One Prompt Is Enough: Watermark Laundering Through Foundation Image Models
作者: Jidong Yang, Qi Li, Wei Zong, Yang-Wai Chow, Willy Susilo, Huaike Yu, Chunpeng Wang, Suo Gao
分类: cs.CV, cs.AI, cs.CR
发布日期: 2026-09-01
备注: 11 pages, 4 figures, and 2 tables
💡 一句话要点
提出水印洗涤方法以解决基础图像模型的隐形水印问题
🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 隐形水印 基础模型 图像重建 有效载荷干扰 鲁棒性评估 数字版权保护 图像处理
📋 核心要点
- 现有隐形水印评估方法在面对基础图像模型时存在显著不足，攻击者可通过简单的重建提示轻易去除水印。
- 本文提出了一种新的水印洗涤形式，通过分析重建输出的有效载荷和保真度，揭示了基础模型的脆弱性。
- 实验结果显示，OpenAI模型在水印干扰方面表现最强，而Nano Banana 2在高保真重建下仍存在脆弱性，提示消融实验进一步验证了重建路径的影响。
📝 摘要（中文）
隐形水印通常在预定义的扰动下进行评估，如压缩、模糊、噪声、裁剪和去噪。然而，公共基础图像模型带来了新的威胁：攻击者可以通过单一重建提示提交水印图像，从而获得视觉上忠实的输出，导致隐形水印无法可靠解码。本文将这一失败模式形式化为水印洗涤，并通过结合比特错误率（BER）与视觉和语义保留的联合有效载荷-保真度分析进行评估。通过对六个OpenAI和Google图像编辑模型、三种代表性水印方案及1800个重建输出的分析，发现了两种互补的洗涤机制。OpenAI模型在评估的方案中产生了最强的有效载荷干扰，而Nano Banana 2则显示DwtDct在高保真重建下仍然脆弱。提示消融实验表明，干扰有效载荷并不需要单一的去除导向指令，主要是由重建路径引起的。这些发现促使我们将基础模型重建视为隐形水印评估中的一个缺失的鲁棒性条件。
🔬 方法详解
问题定义：本文旨在解决基础图像模型对隐形水印的脆弱性问题，现有方法在面对重建提示时无法有效保护水印，导致水印信息丢失。
核心思路：论文通过形式化水印洗涤这一概念，提出结合有效载荷和保真度的评估方法，揭示基础模型在水印保护中的不足。
技术框架：研究采用联合有效载荷-保真度分析，评估六个图像编辑模型的输出，分析三种水印方案在1800个重建输出中的表现。
关键创新：最重要的创新在于识别出水印洗涤的两种机制，特别是OpenAI模型在有效载荷干扰方面的优势，以及重建路径对水印去除的影响。
关键设计：实验中采用比特错误率（BER）作为评估指标，结合视觉和语义保留进行综合分析，确保评估结果的全面性和准确性。通过提示消融实验，验证了重建路径的主导作用。
🖼️ 关键图片
📊 实验亮点
实验结果表明，OpenAI模型在水印干扰方面表现最强，能够显著降低有效载荷的保留率。与传统攻击方法相比，提示条件重建展现出独特的攻击界面，强调了基础模型重建在隐形水印评估中的重要性。
🎯 应用场景
该研究的潜在应用领域包括数字版权保护、图像内容认证和安全通信等。通过提高隐形水印的鲁棒性，可以有效防止未经授权的内容使用，增强数字内容的安全性和可信度。未来，该方法可能推动更安全的图像处理技术的发展。
📄 摘要（原文）
Invisible watermarks are typically evaluated against predefined perturbations such as compression, blur, noise, cropping, and denoising. Public foundation image models expose a distinct threat: an attacker can submit a watermarked image with a single reconstruction prompt and obtain a visually faithful output from which the invisible watermark can no longer be decoded reliably. We formalize this failure mode as watermark laundering and evaluate it using a joint payload-fidelity profile that combines bit error rate (BER) with visual and semantic preservation. Across six OpenAI and Google image editing models, three representative watermarking schemes, and 1,800 reconstructed outputs, we identify two complementary laundering regimes: OpenAI models produce the strongest payload disruption across the evaluated schemes, whereas Nano Banana 2 shows that DwtDct remains vulnerable under high-fidelity reconstruction. Prompt ablations show that no single removal-oriented instruction is necessary for payload disruption, indicating that the effect is primarily induced by the reconstruction pathway rather than by explicit attack wording. Comparisons with conventional attacks further show that prompt-conditioned reconstruction constitutes a distinct operational attack interface. These findings motivate foundation-model reconstruction as a missing robustness condition in invisible watermark evaluation.