检测器，以及用来寻找该水印隐藏的频谱模式。
而 UnMarker 以其强大的通用性，在不同的水印中实现了一种“通吃”的方法。
那么，UnMarker 是怎么去水印的呢？
新的水印 Killer
就像上面提到的，不可见的水印存在于频谱幅度中。
于是，UnMarker 就专门针对这一点进行攻击。它忽略图像的像素值，直接修改整个图像的频谱信息，从而有效扰乱水印。
正如 Andre Kassis 所说的：
- UnMarker 并不试图寻找水印隐藏的位置，也不精准定位水印编码的频谱特征。它只需扰乱图像，就能去除水印。
这种忽略像素层，专攻频谱特征的方式使 UnMarker 不限于单一种类的水印去除，能够应对多种水印。
实验表明，根据 AI 图片使用的水印方法不同，UnMarker 能移除57%100%的可检测水印。
其中 HiDDeN 和 Yu2 两种水印能被完全破解，而在 Google SynthID 中，UnMarker 也成功移除了 79% 的水印。
在一些较新的水印技术，如 StegaStamp 和 Tree-Ring Watermarks 中，UnMarker 依旧表现不俗，能去除 60% 的水印。
不过，UnMarker 也非完美无缺，在去除水印的同时，往往也会对图像造成一些轻微的改动（如果你仔细观察上面女生的头发）。
针对这一问题，Kassis 表示，稍微裁剪图像可以取得更佳的去水印效果。
在论文中，UnMarker 被部署在一张 40GB 显存的 Nvidia A100 GPU 上，而据 Kassis 透露，在经过一些针对性的调整后，UnMarker 应该也能在 Nvidia RTX 5090 这样的消费级显卡上运行。
这将大大降低普通用户部署的成本和门槛。
One more thing
最近，微软一项覆盖全球 12500 名参与者的研究表明，人们识别 AI 图像的平均成功率仅为 62%
不客气地说，也就比瞎猜好一点。
为了在“乱花渐欲迷人眼”的图像世界中“去伪存真”，水印作为一种解决方案就被提上了台前。
例如，欧盟的《人工智能法案》要求大多数 AI 图像生成工具必须加入水印，许多拥有 AI 图像生成器的公司已经实施了水印，或计划在不久后实施。
但就在大家寄望于水印技术的时候，像 UnMarker 这样的去水印技术已悄然登场。
[2]https://github.com/andrekassis/ai-watermark
