《Kuwait Journal of Science》：SWT-augmented adaptive spread-spectrum watermarking in diffusion latents
编辑推荐：
人工智能生成内容（Artificial Intelligence Generated Content, AIGC）的快速发展在带来巨大商业价值的同时，也引发了图像溯源与版权保护方面的广泛关切。扩散模型（Diffusion Models）能够生成高质量图像，但其
人工智能生成内容（Artificial Intelligence Generated Content, AIGC）的快速发展在带来巨大商业价值的同时，也引发了图像溯源与版权保护方面的广泛关切。扩散模型（Diffusion Models）能够生成高质量图像，但其滥用可能导致虚假信息传播和版权侵权等风险。现有图像水印方法多采用后处理方式，在鲁棒性与不可感知性之间难以取得良好平衡；面向扩散模型的水印方法则易受图像再生和局部编辑攻击的影响。为有效解决扩散模型生成图像中水印强度与不可感知性之间的权衡困境以及现有方法对再生攻击的脆弱性，本文提出了一种基于平稳小波变换（Stationary Wavelet Transform, SWT）增强的扩散潜空间自适应扩频盲水印框架（SWT-augmented adaptive Spread-spectrum watermarking in Diffusion Models latent space, SSDM）。该框架首先利用SWT将潜空间表征分解为四个频率子带，将正交化扩频水印信号选择性地嵌入高频子带（LH、HL、HH），同时完整保留低频LL子带以保证视觉保真度。其次，研究人员创新性地引入了一种融合潜空间扰动水平与小波域高频能量的内容自适应强度调制机制，能够动态调节嵌入强度，在纹理丰富区域增强鲁棒性，在平滑区域抑制失真。嵌入后，可通过去噪扩散隐式模型（Denoising Diffusion Implicit Model, DDIM）将扩散过程逆推至嵌入时间步，实现盲检测，无需专用解码器或模型重训练。在自然图像数据集MS-COCO和AI生成图像数据集DiffusionDB上的大量实验表明，所提出的SSDM在视觉质量上与现有最优方法相当，同时在面对图像编辑和扩散再生等先进生成攻击时展现出优越的鲁棒性。
**基于平稳小波变换的扩散模型潜空间自适应扩频水印方法——论文解读**
**一、研究背景与问题**
随着扩散模型（Diffusion Models）在图像合成领域的迅速发展，人工智能生成内容（AIGC）在带来巨大商业价值的同时，也引发了关于图像溯源、版权保护和信息真实性的广泛担忧。AI生成图像可能被冒称为人类创作的艺术品，或用于制造虚假新闻、身份冒充和版权侵权，这些威胁对数字图像的可信度构成了严峻挑战。数字水印技术通过在图像中嵌入不可感知的信息来支持溯源追踪、完整性验证和版权保护，在维护可信AIGC生态系统中发挥着关键作用。
现有的图像水印方法主要分为传统变换域方法和深度学习-based方法两大类。传统方法采用离散余弦变换（DCT）、离散小波变换（DWT）等频域策略，深度学习方法则采用卷积神经网络（CNN）编码器-解码器架构。然而，这两类方法均属于后处理操作，将水印叠加到已生成图像上，通过被动降低嵌入强度来保证不可感知性，这不可避免地牺牲了鲁棒性。近年来，学术界开始探索将水印与扩散模型深度集成的方法，主要包括三类范式：过程内方法（修改模型参数）、初始噪声方法（在扩散过程的初始噪声向量中隐藏信号）以及后处理潜空间优化方法。尽管这些方法取得了进展，但仍存在若干关键挑战：大多数潜空间水印方法要么需要模型微调，要么在初始噪声中嵌入水印而缺乏频率感知的子带选择；现有逐图像优化方法在整个潜空间中采用固定强度嵌入，忽视了局部纹理复杂度的显著差异；具有平移不变性和无混叠特性的非下采样平稳小波变换（SWT）尚未在扩散模型潜空间水印中得到探索。
**二、研究方法概述**
为解决上述问题，研究人员提出了SSDM框架。该框架构建于预训练稳定扩散模型（Stable Diffusion）之上，无需额外训练编码器或解码器。核心技术路线包括：利用VAE编码器和DDIM逆推进行潜向量初始化；采用SWT对选定潜空间通道进行子带分解，将水印选择性地嵌入高频子带（LH、HL、HH）；通过融合潜空间统计方差与小波域高频能量构建内容自适应强度调制掩码；采用Gram-Schmidt正交化的扩频信号提升抗干扰能力；通过潜向量迭代优化实现鲁棒水印嵌入；检测阶段通过DDIM逆推和相关性计算实现盲水印提取。实验采用MS-COCO和DiffusionDB两个数据集，各随机选取400张512×512分辨率图像进行测试。
**三、研究结果**
**3.1 定量对比实验**
在不可感知性方面，SSDM在MS-COCO数据集上取得了PSNR 30.01 dB、SSIM 0.93和LPIPS 0.06的性能，在DiffusionDB数据集上取得了PSNR 29.69 dB、SSIM 0.92和LPIPS 0.09的性能。虽然HiDDeN和SSL等基线方法在部分指标上略有优势，但SSDM在结构相似性上表现可比，且感知质量令人满意。相比之下，Stable Signature等方法存在严重的视觉质量退化。
在鲁棒性方面，SSDM在常规攻击（亮度/对比度调整、JPEG压缩、裁剪、高斯噪声、高斯模糊、BM3D去噪）以及先进扩散再生攻击（InstructPix2Pix和D-Regeneration）下均取得了最优的比特错误率（BER）。尤其在再生攻击下，SSDM在MS-COCO/DiffusionDB上分别保持0.029/0.027（InstructPix2Pix）和0.038/0.036（D-Regeneration）的极低BER，而大多数基线方法的BER显著偏高。
**3.2 视觉对比**
差异图（绝对像素差异×10放大）直观量化了水印的不可感知性。在MS-COCO和DiffusionDB两个数据集上，SSDM生成的差异图几乎完全黑暗且无结构伪影，为所有对比方法中最清洁的。传统频域方法（DwtDct、DwtDctSvd）引入了明显的块效应和边缘失真，深度学习-based方法（HiDDeN、SSL）产生了严重的噪声和颗粒状残差，StegaStamp则呈现出明显的周期性图案失真。SSDM卓越的不可感知性源于其核心技术创新：在预训练稳定扩散模型的潜空间内进行嵌入操作、SWT的平移不变性分解以及自适应掩码对局部嵌入强度的动态调节。
**3.3 消融实验**
内容自适应强度调制机制的视觉消融实验对比了三种变体：仅空间方差分量、仅SWT高频能量分量以及融合二者的完整自适应掩码。结果表明，完整自适应掩码在纹理丰富区域（如动物面部特征、毛发、条纹）呈现出高嵌入强度（亮黄色），而在平滑背景区域则被强烈抑制（深紫色），实现了更高对比度和更精确的强度定位，验证了空间与频域信息融合以及Sigmoid增强的有效性。
SWT必要性验证实验对比了直接潜空间嵌入、DWT、DCT和SWT四种变换方案。在几何攻击（30°旋转、裁剪）和再生攻击下，SWT在所有测试场景中均取得最低BER，验证了其平移不变性和无混叠特性对潜空间水印的关键优势。
**3.4 参数分析与泛化性研究**
嵌入强度α从0.5增至2.0时，鲁棒性单调提升但不可感知性下降，默认设置α=1.0取得了帕累托最优平衡。水印容量从16位增至128位时，PSNR保持相对稳定（30.5至29.5 dB），但鲁棒性因处理增益降低而逐渐下降。在不同骨干模型（Stable Diffusion v1.4、v1.5、v2-1-base）上的测试表明，SSDM在九种攻击场景下的SSIM-BER权衡曲线几乎重合，验证了其良好的模型泛化能力。
**四、讨论与结论**
在安全性方面，内容自适应的嵌入特性使攻击者难以通过平均多张图像来估计水印模式；水印伪造需要获取秘密正交密钥；共谋攻击因逐图像自适应掩码和扩频设计而得到缓解。在计算效率方面，SWT分解和自适应掩码生成的计算开销可忽略不计（各小于0.001秒），主要时间消耗（约96.6%）来自逐图像迭代潜空间优化过程，这属于所有基于优化的水印方法的固有特征。当前单张512×512图像嵌入耗时约180秒，更适合服务器端离线嵌入场景。
研究结论：本文提出了SSDM——一种基于平稳小波变换增强的扩散潜空间自适应扩频盲水印框架。该框架利用SWT将选定潜空间通道分解为多个频率子带，实现正交化扩频水印信号在高频子带中的精确选择性嵌入，同时完整保留低频LL子带以保障视觉保真度。在MS-COCO和DiffusionDB数据集上的广泛实验表明，SSDM在视觉质量上与现有最优方法相当，同时在面对图像编辑和扩散再生等先进生成攻击时展现出优越的鲁棒性。未来工作将集中于加速嵌入和检测效率，并探索提高扩散模型水印系统容量的可行策略。
