《Journal of Web Engineering》：Statistical Signal Amplification for Watermark Verification in Low-Rank Diffusion Adaptations
编辑推荐：
随着万维网演变为人工智能生成内容（AI-Generated Content, AIGC）的核心基础设施，确保通过在线平台分发的资产来源已成为Web工程中的关键挑战。低秩适配（Low-Rank Adaptation, LoRA）模型的非受控传播促进了未经授权的风
随着万维网演变为人工智能生成内容（AI-Generated Content, AIGC）的核心基础设施，确保通过在线平台分发的资产来源已成为Web工程中的关键挑战。低秩适配（Low-Rank Adaptation, LoRA）模型的非受控传播促进了未经授权的风格模仿，而现有水印往往难以在LoRA的参数压缩过程中幸存。为维护数字信任与创作者权利，研究人员提出了一种针对安全Web生态系统优化的适配无关痕迹验证方法（Adaptation-Agnostic Trace Verification）。该方法将基于深度学习的水印技术与统计共振放大器（Statistical Resonance Amplifier, SRA）相结合，以诱导高频信号向模型权重的迁移。此外，为克服分布式Web应用中单图像分析的噪声限制，研究人员引入了一种基于集成的检测技术。实验结果验证了该方法的鲁棒性，在高度受限的Rank 32环境（使用100张生成图像）中实现了0.891的AUC-ROC，在Rank 128时达到近乎完美的0.999，且不降低生成质量。本研究为AI治理与版权保护提供了一项实用技术，对确保AI增强型Web服务的可信性至关重要。
低秩扩散适配中水印验证的统计信号放大方法——论文解读
一、研究背景与问题提出
随着低秩适配（Low-Rank Adaptation, LoRA）技术与大规模扩散模型Stable Diffusion XL（SDXL）的协同发展，以极少量数据和计算资源高效模仿特定艺术风格或物体已成为现实可能。然而，这种技术可得性引发了严峻的版权侵权问题。在Andersen等人诉Stability AI的诉讼案件中，创作者作品未经同意被用于AI模型训练、衍生模型被持续分发的行为不断被披露。在此背景下，判定版权侵权的技术难点在于获取客观证据，以确认特定LoRA模型是否使用了原始数据进行训练。数字水印技术通过向训练数据注入不可见水印、检测生成图像中的痕迹来追踪数据使用情况，被视作可行的技术对策。
然而，现有水印技术在LoRA训练环境中存在明显技术局限。传统频域方法（如DWT、DCT）通常将信息嵌入人眼不可见的高频波段，但LoRA训练涉及将数据特征压缩并重构为模型权重，模型在此过程中倾向于将高频微弱信号视为非必要学习元素予以过滤，或被新风格信息覆盖。直接插入模型文件的水印方法则因攻击者仅分发生成图像而不发布模型时难以验证而受限。尤其当训练容量被刻意限制以规避追踪时——例如Rank 32以下——模型进入"欠拟合"状态，无法完整再现训练数据的视觉风格，此时验证水印信号是否保留并迁移至模型权重成为关键课题。
为此，研究人员提出了一种适配无关的痕迹验证方法（Adaptation-Agnostic Trace Verification），以从技术上解决扩散模型LoRA适配引发的版权侵权问题。该研究基于固定基础模型（SDXL），分析了在嵌入水印的小型数据集上训练的LoRA模型，证实即使语义风格学习因容量限制而不完整，LoRA模型仍对经由标准U-Net结构和邻近像素残差（Neighboring Pixel Residual, NPR）度量自适应插入高纹理复杂度区域的水印模式表现出显著的学习偏向。该论文发表于《Journal of Web Engineering》。
二、关键技术方法
研究人员采用HiNet架构（结合离散小波变换DWT与可逆神经网络INN）实现水印嵌入，通过通道混洗（Channel Shuffling）增强抗压缩能力；利用NPR图自适应调控水印注入强度，引导信号进入高纹理区域。训练为两阶段：先独立训练HiNet，再冻结之并训练基于U-Net与全局残差学习的统计共振放大器（SRA），其间以高斯模糊、可微JPEG近似和高斯噪声模拟代理攻击（Proxy Attack）。验证阶段对多张生成图像的提取信号进行集成平均（Ensemble Averaging）以消除噪声。数据来源为COCO 2017 Unlabeled数据集（10,000张用于预训练）及20张梵高作品高分辨率图像（用于LoRA风格模仿实验）。
三、研究结果
4.1 实验与验证：研究人员构建了梵高风格模仿场景，使用kohya_ss v25.2.1脚本对SDXL 1.0进行LoRA训练（1000步、学习率0.0001、bf16格式），Rank设为32、64、128三档，并将LoRA应用强度（Strength）从0.2至1.0细分。每个模型以100个随机提示、每提示5个种子生成500张图像，共计2000张用于后续验证分析。
4.2 基于集成的信号放大分析：单图像分析（N=1）时各条件下AUROC均处于随机水平（0.464~0.533），表明水印具有高隐蔽性。随着集成数N增加，信号经统计共振现象显著放大：Rank 128在N=20时达0.910，N=100时达0.999；Rank 64在N=100时达0.958；Rank 32在N=100时达0.891，已具备作为有意义证据的检测能力。Clean模型AUROC在0.493~0.591间无规律波动，确认不产生假阳性。
4.3 生成图像视觉质量与稳定性分析：FID（Fréchet Inception Distance）测量显示，Rank 32、64条件下FID随Strength增加呈下降稳定趋势（由60+降至48~50区间），Rank 64且Strength 1.0时FID为50.27，表明水印噪声未显著干扰风格学习。Rank 128则出现严重过拟合（FID达288.10），这源于小样本（20幅图像）数据稀缺而非水印影响。这意味着攻击者为获取高质量图像须倾向于低Rank设置，恰落入水印有效检测区间。
4.4 与现有水印技术对比分析：在相同条件（Rank 64、JPEG质量因子80压缩）下与DWT-DCT方法对比，基于SRA的技术在LoRA压缩与JPEG有损压缩双重作用下仍保持近95%检测性能，DWT-DCT检测率则骤降至40.0%。性能差异源于信号存储域与优化方法的不同：传统方法均匀嵌入固定高频带，在LoRA低秩重构中易被过滤；本文方法基于NPR度量引导训练，将信号自适应内化于高熵区域，无需修改基础模型架构即实现鲁棒抵抗。
四、讨论与结论
研究表明，因生成过程的随机噪声，单图像分析难以判定水印存在；而通过统计共振技术对多张生成图像提取的信号进行集成以抵消不相关噪声，即使在欠拟合条件（Rank 32）和JPEG有损压缩下，仍获得了显著高于现有DWT-DCT方法的存活率与检测精度。这从实证层面表明，独立于风格模仿的视觉完整性，训练数据的痕迹保留于模型内部并迁移至生成输出。该研究的意义在于：无需访问目标模型参数，仅凭生成图像即可在黑盒环境中追踪训练数据的使用情况。未来工作应增强对旋转、裁剪等几何变换攻击的鲁棒性，减少验证所需样本数以提升效率，并探索向视频、音频生成模型的扩展，以发展为应对多模态生成环境的综合性版权保护技术。
