NoisePrints: Distortion-Free Watermarks for Authorship in Private Diffusion Models

📄 arXiv: 2510.13793v1 📥 PDF

作者: Nir Goren, Oren Katzir, Abhinav Nakarmi, Eyal Ronen, Mahmood Sharif, Or Patashnik

分类: cs.CV, cs.CR, cs.LG

发布日期: 2025-10-15

备注: code available at: https://github.com/nirgoren/NoisePrints

💡 一句话要点

提出NoisePrints，一种用于私有扩散模型中无失真水印的作者身份验证方法

🎯 匹配领域: 支柱一：机器人控制 (Robot Control)

关键词: 扩散模型 水印技术 作者身份验证 版权保护 零知识证明

📋 核心要点

  1. 现有水印方法需访问模型权重且计算量大，难以应用于私有扩散模型和第三方验证场景。
  2. NoisePrints利用扩散过程的初始噪声种子作为作者身份证明，无需修改模型或访问权重。
  3. 实验证明NoisePrints在图像和视频扩散模型上有效，且能抵抗多种攻击，并支持零知识证明。

📝 摘要（中文）

随着扩散模型在视觉内容生成领域的快速应用，证明作者身份和保护版权变得至关重要。当模型所有者保持其模型私有时，这一挑战尤为重要，他们可能不愿意或无法处理作者身份问题，因此第三方验证至关重要。一个自然的解决方案是嵌入水印以供后续验证。然而，现有方法需要访问模型权重，并依赖于计算量大的过程，使其不切实际且不可扩展。为了应对这些挑战，我们提出NoisePrints，一种轻量级的水印方案，它利用用于初始化扩散过程的随机种子作为作者身份的证明，而无需修改生成过程。我们的关键观察是，从种子导出的初始噪声与生成的视觉内容高度相关。通过将哈希函数合并到噪声采样过程中，我们进一步确保了从内容中恢复有效种子是不可行的。我们还表明，采样通过验证的替代种子是不可行的，并证明了我们的方法在各种操作下的鲁棒性。最后，我们展示了如何使用密码学零知识证明来证明所有权，而无需泄露种子。通过保持种子的秘密性，我们增加了水印移除的难度。在我们的实验中，我们验证了NoisePrints在多个最先进的图像和视频扩散模型上的有效性，证明了仅使用种子和输出即可进行高效验证，而无需访问模型权重。

🔬 方法详解

问题定义：论文旨在解决私有扩散模型中作者身份验证和版权保护的问题。现有水印方法通常需要访问模型权重，计算成本高昂，并且难以应用于模型所有者不愿公开模型或无法处理版权问题的场景。因此，需要一种轻量级、无需访问模型权重且能抵抗攻击的水印方案。

核心思路：论文的核心思路是利用扩散模型生成过程中的随机种子作为作者身份的天然水印。初始噪声是从种子派生的，与生成的视觉内容高度相关。通过巧妙地设计噪声采样过程，可以将作者信息嵌入到种子中，并在不影响生成质量的前提下，实现作者身份的验证。

技术框架：NoisePrints的水印嵌入和验证过程主要包括以下几个步骤：1) 作者选择一个随机种子。2) 使用哈希函数将作者信息编码到种子中，生成新的种子。3) 使用该种子初始化扩散过程，生成视觉内容。4) 验证时，从生成的视觉内容中提取初始噪声，并尝试恢复原始种子。5) 使用哈希函数验证恢复的种子是否包含正确的作者信息。如果验证通过，则证明该内容是由该作者生成的。

关键创新：NoisePrints的关键创新在于利用了扩散模型固有的随机性，将作者信息嵌入到生成过程的初始阶段，而无需修改模型权重或引入额外的计算负担。此外，该方法还结合了密码学零知识证明，可以在不泄露种子的情况下证明所有权，进一步增强了水印的安全性。

关键设计：NoisePrints的关键设计包括：1) 使用哈希函数将作者信息编码到种子中，确保只有拥有正确作者信息的人才能验证水印。2) 设计噪声采样过程，确保从视觉内容中恢复种子的难度。3) 使用密码学零知识证明，在不泄露种子的情况下证明所有权。论文中没有明确提及具体的哈希函数选择或零知识证明方案，这些细节可能需要根据具体的应用场景进行选择和调整。

📊 实验亮点

NoisePrints在多个最先进的图像和视频扩散模型上进行了验证，实验结果表明，该方法能够有效地嵌入和验证水印，且对各种图像处理操作（如裁剪、旋转、添加噪声等）具有较强的鲁棒性。此外，该方法还支持零知识证明，可以在不泄露种子的情况下证明所有权，进一步增强了水印的安全性。

🎯 应用场景

NoisePrints可应用于各种视觉内容生成平台，用于保护创作者的版权，防止未经授权的使用和传播。它尤其适用于私有扩散模型，允许第三方验证作者身份，而无需访问敏感的模型权重。该技术还有助于溯源恶意生成内容，打击深度伪造等滥用行为，维护网络内容生态的健康。

📄 摘要（原文）

With the rapid adoption of diffusion models for visual content generation, proving authorship and protecting copyright have become critical. This challenge is particularly important when model owners keep their models private and may be unwilling or unable to handle authorship issues, making third-party verification essential. A natural solution is to embed watermarks for later verification. However, existing methods require access to model weights and rely on computationally heavy procedures, rendering them impractical and non-scalable. To address these challenges, we propose , a lightweight watermarking scheme that utilizes the random seed used to initialize the diffusion process as a proof of authorship without modifying the generation process. Our key observation is that the initial noise derived from a seed is highly correlated with the generated visual content. By incorporating a hash function into the noise sampling process, we further ensure that recovering a valid seed from the content is infeasible. We also show that sampling an alternative seed that passes verification is infeasible, and demonstrate the robustness of our method under various manipulations. Finally, we show how to use cryptographic zero-knowledge proofs to prove ownership without revealing the seed. By keeping the seed secret, we increase the difficulty of watermark removal. In our experiments, we validate NoisePrints on multiple state-of-the-art diffusion models for images and videos, demonstrating efficient verification using only the seed and output, without requiring access to model weights.