生成模型水印技术新突破：基于分发者中心的卷积调制方法

本文提出了一种创新的生成模型水印方法（WIC），通过替换生成器的卷积层为水印感知卷积（Watermark-Informed Convolution），实现模型分发时快速嵌入唯一水印。该方法支持多比特水印（box-free）且无需重训练，在保持标准卷积计算效率的同时，对JPEG压缩、剪枝等攻击具有强鲁棒性，为生成模型知识产权（IPR）保护和内容溯源提供了通用解决方案。

　　

Highlight

本研究亮点在于：

• 提出水印感知卷积（WIC）技术，通过并行卷积核调制实现水印动态嵌入，突破传统方法需重复训练的瓶颈

• 在模型部署阶段仅需数百毫秒即可生成带新水印的实例，且推理时与标准卷积（Conv）计算效率一致

• 实验证明其对128×128人脸编辑模型（StarGAN/AttGAN）和64×64图像生成模型（SNGAN/InfoMax GAN）均具有架构无关的适应性

Threat Model

随着生成式AI的商用化，模型分发场景下面临两大威胁：

1）知识产权侵权：恶意用户可能违反许可协议二次分发模型

2）深度伪造风险：生成内容被用于虚假信息传播

我们的水印技术为开发者提供主动取证能力，通过嵌入用户专属水印实现责任追溯

Methodology

核心设计：

WIC模块包含N个并行卷积核，通过水印编码器生成调制系数α₁...α_N。微调阶段联合训练水印解码器，部署时通过α系数线性组合核参数：W_final = Σα_iW_i

Settings

测试环境：

• 数据集：CelebA人脸数据（64×64/128×128）

• 对比基线：传统DNN水印方法[1-3]与被动取证技术

• 攻击测试：包含JPEG压缩（质量因子<50%）、高斯噪声（σ=0.1）、模型剪枝（比例>30%）等极端场景

Conclusion

水印感知卷积为生成模型提供了"一次训练，多次分发"的轻量化水印方案，其box-free特性支持每张生成图像携带≥32比特水印信息，在对抗攻击下仍保持>90%提取准确率，显著优于现有方法（P<0.01）。