PDMark：扩散模型的合情合理可否认水印

《Neural Networks》：PDMark: Plausibly Deniable Watermarking for Diffusion Models

　　

扩散模型水印已成为 AI 生成内容版权保护和溯源追踪的一项重要技术。然而，大多数现有方法依赖于确定性提取，即一旦拥有相应的密钥或提取器，嵌入的水印就被期望被揭示。这种设计在胁迫披露下会成问题，因为披露水印可能会暴露敏感的身份或溯源信息。本文提出 PDMark，一种面向扩散模型的可信否认性水印方法。据我们所知，PDMark 是第一个明确研究胁迫披露下扩散生成图像可信否认性水印的框架。PDMark 是一个免训练的基于潜空间的框架，它从真实消息和虚假消息构建单一水印表示。该表示通过高斯一致采样映射到带水印的潜空间。在提取期间，披露的密钥决定恢复哪个水印，允许内容所有者披露一个能产生合理虚假水印的虚假提取密钥，而未披露的水印保持受保护。大量实验和理论分析表明，PDMark 实现了否认性，同时保持了高提取准确率、有竞争力的图像保真度以及在各种攻击下的鲁棒性。

引言
随着扩散模型在图像生成和编辑中越来越多地被采用，AI 生成内容在创意媒体制作中变得普遍（Chen et al., 2024）。卓越的生成质量和灵活性使扩散模型在文本到图像生成（Rombach et al., 2022）、图像编辑（Brooks et al., 2023）和修复（Saharia et al., 2023）等任务中非常有效。随着 AI 生成内容在现实场景中的增长，在不影响正常可用性的情况下进行版权保护和可追溯性已成为关键需求。生成的图像可能需要水印以支持所有权验证和版权主张（Fernandez, Couairon, Jégou, Douze, Furon, 2023, Lei, Gai, Yu, & Zhu, Tian, Wang, 2026），或者在生成内容被用于深度伪造或伪造事件时启用责任追踪（Liu, Yang, Liu, Zhao, Xiong, Shen, 2023a, Siddiqui, Yang, Xiao, Fahad, 2025, Wu, Liu, Yao, Zhang, 2021）。

扩散模型水印引起了广泛的研究关注（Kong, Chen, Li, Yuan, Cai, Wu, Liang, 2026, Liu, Guo, Wei, 2026），近期相关方法主要包括基于模型调优的和基于潜空间的（Wan et al., 2022）。基于模型调优的方法修改扩散模型本身（Fernandez, Couairon, Jégou, Douze, Furon, 2023, Min, Li, Chen, Cheng, 2024, Wang, Guo, Zhu, Li, Huang, Chen, Tu, 2025b），而基于潜空间的方法将水印嵌入其潜空间域（Wen, Kirchenbauer, Geiping, Goldstein, 2023, Yang, Zeng, Chen, Fang, Zhang, Yu, 2024）。尽管设计不同，这些方法主要关注模型保真度、提取准确率和鲁棒性目标（Wang et al., 2026）。然而，现有方法是针对确定性验证设计的，给定一张带水印图像，提取过程被期望揭示嵌入的水印。

换言之，现有方法假设水印验证总是善意的，但当水印携带敏感的身份或溯源信息时，这种假设可能失效（Min, Li, Chen, Cheng, 2024, Xu, Xia, Wang, Zhang, Weng, 2022）。在某些场景中，水印可能携带敏感信息，例如受保护内容创作者的身份、保密用户标识符或敏感文件的传输路径。一旦对手获得带水印图像并胁迫所有者披露水印，普通水印方法只能披露真实水印。因此，安全目标超出了鲁棒提取，它要求实用的水印系统还应在胁迫披露下防止敏感溯源信息被暴露。值得注意的是，即使是多水印方法，如 RingID（Ci et al., 2024），在这种设置下提供的保护也有限。它们的目标是区分与图像关联的不同用户，而不是在披露一个提取密钥后隐藏另一个有意义水印的存在。因此，多密钥识别和否认性披露是根本不同的目标。结果，传统扩散模型水印缺乏一种机制，在胁迫披露发生后保护敏感水印内容。

否认性提供了一种有前景的解决方案来解决这一局限性。例如，企业可以保护保密的客户特定标识符，同时披露一般的组织溯源水印。同样，敏感文档分发系统可以通过仅披露非敏感源验证水印来隐藏路由特定追踪标识符。这种机制在指定的威胁模型下降低了披露风险，但并不取代法律保护或安全的密钥管理。最初由 Canetti 等人（1997）在密码学中引入，否认性允许受胁迫用户披露从观察到的载体中得出的虚假消息作为对敌方胁迫的回应，从而保护真正的秘密和受胁迫用户。否认性也在图像隐藏中被研究，其中受胁迫用户可能揭示虚假秘密，同时保持敏感秘密隐藏（Xu, Xia, 2023, Xu, Xia, Wang, Zhang, Weng, 2022）。Liu 等人（2023b）引入了用于基于扩散信息隐藏的否认性生成隐写术，它允许同一图像使用虚假消息解码，同时保持真实消息的存在被隐藏。然而，其否认性依赖于两个不同解码器的选择，使解码器本身成为秘密组件的一部分，维护多个解码器引入了额外的训练成本和披露风险，限制了其在实际部署中的适用性。图 1 展示了现有扩散模型水印方法及其在胁迫场景下的性能对比。

因此，应对胁迫披露需要一种新的扩散模型水印形式，将否认性作为核心安全要求纳入其中。与主要旨在进行可靠的所有权验证或溯源追踪的传统扩散模型水印不同，否认性水印还必须保护敏感水印信息，当所有者被胁迫披露提取密钥时。这引入了一项新的安全要求，即同一带水印图像应支持密钥依赖的提取结果，而披露的密钥不应暴露是否存在另一个有意义的水印。仅仅将两个普通水印嵌入到同一图像中的简单方案无法满足这一要求，因为未披露的水印可能仍然作为额外的结构信号存在，使得在披露一个水印后更容易确定是否存在另一个水印。这一挑战在潜扩散模型水印中进一步放大，其中生成从高斯噪声开始，偏离标准高斯潜空间分布可能会降低图像质量或暴露水印痕迹（Ci, Yang, Song, Shou, 2024, Yang, Zeng, Chen, Fang, Zhang, Yu, 2024）。因此，否认性扩散模型水印需要一种根本不同的设计，能在不损害水印统计行为和实践可靠性的情况下，在不同密钥下提供不同的提取结果。

为了解决这一局限性，我们提出了 PDMark，一种面向扩散模型的基于潜空间的可信否认性水印方法。据我们所知，PDMark 是第一批明确将可信否认性引入扩散模型水印的框架之一。PDMark 允许单一带水印图像在不同提取密钥下揭示两个不同水印中的一个，同时隐藏未披露水印的存在。在正常情况下，使用真实密钥提取真实水印，而在胁迫下，可以披露虚假密钥提取合理的虚假水印。我们的方法免训练地为两个消息构建单一水印表示，并带有同步头以稳定失真下的恢复。带水印潜空间根据水印表示通过高斯一致采样策略进行采样。在提取期间，披露的密钥仅揭示其对应的水印，而不揭示关于未披露水印的有用信息。

我们的贡献总结如下：
•我们提出了一种面向扩散模型的否认性水印方法，其中同一带水印图像支持在不同密钥下的否认性提取结果，而无效密钥不揭示任何有意义结果。
•我们开发了一种免训练的潜空间水印技术，为真实和虚假消息构建单一水印表示，这与同步辅助提取和高斯一致潜空间采样相结合。
•大量实验证明了强大的提取准确率、保真度、鲁棒性和否认性。

章节摘录
扩散模型水印
针对扩散模型的最新水印方法可大致分为基于模型调优的和基于潜空间的。基于模型调优的方法通过微调模型组件将水印嵌入扩散过程中，从而自然生成带有水印的图像。稳定签名（Stable Signature）（Fernandez et al., 2023）将二值水印嵌入潜扩散模型的 VAE 解码器中。面向潜扩散模型的灵活和安全水印（Flexible and Secure Watermarking for Latent Diffusion Model）（Xiong et al., 2023）研究了灵活的...

预备知识
在本节中，我们简要回顾去噪扩散隐式模型的公式，并陈述威胁模型。

概述
PDMark 的工作流程如图 2 所示。我们的方法是免训练的，在嵌入之前构建单一的可信否认性水印表示。给定一对真实和虚假消息（m(r), m(f)）以及相应的密钥（k(r), k(f)），我们首先构建单一水印表示，该表示结合密钥派生的同步组件和数据组件。然后我们从中采样带水印潜空间 z?用于扩散生成：
z?=W(m(r),m(f),k(r),k(f))，最终图像 x?

分析
在本节中，我们从正确性、统计不可区分性以及单密钥胁迫披露模型下的安全性角度分析所提出的否认性水印框架。

实验设置
模型和数据集 我们默认在 Stable Diffusion v2.1 上进行实验。我们使用 COCO 2017 的图像 - 提示对作为验证提示，并使用相应的图像评估所提出方法的保真度。不可感知性和鲁棒性评估在 1000 个图像 - 提示对上进行测试。
实现细节 所有实验均在单个 NVIDIA GeForce RTX 5090 GPU 和主频为 2.60 GHz 的 Intel Xeon Platinum 8358P CPU 上进行。潜空间大小固定为 d=4×64×64

局限性与未来工作
PDMark 目前针对单轮披露后的预定义否认性。其保证不能直接组合到重复或相关的胁迫尝试中。特别是，如果对手强迫用户在多轮中披露不同的密钥、消息或辅助记录，结果披露可能变得相互不一致或揭示当前分析未涵盖的统计关系。重复胁迫也可能允许对手...

结论
在本文中，我们研究了扩散模型的可信否认性水印，并讨论了在胁迫设置下传统的确定性验证是不够的。为了解决这个问题，我们提出了 PDMark，一种免训练的基于潜空间的否认性水印方法，它将两个消息嵌入水印表示中。结合高斯一致潜空间采样，所提出的设计在正常使用中启用标准验证，同时支持胁迫下的否认性披露。大量...

CRediT 作者贡献声明
Zikai Xu: 写作 – 初稿，验证，方法论，调查，正式分析，概念化。Bin Liu: 写作 – 审阅与编辑，资金获取。Weihai Li: 写作 – 审阅与编辑，资金获取。Lijunxian Zhang: 验证，调查。Nenghai Yu: 资金获取。

利益冲突声明
作者声明他们没有任何已知的竞争性经济利益或个人关系可能影响本文报告的工作。

Zikai Xu|Bin Liu|Weihai Li|Lijunxian Zhang|Nenghai Yu