扩散模型水印不再怕抹除：把消息藏进小波子带，MarkNull攻击下仍保住88%比特准确率

水印的嵌入位置从整幅初始噪声改为小波域中互不重叠的四通道载体，每个消息比特的多个副本被分散到不同空间位置、小波方向与尺度上。 此前的初始噪声水印把信号铺在噪声整体上，面对再生与对抗式抹除攻击时，被恢复出的载体投影会向判决边界移动甚至越过边界。 在SD2.1上对SDP与MS-COCO Captions各生成100张含水印图像，无攻击时比特准确率为100.0%，在MarkNull与MarkNull-A下分别为88.66%和88.06%，高于所比较的全部基线。

每个载体由四个潜通道的系数组成，嵌入时只改变载体沿一个密钥方向上的投影大小，另一部分正交残差按固定增益缩放，用来补偿投影带来的能量变化。 单纯加大嵌入强度能拉开比特取值之间的距离，但反复改动会改变初始噪声能量并拉低图像质量，因此需要在能量约束下换取判决余量。 解码端用VAE编码器与空提示的DDIM反演估计初始噪声，再做同样的Haar小波变换定位载体，把投影大小与两个目标幅度的中点比较，最后按多数投票还原消息比特。

报告覆盖的是文本到图像生成服务中的用户归属场景：服务方运营生成服务，合规用户提供个人密钥与所选水印消息，验证时用对应密钥提取水印并与注册消息比对。评估在SD2.1上以50步DDIM采样、引导尺度7.5、64比特消息与256比特密钥进行，并在SD3.5-Medium上验证了恢复。作者提出后续工作将把WaveMark推向可公开验证的水印，使第三方无需披露用户密钥即可验证。

在再生类攻击中，CtrlRegen+下比特准确率降至79.47%，NFPA下降至54.18%；作者说明NFPA把含水印图像当作视频首帧预测下一帧，虽压制了水印，但结果图像与原始输入差异明显。除NFPA外，比特准确率在所有评估攻击下都高于71.875%的检测阈值。作者还指出，WaveMark并非在每项指标上都最优，而是在保持有竞争力的图像质量的同时达到满比特准确率。