Watermarks Attack Watermarks: Re-Watermarking as a Generic Removal Strategy论文重点本文提出了一种反直觉的发现水印本身可以成为攻击其他水印的最有效武器。研究者发现对已加水印的图像简单地再次施加水印即“重水印”即可在保持较高视觉质量的前提下将原始水印的比特准确率降低25%至48%。更令人担忧的是结合一个轻量级的水印方法分类器准确率达87.8%-95.3%攻击者可以在完全不知道原始水印方案内部细节的情况下自动化地完成这一攻击。核心研究内容问题定义随着生成式AI的普及隐形水印被广泛用于标注AI生成内容以追溯来源和保护知识产权。然而水印方案的鲁棒性一直备受质疑。现有攻击方法往往需要复杂的梯度计算、代理模型或检测API访问。本文要回答的核心问题是是否存在一种极其简单、通用且低成本的水印移除方法研究者敏锐地观察到水印嵌入和水印移除本质上是“同构”的优化问题——两者都在寻找一个感知上可接受的微小扰动来左右检测器的判定。既然如此为什么不用水印来攻击水印创新方法本文的创新点可以概括为“一个观察两个贡献”核心观察水印嵌入器本质上就是一个“微扰动生成器”它天然具备改变图像中已有信号的能力。因此任何可用的水印编码器都可以被“武器化”为攻击工具。贡献一重水印攻击策略。研究者系统性地测试了8种主流水印方案2种生成过程中嵌入6种后处理在96种组合下的干扰效果。结论出奇简洁对后处理水印用相同方法再水印一次效果最致命——检测率几乎降至零比特准确率跌至未水印基线水平对生成过程中嵌入的水印如Tree-Ring、Stable Signature用后处理方法ZoDiac覆盖效果最佳检测率降至接近零同时实现所有权伪造攻击者自己的水印信息在覆盖后仍可被高精度恢复形成“谁最后加水印谁就是作者”的歧义局面。贡献二水印方法分类器。研究者微调了一个ConvNeXt-V2 Large模型作为9分类器8种水印方法未水印仅凭图像视觉特征即可识别使用了哪种水印方案无需任何检测密钥或模型内部信息。在DiffusionDB上准确率达95.3%在跨数据集的MS-COCO上仍达87.8%。两者结合形成一个全自动、全盲、端到端的攻击流水线WAW pipeline先分类识别水印方法再按策略执行对应的重水印攻击。研究成果论文的核心实验数据如下评估维度结果比特准确率降幅最低25%最高48%方法分类准确率DiffusionDB95.3%方法分类准确率MS-COCO跨域87.8%后处理水印同方法覆盖TPR降至近零BA跌至基线生成过程中水印ZoDiac覆盖TPR降至近零攻击者自身水印恢复率多数方案达99%以上感知质量损失显著低于扩散模型基线攻击实际落地应用的可能性极高。这恰恰是本文最令人不安的结论。论文的威胁模型设定的是一个“普通互联网用户”——不需要任何专业技能不需要知道水印的内部机制、检测API、密钥或梯度只需要能拿到现成的水印编码器工具。而水印编码器恰恰是被广泛公开分发、积极推广的工具原本是为了让内容创作者保护自己的IP。这意味着任何一个能下载软件的人理论上都可以实施这种攻击。此外论文作者已在GitHub上开源了完整代码进一步降低了技术门槛。从落地角度看这已经不是“可能性”问题而是“现实威胁”问题。技术细节重水印攻击的形式化理解从优化视角看水印嵌入和攻击移除解决的是几乎相同的优化问题水印嵌入在感知约束∥δ∥ϵ内找到扰动δ使检测器输出“有水印”水印移除在感知约束∥δ∥ϵ内找到扰动δ使检测器输出“无水印”两者都在同一个感知边界内搜索能使检测器翻转的扰动。因此水印编码器天然就是一个“对抗扰动生成器”。攻击策略的确定方法研究者采用了一种数据驱动的策略学习方法对每张训练图像用每种受害水印方法v进行嵌入随机化消息、密钥、种子等参数对每张已水印图像再用每种攻击水印方法a进行二次嵌入运行受害水印的检测器计算检测逃逸率TPR1%FPR、载荷破坏程度比特准确率和感知质量损失汇总所有(v,a)组合形成干扰矩阵选出最优策略分类器架构细节骨干网络ConvNeXt-V2 Large预训练于ImageNet-22K任务9分类8种水印方法未水印训练数据每类500张图像来自DiffusionDB80/10/10划分输入分辨率512×512跨域泛化在MS-COCO上测试整体准确率仅下降不到8个百分点端到端流水线WAW输入图像 → 分类器预测水印方法 → 执行攻击策略 ├─ 若预测为Tree-Ring / Stable Signature / ZoDiac → 施加ZoDiac └─ 若预测为其他后处理方法 → 用同方法重水印研究设定数据集DiffusionDBAI生成的高质量图像MS-COCO自然图像数据集用于测试跨域泛化水印方案8种生成过程中嵌入2种Tree-Ring、Stable Signature后处理6种StegaStamp、RoSteALS、ZoDiac、Pixel Seal、WAM、Video Seal评估指标检测逃逸TPR1%FPR假阳性率1%下的真阳性率载荷破坏比特准确率Bit Accuracy当低于ECC纠错阈值通常90-92%时解码失败感知质量归一化质量退化NQD聚合8种图像质量指标硬件/软件论文未明确列出具体硬件配置但从使用的模型规模ConvNeXt-V2 Large和数据集规模每类500张推断单张消费级GPU如RTX 3090/4090足以完成实验。代码已开源在GitHub。基线对比与WAVES基准中最有效的三种攻击对比提示扩散重建、VAE重建、迭代扩散“漂洗”。值得注意的是提示扩散重建假设攻击者知道生成图像时使用的原始文本提示——这在现实场景中是极不现实的假设。综合分析真实性评估本文的核心发现是真实的、可复现的。几个理由支撑这一判断第一作者团队来自墨尔本大学通讯作者Benjamin I. P. Rubinstein是AI安全与隐私领域的教授伯克利博士在机器学习安全方向有扎实的学术积累。这不是来自不知名机构或“野鸡研究”的哗众取宠之作。第二论文提供了完整的开源代码实验数据透明可查。代码仓库包含完整的嵌入、攻击、评估流水线任何人都可以复现验证。第三研究的逻辑链条清晰且自洽从“水印嵌入≈攻击”的观察出发到系统性实验验证再到分类器自动化最后形成端到端攻击——每一步都有实验数据支撑。可行性评估这个攻击在现实中的可行性被论文严重低估了——它甚至比论文描述的更容易实施。论文假设攻击者需要先训练一个分类器来识别水印方法。但实际上攻击者根本不需要自己训练——论文已经开源了训练好的模型权重。攻击者只需要下载、运行即可。更极端的场景如果攻击者不在乎“精准打击”甚至不需要分类器。论文数据显示ZoDiac对多种水印都有一定的跨方法破坏效果。一个攻击者可以简单地用ZoDiac覆盖所有图像——虽然对某些方法效果不如针对性攻击好但依然会造成显著破坏。深层影响这篇论文揭示了一个系统性的安全悖论水印作为一种防御工具被推广但恰恰因为它的可访问性它同时成为了最有效的攻击工具。这就像“把钥匙挂在门口让所有人都能拿到然后惊讶地发现锁可以被任何人打开”。对监管层面而言欧盟AI法案要求生成式AI系统标记合成内容。但如果水印可以如此轻易地被覆盖和伪造那么基于水印的合规方案可能需要重新审视。对产业界而言依赖单一水印方案保护IP的商业模式面临根本性挑战。论文明确指出“再水印不仅压制了原始信号还用一个新的、有效的水印消息替换了它”——这意味着版权归属可以被人为制造歧义。局限性论文也有局限性值得注意第一分类器对“未水印”图像的误分类率较高跨域测试中约1/3的干净图像被误判为有水印。论文认为这在攻击场景中是可接受的误判只是多了一次不必要的重水印但从防御角度看这意味着可能存在“误伤”普通图像的风险。第二RoSteALS和WAM是相对鲁棒的受害者——没有任何单一攻击方法能将其TPR降至50%以下。这说明并非所有水印都 equally vulnerable某些设计更鲁棒的方案仍有防御价值。第三实验主要基于静态图像对视频水印Video Seal虽被纳入但测试有限和实时流媒体的适用性有待进一步验证。实践应用对水印方案开发者的建议重新评估“公开可用”的策略如果水印编码器是公开的它就不仅是保护工具也是攻击工具。考虑将编码器作为机密而非公开资源。设计抗覆盖机制可以研究在嵌入时检测是否已有其他水印存在若有则拒绝嵌入或采取特殊保护措施。多方案联合嵌入论文显示单一水印容易被覆盖但多个异构水印的同时存在可能增加攻击难度尽管Petrov等人的研究表明水印可以共存但对抗性共存是另一个问题。提升ECC纠错阈值既然攻击的目标是将比特准确率降至ECC纠错阈值以下提高ECC的鲁棒性可以增加攻击成本。对内容平台/监管机构的建议不要将水印视为唯一防线水印应作为多层防护中的一层而非全部。结合元数据、区块链存证、内容指纹等多重手段。建立水印“ freshness”验证如果能够检测图像被多次水印的时间顺序或许可以区分原始所有者和后续覆盖者。关注“检测水印存在”而非“解码水印内容”论文攻击主要破坏的是比特准确率即解码能力但对0-bit方案的检测统计量也有影响。不过如果检测器设计为仅判断“是否有任意水印”而非“解码特定消息”攻击效果可能会不同。对研究者的建议这是一个极好的安全研究案例展示了“防御工具如何被武器化”的经典安全悖论。可作为AI安全课程的教学案例。后续研究方向探索“抗覆盖水印”的设计原则研究水印嵌入时的“水印感知”机制评估该攻击在视频、音频、文本等其他模态上的适用性。参考资料来源原始论文https://arxiv.org/html/2605.16796v1开源代码https://github.com/MariaBulychev/Watermarks-Attack-Watermarks