> For the complete documentation index, see [llms.txt](https://elwood.gitbook.io/foundation-model-sec/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://elwood.gitbook.io/foundation-model-sec/others/evading-watermark-based-detection-of-ai-generated-content.md).

# Evading Watermark based Detection of AI-Generated Content

<figure><img src="https://1203660092-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FVIbHxVNUonwDG5X6HrVv%2Fuploads%2FzzzD4Qel7o3dBuqPfIXJ%2Fimage.png?alt=media&amp;token=cdaa65b4-88d8-47ff-953c-a2bb528e5b1f" alt=""><figcaption></figcaption></figure>

## 研究背景

随着生成性AI（如DALL-E、Stable Diffusion和ChatGPT）的发展，可以生成极其逼真的图像和文本内容，这对信息的真实性提出了挑战。为了应对这些挑战，水印技术被用来检测AI生成的内容。具体来说，水印在AI生成内容发布前被嵌入，如果从内容中解码出相似的水印，则该内容被检测为AI生成的。然而，这项工作表明，攻击者可以通过对水印图像进行微小的、人类难以察觉的扰动来后处理图像，从而在保持视觉质量的同时规避检测。

## 过去方案和缺点

以往的水印检测方法主要依赖于在生成内容时嵌入水印，并在后续阶段通过解码水印来识别AI生成的内容。这些方法的缺点在于它们通常没有考虑到对抗性后处理的鲁棒性。例如，可见水印可以很容易地被移除，而不牺牲图像质量。非学习型水印（例如Stable Diffusion使用的）可以通过流行的图像后处理方法（如JPEG压缩）来移除。学习型水印方法虽然通过对抗性训练提高了对后处理的鲁棒性，但仍然存在被对抗性后处理规避的漏洞。

<figure><img src="https://1203660092-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FVIbHxVNUonwDG5X6HrVv%2Fuploads%2F6rrKsrnXWzo4LZLyfSo2%2Fimage.png?alt=media&amp;token=1d225b7c-c623-4614-b012-d5c8bb3b0af2" alt=""><figcaption></figcaption></figure>

## 本文方案和步骤

本文提出了WEvade，一种对抗性后处理方法，用于规避基于水印的AI生成内容检测。WEvade通过向水印图像添加微小的、人类难以察觉的扰动来实现规避检测，同时保持图像的视觉质量。WEvade的方法包括两种设置：白盒和黑盒。在白盒设置中，攻击者知道检测器的解码器，而在黑盒设置中，攻击者只能通过查询检测器API来获取结果。WEvade提出了两种主要的攻击方法：WEvade-W-II和WEvade-B-Q。WEvade-W-II旨在使解码的水印比特精度接近0.5，从而使处理后的图像与没有水印的原始图像无法区分。WEvade-B-Q则通过迭代查询检测器API来找到可以规避检测的后处理版本。

## 本文创新点与贡献

本文的主要创新点在于提出了一种新的对抗性后处理方法WEvade，该方法能够有效地规避基于水印的AI生成内容检测。WEvade考虑了水印技术的独特特性，并通过理论分析和实证评估来展示其有效性。此外，本文还提出了一种新的双尾检测器，以防御简单扩展标准对抗性示例以水印攻击的方法。这些贡献揭示了现有水印检测方法的不足，并为未来研究提供了新的方向。

## 本文实验

本文通过多个数据集和多种水印方法（包括学习型和非学习型）进行了广泛的实验评估。实验结果表明，WEvade能够有效地规避水印检测，且相较于现有的后处理方法，WEvade能够在保持图像质量的同时实现更高的规避率。

## 实验结论

实验结果验证了WEvade方法的有效性，表明攻击者可以通过对抗性后处理来规避基于水印的AI生成内容检测。此外，实验还表明，即使是经过对抗性训练的水印方法，也可能无法抵御WEvade的攻击。

## 全文结论

本文通过提出WEvade方法，展示了现有基于水印的AI生成内容检测方法的脆弱性，并强调了开发新的检测方法以抵御对抗性后处理的迫切需求。WEvade的成功实现表明，未来的水印检测技术需要考虑更多的安全因素，并寻求更加鲁棒的解决方案。

注1：\
有效地规避水印检测的目的可能包括以下几个方面：

1. **安全和隐私保护**：在某些情况下，个人或组织可能不希望其生成的内容被追踪或识别。通过规避水印检测，他们可以保护自己的隐私或确保信息的匿名性。
2. **版权和所有权争议**：如果AI生成的内容被错误地标记为人类创作，可能会引发版权和所有权的争议。规避水印检测可以帮助确保内容的来源不被错误地归属。
3. **对抗性攻击研究**：在安全研究领域，研究者需要了解和测试系统的脆弱性，以便开发更强大和安全的解决方案。通过尝试规避水印检测，研究者可以更好地理解现有技术的局限性，并提出改进措施。
4. **技术挑战和竞赛**：在某些技术竞赛或挑战中，参与者可能需要探索和展示他们的能力，包括规避水印检测。这可以推动技术创新和提高安全防护水平。
5. **滥用防范**：了解如何规避水印检测可以帮助内容创建者和平台运营商识别和防范潜在的滥用行为，如虚假信息的传播或未经授权的内容使用。

需要注意的是，规避水印检测的技术也可能被用于不道德或非法的目的。因此，相关研究和开发应在法律和伦理的框架内进行，确保技术的正当使用。同时，开发更强大的水印技术和检测方法也是必要的，以维护内容的真实性和安全性。

注2：

WEvade方法能够有效规避基于水印的AI生成内容检测的原因在于其独特的设计和实施策略，具体包括以下几点：

1. **对抗性后处理**：WEvade通过向已水印的图像添加微小的、人类难以察觉的扰动来实现规避检测的目的。这种扰动足够小，以至于不会影响图像的视觉质量，但足以使水印检测系统难以识别出水印。
2. **白盒和黑盒设置**：WEvade考虑了两种不同的攻击场景，即白盒和黑盒设置。在白盒设置中，攻击者拥有对检测器解码器的完全知识，而在黑盒设置中，攻击者只能通过API查询来获取检测结果。这使得WEvade能够适应不同的攻击环境。
3. **针对性的水印特性**：WEvade特别针对水印技术的特性进行设计，而不是简单地将标准的对抗性示例扩展到水印检测上。例如，WEvade-W-II旨在使解码的水印比特精度接近随机水印的比特精度，从而难以被检测器区分。
4. **理论分析和实证评估**：WEvade不仅在理论上进行了详尽的分析，还通过实验验证了其有效性。作者提供了逃避率的理论上界，并在多个数据集和水印方法上进行了测试，证明了WEvade在实际应用中的有效性。
5. **优化问题和算法**：WEvade提出了具体的优化问题和算法来找到满足特定条件的最小扰动。这种方法确保了扰动的有效性，同时保持了对图像质量的最小影响。
6. **迭代过程和早期停止**：特别是在黑盒设置中，WEvade-B-Q使用迭代过程和早期停止策略来逐步接近目标水印图像，同时确保在整个过程中避免被检测。

综上所述，WEvade之所以有效，是因为它综合考虑了水印检测系统的弱点，并通过精心设计的攻击策略和算法来规避这些弱点。这种方法的成功表明，现有的水印检测技术需要进一步提高其鲁棒性，以抵御这种类型的对抗性攻击。

## 阅读总结报告

本篇论文探讨了AI生成内容的水印检测问题，并指出了现有水印检测方法在对抗性后处理面前的脆弱性。作者提出了WEvade，一种新的对抗性后处理方法，能够有效地规避水印检测。通过白盒和黑盒实验，作者证明了WEvade在多种水印方法和数据集上的有效性。这项工作不仅揭示了现有技术的不足，也为未来的研究提供了新的方向，即开发更加鲁棒的水印检测方法。