WaveMark melhora resistência de watermarks em imagens geradas por IA contra ataques de remoção
O WaveMark é um método de watermarking para modelos de difusão que embute a marca d'água no ruído inicial da geração, distribuindo réplicas do bit da mensagem por posições espaciais, orientações e escalas no domínio wavelet, em vez de depender de um único ponto frágil de inserção. Testado contra 14 ataques de remoção, o método manteve mais de 88% de acurácia de bits mesmo sob os ataques mais fortes avaliados (MarkNull e MarkNull-A), superando as técnicas de referência.
Watermarking de imagens geradas por IA existe para permitir rastreamento de proveniência e atribuição de uso indevido — por exemplo, provar que uma imagem específica foi gerada por um determinado modelo, o que tem valor tanto para proteção de propriedade intelectual quanto para rastrear desinformação e deepfakes. O problema prático é que técnicas de remoção já conseguem suprimir o sinal embutido com degradação perceptual mínima da imagem, o que anula o propósito do watermark justamente nos casos de uso malicioso mais relevantes.
A abordagem do WaveMark ataca esse problema embutindo a mensagem diretamente no ruído inicial usado pelo processo de difusão, em vez de aplicar a marca sobre a imagem final já renderizada — o que historicamente é mais fácil de remover com filtros ou reamostragem. A codificação distribui réplicas de cada bit por múltiplas posições espaciais, orientações wavelet e escalas, agrupando coeficientes de quatro canais latentes por "portador" e codificando o bit por projeção de magnitude com margem de decodificação explícita, de forma que remover o sinal em qualquer ponto isolado não é suficiente para destruir a mensagem como um todo.
Os resultados experimentais, avaliados com Stable Diffusion 2.1 sobre os datasets SDP e MS-COCO Captions, mostram acurácia de bit de 100% sem ataque e retenção acima de 88% mesmo contra os ataques de remoção mais agressivos testados, superando os baselines da literatura — uma margem relevante, já que watermarks tradicionais tendem a degradar rapidamente justamente sob esse tipo de ataque adversarial direcionado.
Isso importa porque a corrida entre watermarking e remoção de watermark é, na prática, uma corrida de segurança ofensiva/defensiva contínua: qualquer ganho de robustez muda o cálculo de custo para quem tenta apagar a marca de uma imagem antes de redistribuí-la, mas não elimina a necessidade de reavaliação constante conforme novas técnicas de remoção adversarial surjam — o que a própria metodologia do artigo, testando contra 14 ataques diferentes, já reconhece implicitamente.