《Computer Vision and Image Understanding》：Trading off payload and robustness in image watermarking via patch-level embedding and channel coding
编辑推荐：
•基于块级的嵌入方法使水印模型能够适应大型图像。•信道编码将额外的容量转化为鲁棒性。•编码速率控制有效载荷与鲁棒性之间的权衡。•实验涵盖多种图像尺寸、有效载荷和失真情况。引言生成式人工智能的最新进展使得以前所未有的规模和品质合成高度逼真的图像成为可能。现代文本生成图像系统能够
- •
基于块级的嵌入方法使水印模型能够适应大型图像。
- •
信道编码将额外的容量转化为鲁棒性。
- •
编码速率控制有效载荷与鲁棒性之间的权衡。
- •
实验涵盖多种图像尺寸、有效载荷和失真情况。
引言
生成式人工智能的最新进展使得以前所未有的规模和品质合成高度逼真的图像成为可能。现代文本生成图像系统能够以极少的用户操作生成视觉上合理的图像内容，这使得AI生成的图像在数字媒体中日益普遍，包括社交媒体平台。这种快速普及也引发了人们对图像来源、未经授权的篡改以及虚假信息的日益担忧，从而激发了对合成内容进行可靠归属和真实性验证的浓厚兴趣（Tariang等人，2024）。
现有方法主要分为两类：被动方法（Ojha等人，2023；Chen等人，2024；Guillaro等人，2025）和主动方法（Fernandez等人，2023；Yang等人，2024；Ma等人，2022；Jia等人，2021）。被动方法在图像合成之后，从视觉伪影或模型特定指纹中推断生成痕迹。其缺点在于，它们通常容易受到图像编辑的影响，并且通常无法提供可靠的细粒度归属（Guo等人，2024），即生成内容的来源不容易追溯。相比之下，基于水印的主动方法将所有权信息（一个消息比特串）直接嵌入图像中，从而可以追溯内容来源并验证其真实性。现有水印方法主要可分为生成时和生成后方法。生成时方法修改生成模型或生成流程，使生成模型产生的图像已经包含水印（Fei等人，2022；Fernandez等人，2023；Yang等人，2024；Wen等人，2023）。而在生成后水印中，嵌入是在图像生成之后使用专用的深度神经网络（DNN）模型进行的。当目标仅是为模型的输出进行AI可追溯性的水印标注，而不关注模型保护时，后一种方法更加灵活。该类中已提出许多水印方法，并且在各种处理操作和编辑操作下也达到了适度的鲁棒性（Ma等人，2022；Lu等人，2024；Hu等人，2024）。
然而，尽管取得了近期进展，现有生成后方法所嵌入的有效载荷仍然有限。一个关键的瓶颈在于，水印网络通常在固定且相对较小的输入尺寸上运行——通常为128 × 128或256 × 256——这是由于网络架构的限制。通过采用Bui等人（2023）首次提出的下采样-嵌入-上采样策略，获得了更灵活的方法。然而，由于下采样操作，在这些方法中水印是在低维空间中嵌入的，这限制了可用于水印信息的容量，减少了在不违反视觉质量（不可感知性）和鲁棒性约束的前提下能够嵌入图像中的比特数。随着当前生成式AI模型产生非常大的图像（1024 × 1024甚至更高，Freepik平台支持高达2048 × 2048分辨率的图像生成），嵌入空间的这种缩减变得尤为显著。增强嵌入能力本身具有价值，即增加有效载荷，同时也具有间接价值，即利用它来提升鲁棒性，利用每个水印系统都面临的不可感知性、有效载荷和鲁棒性之间基本权衡，即所谓的"权衡三角"（Barni等人，2021）。
基于上述原因，在本文中，我们提出了一种基于块级嵌入和信道编码的生成后水印框架，用于在大型图像中嵌入长有效载荷。图像被划分为不重叠的块，使得现有的水印网络可以直接接受匹配尺寸的输入，同时自然地扩展到大型图像。逐块设计保留了原始嵌入空间，从而能够在图像中嵌入更大的有效载荷。此外，我们引入了信道编码的使用，将有效载荷方面的改进能力转化为纠错能力，从而实现对有效载荷-鲁棒性权衡的灵活控制。为了降低该方法对破坏块对齐的几何攻击的敏感性，我们在训练网络时考虑了噪声层中的去同步问题。
在来自不同模型的AI生成图像上进行的大量实验表明，所提出的方法提供了一种有效的方式，在大型图像中嵌入非常高有效载荷的水印（数千位量级）。此外，结果表明该方法有效地平衡了有效载荷和鲁棒性，在数百位典型有效载荷下实现了非常强的水印鲁棒性，在已见和未见失真下均优于具有代表性的最新水印方法。
本工作的主要贡献总结如下：
- •
我们提出了一种块级水印框架，有效利用了具有固定且较小输入尺寸的现有DNN水印网络，用于嵌入大型AI生成图像。
- •
我们采用信道编码将增强的嵌入容量转化为纠错能力，从而在有效载荷和鲁棒性之间实现灵活有效的权衡。
- •
我们通过实验证明，所提出的框架能够在有效载荷和鲁棒性之间实现有效平衡。在多种图像尺寸、有效载荷和失真下，相较于最新方法取得了鲁棒性的提升。
本文的其余部分组织如下：第2节综述相关工作。第3节介绍所提出的方法，第4节描述实验方法。第5节报告并讨论实验结果。最后，第6节对论文进行总结。
章节摘要
相关工作
水印是一种广泛使用的主动取证技术，包括用于主动深度伪造检测（Wang等人，2026a；Wang等人，2026b）和AI生成图像归属。如我们已提及，为AI生成图像进行来源归属而提出的现有方法可大致分为两大类：生成时和生成后水印。
遵循第一种方法，水印在图像生成过程中通过
概述
图2展示了所提出方法的整体流程。给定一对水印编码-解码网络，首先将大型图像划分为多个不重叠的块，其中每个块匹配水印编码器所需的固定输入尺寸。1
数据集
以实现使用水印进行AI可追溯性的目标——即归属来源并验证AI生成图像的完整性——实验在AI生成图像上进行（该方法预计也能在自然图像上正常工作，正如任何水印方案一样）。具体而言，我们随机从合成面孔高质量文本生成图像（SFHQ-T2I）数据集（Beniaguev，2024）中选取了10,000张图像用于训练模型。SFHQ-T2I包含由多种
水印性能与比较
表1、表2分别报告了100位和400位有效载荷的结果。
可以得出几项观察结果。
首先，所提出的方法在不同图像分辨率下实现了最佳的整体鲁棒性。这一优势在未见的失真下尤为明显，现有方法在这些情况下通常会出现显著的性能下降。由于MBRS和CIN仅通过采用噪声层来获得鲁棒性，因此它们在所考虑的处理下
结论
在本文中，我们提出了一种基于块级嵌入和信道编码的生成后方法，用于对大型AI生成图像进行水印标注。通过将图像划分为不重叠的块，该框架能够自然地利用现有具有固定且较小输入尺寸的水印编码-解码网络对大型图像进行水印标注，同时与下采样-嵌入-上采样
CRediT作者贡献声明
Kai Zeng：撰写 – 初稿，可视化，软件，方法学，数据整理，概念构思。Benedetta Tondi：撰写 – 审稿与编辑，监督，项目管理，调查，资金获取。
利益冲突声明
作者声明他们不存在可能影响本论文所报告工作的已知竞争性经济利益或个人关系。
致谢
本工作部分由由MUR资助的Remedy项目 - 新前沿计划（PSR 2024）支持。
Kai Zeng|Benedetta Tondi
