[论文分析]水印攻击水印：重水印作为一种通用移除策略

Watermarks Attack Watermarks: Re-Watermarking as a Generic Removal Strategy

论文重点

本文提出了一种反直觉的发现：水印本身可以成为攻击其他水印的最有效武器。研究者发现，对已加水印的图像简单地再次施加水印（即“重水印”），即可在保持较高视觉质量的前提下，将原始水印的比特准确率降低25%至48%。更令人担忧的是，结合一个轻量级的水印方法分类器（准确率达87.8%-95.3%），攻击者可以在完全不知道原始水印方案内部细节的情况下，自动化地完成这一攻击。

核心研究内容

问题定义

随着生成式AI的普及，隐形水印被广泛用于标注AI生成内容以追溯来源和保护知识产权。然而，水印方案的鲁棒性一直备受质疑。现有攻击方法往往需要复杂的梯度计算、代理模型或检测API访问。本文要回答的核心问题是：是否存在一种极其简单、通用且低成本的水印移除方法？

研究者敏锐地观察到：水印嵌入和水印移除本质上是“同构”的优化问题——两者都在寻找一个感知上可接受的微小扰动，来左右检测器的判定。既然如此，为什么不用水印来攻击水印？

创新方法

本文的创新点可以概括为“一个观察+两个贡献”：

核心观察：水印嵌入器本质上就是一个“微扰动生成器”，它天然具备改变图像中已有信号的能力。因此，任何可用的水印编码器都可以被“武器化”为攻击工具。

贡献一：重水印攻击策略。研究者系统性地测试了8种主流水印方案（2种生成过程中嵌入+6种后处理）在96种组合下的干扰效果。结论出奇简洁：

• 对后处理水印：用相同方法再水印一次，效果最致命——检测率几乎降至零，比特准确率跌至未水印基线水平；
• 对生成过程中嵌入的水印（如Tree-Ring、Stable Signature）：用后处理方法ZoDiac覆盖效果最佳，检测率降至接近零；
• 同时实现所有权伪造：攻击者自己的水印信息在覆盖后仍可被高精度恢复，形成“谁最后加水印谁就是作者”的歧义局面。

贡献二：水印方法分类器。研究者微调了一个ConvNeXt-V2 Large模型作为9分类器（8种水印方法+未水印），仅凭图像视觉特征即可识别使用了哪种水印方案，无需任何检测密钥或模型内部信息。在DiffusionDB上准确率达95.3%，在跨数据集的MS-COCO上仍达87.8%。

两者结合，形成一个全自动、全盲、端到端的攻击流水线（WAW pipeline）：先分类识别水印方法，再按策略执行对应的重水印攻击。

研究成果

论文的核心实验数据如下：

实际落地应用的可能性

极高。这恰恰是本文最令人不安的结论。

论文的威胁模型设定的是一个“普通互联网用户”——不需要任何专业技能，不需要知道水印的内部机制、检测API、密钥或梯度，只需要能拿到现成的水印编码器工具。而水印编码器恰恰是被广泛公开分发、积极推广的工具（原本是为了让内容创作者保护自己的IP）。这意味着，任何一个能下载软件的人，理论上都可以实施这种攻击。

此外，论文作者已在GitHub上开源了完整代码，进一步降低了技术门槛。从落地角度看，这已经不是“可能性”问题，而是“现实威胁”问题。

技术细节

重水印攻击的形式化理解

从优化视角看，水印嵌入和攻击移除解决的是几乎相同的优化问题：

• 水印嵌入：在感知约束∥δ∥<ϵ内，找到扰动δ，使检测器输出“有水印”
• 水印移除：在感知约束∥δ∥<ϵ内，找到扰动δ，使检测器输出“无水印”

两者都在同一个感知边界内搜索能使检测器翻转的扰动。因此，水印编码器天然就是一个“对抗扰动生成器”。

攻击策略的确定方法

研究者采用了一种数据驱动的策略学习方法：

1. 对每张训练图像，用每种受害水印方法v进行嵌入（随机化消息、密钥、种子等参数）
2. 对每张已水印图像，再用每种攻击水印方法a进行二次嵌入
3. 运行受害水印的检测器，计算检测逃逸率（TPR@1%FPR）、载荷破坏程度（比特准确率）和感知质量损失
4. 汇总所有(v,a)组合，形成干扰矩阵，选出最优策略

分类器架构细节

• 骨干网络：ConvNeXt-V2 Large，预训练于ImageNet-22K
• 任务：9分类（8种水印方法+未水印）
• 训练数据：每类500张图像，来自DiffusionDB，80/10/10划分
• 输入分辨率：512×512
• 跨域泛化：在MS-COCO上测试，整体准确率仅下降不到8个百分点

端到端流水线（WAW）

输入图像 → 分类器预测水印方法 → 执行攻击策略： ├─ 若预测为Tree-Ring / Stable Signature / ZoDiac → 施加ZoDiac └─ 若预测为其他后处理方法 → 用同方法重水印

研究设定

数据集

• DiffusionDB：AI生成的高质量图像
• MS-COCO：自然图像数据集，用于测试跨域泛化

水印方案（8种）

• 生成过程中嵌入（2种）：Tree-Ring、Stable Signature
• 后处理（6种）：StegaStamp、RoSteALS、ZoDiac、Pixel Seal、WAM、Video Seal

评估指标

• 检测逃逸：TPR@1%FPR（假阳性率1%下的真阳性率）
• 载荷破坏：比特准确率（Bit Accuracy），当低于ECC纠错阈值（通常90-92%）时解码失败
• 感知质量：归一化质量退化（NQD），聚合8种图像质量指标

硬件/软件

论文未明确列出具体硬件配置，但从使用的模型规模（ConvNeXt-V2 Large）和数据集规模（每类500张）推断，单张消费级GPU（如RTX 3090/4090）足以完成实验。代码已开源在GitHub。

基线对比

与WAVES基准中最有效的三种攻击对比：提示扩散重建、VAE重建、迭代扩散“漂洗”。值得注意的是，提示扩散重建假设攻击者知道生成图像时使用的原始文本提示——这在现实场景中是极不现实的假设。

综合分析

真实性评估

本文的核心发现是真实的、可复现的。几个理由支撑这一判断：

第一，作者团队来自墨尔本大学，通讯作者Benjamin I. P. Rubinstein是AI安全与隐私领域的教授（伯克利博士），在机器学习安全方向有扎实的学术积累。这不是来自不知名机构或“野鸡研究”的哗众取宠之作。

第二，论文提供了完整的开源代码，实验数据透明可查。代码仓库包含完整的嵌入、攻击、评估流水线，任何人都可以复现验证。

第三，研究的逻辑链条清晰且自洽：从“水印嵌入≈攻击”的观察出发，到系统性实验验证，再到分类器自动化，最后形成端到端攻击——每一步都有实验数据支撑。

可行性评估

这个攻击在现实中的可行性被论文严重低估了——它甚至比论文描述的更容易实施。

论文假设攻击者需要先训练一个分类器来识别水印方法。但实际上，攻击者根本不需要自己训练——论文已经开源了训练好的模型权重。攻击者只需要下载、运行即可。

更极端的场景：如果攻击者不在乎“精准打击”，甚至不需要分类器。论文数据显示，ZoDiac对多种水印都有一定的跨方法破坏效果。一个攻击者可以简单地用ZoDiac覆盖所有图像——虽然对某些方法效果不如针对性攻击好，但依然会造成显著破坏。

深层影响

这篇论文揭示了一个系统性的安全悖论：水印作为一种防御工具被推广，但恰恰因为它的可访问性，它同时成为了最有效的攻击工具。这就像“把钥匙挂在门口让所有人都能拿到，然后惊讶地发现锁可以被任何人打开”。

对监管层面而言，欧盟AI法案要求生成式AI系统标记合成内容。但如果水印可以如此轻易地被覆盖和伪造，那么基于水印的合规方案可能需要重新审视。

对产业界而言，依赖单一水印方案保护IP的商业模式面临根本性挑战。论文明确指出：“再水印不仅压制了原始信号，还用一个新的、有效的水印消息替换了它”——这意味着版权归属可以被人为制造歧义。

局限性

论文也有局限性值得注意：

第一，分类器对“未水印”图像的误分类率较高（跨域测试中约1/3的干净图像被误判为有水印）。论文认为这在攻击场景中是可接受的（误判只是多了一次不必要的重水印），但从防御角度看，这意味着可能存在“误伤”普通图像的风险。

第二，RoSteALS和WAM是相对鲁棒的受害者——没有任何单一攻击方法能将其TPR降至50%以下。这说明并非所有水印都 equally vulnerable，某些设计更鲁棒的方案仍有防御价值。

第三，实验主要基于静态图像，对视频水印（Video Seal虽被纳入但测试有限）和实时流媒体的适用性有待进一步验证。

实践应用

对水印方案开发者的建议

1. 重新评估“公开可用”的策略：如果水印编码器是公开的，它就不仅是保护工具，也是攻击工具。考虑将编码器作为机密而非公开资源。

2. 设计抗覆盖机制：可以研究在嵌入时检测是否已有其他水印存在，若有则拒绝嵌入或采取特殊保护措施。

3. 多方案联合嵌入：论文显示单一水印容易被覆盖，但多个异构水印的同时存在可能增加攻击难度（尽管Petrov等人的研究表明水印可以共存，但对抗性共存是另一个问题）。

4. 提升ECC纠错阈值：既然攻击的目标是将比特准确率降至ECC纠错阈值以下，提高ECC的鲁棒性可以增加攻击成本。

对内容平台/监管机构的建议

1. 不要将水印视为唯一防线：水印应作为多层防护中的一层，而非全部。结合元数据、区块链存证、内容指纹等多重手段。

2. 建立水印“ freshness”验证：如果能够检测图像被多次水印的时间顺序，或许可以区分原始所有者和后续覆盖者。

3. 关注“检测水印存在”而非“解码水印内容”：论文攻击主要破坏的是比特准确率（即解码能力），但对0-bit方案的检测统计量也有影响。不过，如果检测器设计为仅判断“是否有任意水印”而非“解码特定消息”，攻击效果可能会不同。

对研究者的建议

1. 这是一个极好的安全研究案例，展示了“防御工具如何被武器化”的经典安全悖论。可作为AI安全课程的教学案例。

2. 后续研究方向：探索“抗覆盖水印”的设计原则；研究水印嵌入时的“水印感知”机制；评估该攻击在视频、音频、文本等其他模态上的适用性。

参考资料来源

• 原始论文：https://arxiv.org/html/2605.16796v1
• 开源代码：https://github.com/MariaBulychev/Watermarks-Attack-Watermarks