扩散模型水印不再怕抹除：小波域里放副本，MarkNull攻击下仍保住88%比特准确率
核心概要
扩散模型生成图像的来源水印此前容易被去除攻击压掉，且几乎看不出画质损失。WaveMark把水印写进扩散模型初始噪声的小波域，用密钥把每个消息比特的副本分散到不同空间位置、小波方向与尺度上，再以投影幅度编码。在SD2.1上，无攻击时比特准确率为100.0%，面对MarkNull与MarkNull-A仍保持88.66%和88.06%，高于所比较的基线。
深度剖析
水印的嵌入位置从整幅图像或生成后的后处理，移到扩散模型初始噪声的小波域，使来源信号在生成过程中就进入图像。 此前的初始噪声水印在再生与对抗去除攻击下会被压掉，因为攻击会改变反演恢复出的隐信号，或扰动检测所用的投影。 在SD2.1上以64比特消息、256比特密钥生成图像，无攻击时比特准确率为100.0%，与所评估的六个基线相当。
每个消息比特不再只放一次，而是以密钥控制的副本分散到互不重叠的四通道载体上，覆盖空间位置、小波方向与尺度。 简单重复同一比特无法解决问题，因为暴露在相关失真下的副本可能一起失效。 副本被分配到两级Haar小波分解的多个子带，每个载体由四个隐通道的系数组成，解码时按硬多数投票合并各副本判断。
比特由载体的投影幅度承载，沿密钥方向把投影幅度设为0或固定幅度，并缩放正交残差以在期望上保持载体能量。 加大嵌入强度能拉开比特取值间距，但反复改动载体会改变初始噪声能量并拉低画质。 在SD2.1与MS-COCO Captions上各生成100张水印图像，面对14种攻击评估；MarkNull与MarkNull-A下比特准确率为88.66%和88.06%，比最强基线分别高27.30%和13.32%。
启示与展望
评估覆盖SD2.1上的14种攻击，每种水印方法各100张生成图像，并在SD3.5-Medium上验证跨架构恢复。适用场景是支持该水印的文本到图像服务中的用户归属：用户提供个人密钥与消息，验证时用对应密钥提取并与注册消息比对。后续工作指向公开可验证水印，使第三方无需披露用户密钥即可验证。
在NFPA攻击下比特准确率降至54.18%，低于71.875%的检测阈值；CtrlRegen+下降至79.47%。作者指出NFPA把水印图像当作视频首帧预测下一帧，虽压掉水印，但结果图像与原始输入差异明显。公开可验证水印尚未实现。