基于频率-空间双域技术的隐形水印技术，用于增强图像数据集的版权保护能力

《Information Processing & Management》：Frequency–spatial dual-domain imperceptible watermarking for robust image datasets copyright protection

　　摘要
虽然基于触发的水印技术能够实现对数据集所有权的验证，但现有方法往往容易受到结构失真的影响，并且主要依赖于行为证据。与传统图像水印技术不同，数据集保护需要从受保护的样本到下游模型行为中传播不可察觉的所有权信号，同时保持所有者的真实性。为了解决这些限制，我们提出了一种频率-空间双域数据集水印框架，该框架结合了自适应嵌入、混合非对称鲁棒共训练和两阶段验证，在数据集到模型的所有权转移框架下实现这些功能。我们在MNIST、CIFAR-10和CIFAR-100上对这种方法进行了评估，水印注入比率为本训练集的10%。我们进一步评估了它在Caltech-101和PASCAL VOC 2012上的适用性，分别用于高分辨率分类和语义分割。评估涵盖了常见的失真、几何变换和增强式变换、水印去除预处理、方法感知的低通抑制以及黑盒传输攻击。实验结果表明，所提出的方法具有强大的视觉不可感知性，在低分辨率基准测试中的PSNR高达39.0 dB，在Caltech-101上为38.44 dB，在PASCAL VOC 2012上为43.46 dB，同时保持了与未加水印模型相当的准确性。即使在JPEG压缩、高斯模糊和噪声等常见失真的情况下，它仍保持高水平的水印效果。通过提供互补的行为和所有者侧查询认证证据，该框架提供了更全面的验证基础，并初步证明了其在不同图像分辨率和任务类型中的适用性。

引言
随着深度学习的快速发展，高质量的数据集已成为模型性能的关键决定因素。构建此类数据集通常需要在数据收集、清洗和注释方面进行大量投资，这些投资往往超过了模型开发本身的需求。因此，数据集本质上构成了具有重大商业价值和明确知识产权意义的宝贵数字资产（Sablayrolles等人，2020年；Yuan和Nie，2025年）。然而，随着数据共享和数据驱动开发的日益普及，数据的未经授权复制、重新分发和重用变得越来越普遍（Li等人，2025年；Xie等人，2025年）。这使得为数据集建立有效且可验证的版权保护机制成为机器学习安全领域的一个紧迫挑战（Bouaziz等人，2025年；Jang等人，2024年；P. Li等人，2024年；Nie和Yuan，2025年）。
传统的数字水印技术已广泛应用于图像、音频和视频等感知媒体，其中水印信号被嵌入以实现版权识别，同时保持感知保真度（Barni等人，1998年；Chen和Wornell，2001年；Podilchuk和Delp，2001年）。然而，将这些技术扩展到机器学习训练数据远非易事。除了视觉质量外，训练数据还必须保持其原始的统计分布和区分性结构，这两者对于良好的下游模型性能至关重要。因此，即使是小的水印诱导的扰动也可能对模型泛化产生负面影响（Adi等人，2018年）。这一问题因数据集在重新使用前经常经过压缩、过滤、增强和规范化处理而变得更加严重。这些操作可能会显著削弱甚至消除嵌入的水印，从而降低其鲁棒性和可验证性（Nie & Yuan，2025年）。
近年来，数据集版权保护已成为机器学习安全领域一个日益重要的话题，后门触发式水印技术成为最具代表性的范式之一（Bouaziz等人，2025年；Gu等人，2019年；Guo等人，2023年；Li，Bai等人，2022年；Li，Jiang等人，2024年；Li等人，2023年；Souri等人，2022年；Tang等人，2023年）。其核心思想是将少量触发模式注入训练数据，以便在受保护的数据集上训练的模型对特定输入表现出预定义的响应，从而在黑盒环境中实现所有权验证。由于这种范式支持无需访问模型内部即可进行便捷的验证，因此已成为保护数据集的广泛采用的方法。
然而，现有的基于触发的方法在三个方面存在局限性。首先，许多方法依赖于局部模式或脆弱的高频信号，使它们容易受到JPEG压缩、模糊和噪声等常见图像失真的影响。这大大削弱了水印的鲁棒性，并使得触发行为在实际数据处理后难以保持（Nie & Yuan，2025年）。其次，设计不佳的触发注入策略可能会改变原始数据的分布，特别是当触发器放置或载体样本选择不适应任务时。这会损害下游任务的性能并降低水印的隐蔽性（Guo等人，2023年；Li，Bai等人，2022年；Li等人，2021年；Nguyen和Tran，2021年；Sun等人，2025年）。第三，大多数现有方法仅在行为层面进行所有权验证，通过使用触发样本来探测可疑模型。虽然在黑盒环境中有效，但这种验证只能提供间接证据，无法验证提交验证查询的来源，并可能在验证过程中增加水印泄露的风险（Guo等人，2024年；Nie和Lu，2024年；Sun等人，2025年；Ya等人，2024年）。如图1(a)所示，这些限制共同阻碍了现有方法在鲁棒和可信的数据集所有权验证方面的实际可靠性。
尽管频域水印技术已被广泛用于图像级别的版权保护，但它直接扩展到数据集所有权验证并不简单。传统图像水印技术侧重于从可直接访问的媒体中检测或恢复隐藏信号。然而，在数据集保护中，嵌入的所有权信号必须能够在下游训练中存活，并在未知的下游模型中引发稳定的黑盒行为。因此，图像级别的可恢复性并不一定意味着数据集到模型的可转移性。这一转变引入了对下游可学习性、视觉不可感知性、任务效用以及发布后处理鲁棒性的耦合要求。为了解决这些要求，我们提出了一种频率-空间双域数据集水印框架，该框架在统一的数据集到模型流程中协调所有权信号的构建、所有权载体选择、鲁棒的下游传输和声明级别的验证。模型感知的频谱支持识别出与下游学习相关且相对耐受实际失真的频率区域，而纹理感知的空间调制调整局部嵌入强度以保持视觉质量。边界感知样本选择在规定的水印预算下优先选择正确分类的候选样本中的高分样本，混合非对称鲁棒共训练在常见变换下稳定转移的所有权响应，同时保持任务的清晰效用。验证协议进一步结合了模型级别的行为匹配和所有者侧查询来源认证。这些组件共同解决了信号不可感知性、可转移性、变换鲁棒性和可靠所有权验证的耦合要求。
尽管数据集水印技术最近有所进展，但实用的图像数据集版权保护框架必须同时解决鲁棒性、视觉不可感知性、下游效用和验证可靠性这三个问题。三个观察结果促使我们开展这项工作：
1. 对发布后处理的鲁棒性。图像数据集在重新分发和下游训练过程中可能会经历压缩、几何变换、增强、过滤或量化。因此，在实际处理（包括水印去除预处理和方法感知的低通抑制）下，局部空间模式和易受失真的频率信号可能会退化。
2. 效用性保持。实用的水印应同时保持视觉质量和下游学习效用。在真实世界应用中，引入可见伪影或导致模型性能下降的水印注入是不可取的。
3. 可靠的声明级别验证。在黑盒环境中，可疑模型的训练过程是不可访问的。行为匹配提供了模型级别的证据，但无法验证查询的来源。因此，可靠的所有权声明需要行为验证和所有者侧查询来源认证。
这些观察结果促使我们综合考虑所有权信号的不可感知性、数据集到模型的可转移性、变换鲁棒性、任务效用和声明级别验证。
本工作的主要贡献如下：
•我们将数据集水印技术表述为一个耦合的所有权信号传输和验证问题。我们进一步为有界有效扰动、有界频谱泄漏下的水印能量保持、局部任务损失稳定性以及联合错误接受控制提供了充分条件分析。
•我们开发了一种由Grad-FFT指导的自适应嵌入策略，结合了边界感知样本选择，该策略使用原始标签分类损失、前两名预测边际和预测熵在受限的水印预算下优先选择正确分类的候选样本中的高分样本。
•我们设计了一种混合非对称鲁棒共训练机制，通过多样化的失真池提高对压缩、模糊和噪声的抵抗力，同时保持任务保真度和视觉质量。
•我们提出了一种两阶段所有权验证协议，将模型级别的行为匹配与所有者侧查询来源认证相结合。该联合协议评估了可疑模型响应以及所有者提供的查询与所有者持有的参考水印模式的一致性，为可靠的黑盒所有权验证提供了结构化基础。
在MNIST、CIFAR-10、CIFAR-100、Caltech-101和PASCAL VOC 2012上的实验表明，在任务效用、视觉不可感知性、所有权信号鲁棒性和验证可靠性方面取得了良好的平衡。评估涵盖了低分辨率和高分辨率图像分类、语义分割、几何和增强式变换、以水印去除为导向的处理、方法感知的低通抑制以及黑盒传输攻击。

相关工作
在本节中，我们回顾了与数据集版权保护最相关的文献，包括传统水印技术、基于后门的保护和所有权验证方法。我们还总结了现有方法在保护目标、验证策略和鲁棒性假设方面的差异，并进一步强调了激发我们框架的局限性。

方法论
在本节中，我们提出了用于图像数据集版权保护的框架。我们的目标是构建一个在发布数据中仍不可感知、对实际失真具有鲁棒性，并能在黑盒环境中针对可疑下游模型进行验证的所有权信号。为此，我们开发了一个统一框架，该框架结合了Grad-FFT频率分析、边界感知样本选择、双域自适应不可感知嵌入、混合非对称鲁棒共训练。

理论分析
在本节中，我们分析了所提框架的四个理论属性：嵌入不可感知性、在常见失真下的鲁棒性、任务保真度的保持以及两阶段所有权验证的可靠性。分析为有界嵌入幅度和频谱泄漏、特定于失真的频率响应、局部任务损失规律性以及校准的验证提供了明确的界限和可解释的充分条件。

实验
我们从任务效用、视觉不可感知性、失真鲁棒性、所有权验证、跨架构可转移性、跨任务适用性和计算开销等方面评估了所提出的方法。首先描述了实验设置，然后展示了主要比较、泛化研究、消融测试、超参数敏感性和效率分析。

讨论与启示
所提出的框架在数据集版权保护方面具有理论和实践意义，通过连接所有权信号构建、数据集到模型的传输和声明级别验证。

理论启示：
理论分析为有界有效扰动、有界频谱泄漏下的水印能量保持、局部任务损失稳定性以及联合错误接受的上限提供了充分条件。这些结果定义了一个可解释的框架。

结论
我们提出了一个统一的数据集水印框架，用于图像数据集的版权保护。该框架结合了Grad-FFT频率分析、边界感知样本选择、双域自适应不可感知嵌入、混合非对称鲁棒共训练和两阶段所有权验证。这些组件形成了一个统一的数据集到模型所有权信号传输流程。第一阶段评估可疑下游模型中的所有权相关行为，而第二阶段验证...

CRediT作者贡献声明
Xiaojie Du：写作——原始草稿，验证，监督，软件，方法论，概念化。
Yedi Chen：可视化，数据 curatio。
Kai Ma：写作——审阅与编辑，数据 curatio。
Yumeng Zhao：调查，数据 curatio。
Xiaoyao Xie：调查，数据 curatio。
Daoxun Xia：写作——审阅与编辑，监督，项目管理，资金获取。

资助
本研究得到了中国国家自然科学基金（编号62566013）、贵州省优秀青年科技人才计划（QKHPTTRC-YQK[2023]028）、贵州省人工智能技术创新领军人才工作站（编号QKHPT KXJZ[2025]022）、贵州省科学技术计划项目（编号QKHRC-KJFZ[2025]016）以及贵州省未来网络院士创新团队工作站的支持（编号...）的资助。

利益冲突声明
作者声明没有已知的竞争性财务利益或个人关系可能影响本文报告的工作。