FeatMark propõe watermark semântico contra deepfakes gerados por fine-tuning de difusão
Modelos de difusão texto-para-imagem permitem ataques de “mimicry” com poucos dados: um adversário faz fine-tuning do modelo em um punhado de fotos públicas de uma pessoa para gerar falsificações convincentes dela. O FeatMark propõe substituir watermarks tradicionais de pixel, facilmente removíveis por pós-processamento leve, por micro-edições semânticas naturais à cena, e se manteve robusto contra os dez ataques de remoção testados, incluindo purificação por regeneração.
O ataque que motiva o artigo já é bem documentado: como modelos de difusão são eficientes em dados, basta um punhado de fotos públicas de uma pessoa -- extraídas de redes sociais, por exemplo -- para que um adversário faça fine-tuning e gere imagens falsas convincentes dela em qualquer contexto. A defesa padrão até agora tem sido embutir um watermark imperceptível de baixa energia na imagem original, na esperança de que ele sobreviva ao processo de fine-tuning e apareça nas saídas geradas, permitindo detecção posterior. O problema, que o artigo documenta com base em estudos anteriores, é que esses watermarks de pixel são frágeis: pós-processamento simples ou perturbações adversariais leves já bastam para suprimir sua detecção, expondo uma tensão fundamental entre ser imperceptível o bastante para não degradar a imagem e ser robusto o bastante para resistir a manipulação.
O FeatMark ataca essa tensão mudando completamente o nível de abstração do watermark: em vez de perturbar pixels individuais, ele codifica a marca d'água como um “programa de conceito” compacto -- combinando pistas semânticas de vocabulário aberto com regiões de edição confiáveis e templates de instrução, organizados em bancos de features específicos por domínio (rostos, arte, etc.). O sistema seleciona automaticamente quais features são viáveis de injetar em uma imagem específica e as aplica via edição de conceito guiada por máscara, produzindo micro-edições localizadas e coerentes com a cena -- por exemplo, um pequeno detalhe de cenário ou acessório plausível -- que passam despercebidas a um observador humano, mas carregam um sinal verificável por máquina.
A validação foi feita em três datasets (VGGFace2, CelebA-HQ, WikiArt) contra dez ataques fortes de remoção e purificação de watermark, incluindo purificação por regeneração (que reconstrói a imagem do zero a partir de uma versão ruidosa, historicamente eficaz contra watermarks de pixel), além de ataques adaptativos desenhados especificamente contra o FeatMark. Os resultados mostram robustez quase total contra todos os ataques avaliados, com degradação mínima de fidelidade perceptual e de acurácia de detecção -- e os autores demonstram que a técnica também se estende a ataques de mimicry em vídeo, não só em imagem estática.
A relevância prática é dupla: para vítimas de deepfakes (pessoas públicas, mas também qualquer indivíduo cujas fotos públicas possam ser usadas para fine-tuning não autorizado), um watermark que sobrevive à regeneração muda o jogo de detecção pós-hoc, hoje quase inútil contra adversários minimamente sofisticados. Para plataformas que hospedam modelos de difusão ou distribuem fotos de perfil, a abordagem sugere um caminho de proteção proativa aplicado na origem (antes da publicação da foto), em vez de depender de detecção reativa de conteúdo já forjado circulando.