Adversarial Frontier Stitching for Remote Neural Network Watermarking
由于繁琐的数据汇集和繁重的处理要求，深度学习模型的最先进性能为公司和机构带来了高昂的成本。最近，[35，22]提出通过将信息嵌入到它们的权重中来对用于图像分类的卷积神经网络加水印。虽然这是朝着模型保护的一个明显进步，但这种技术仅允许从一个本地和完全访问的网络中提取水印。相反，我们的目标是允许从远程操作的神经网络（或任何其他机器学习模型）中提取水印，并通过服务API提供。为此，我们建议标记模型的动作本身，稍微调整其决策边界，以便一组特定的查询传达所需的信息。在本文中，我们正式介绍了这个问题，并提出了一种新的零比特水印算法，利用对抗模型的例子。在限制受保护模型的性能损失的同时，该算法允许仅使用少量查询来随后提取水印。在MNIST数字识别任务的背景下，我们在三个为图像分类设计的神经网络上实验了该方法。
2019-08-07 cs.CR
Robust Watermarks Leak: Channel-Aware Feature Extraction Enables Adversarial Watermark Manipulation
Zhejiang University（浙江大学）
针对AI生成内容水印的鲁棒性-隐蔽性悖论，提出基于预训练视觉模型多通道特征学习的攻击框架，仅用单张带水印图像即可实现伪造与检测规避，在检测规避成功率和伪造准确率上较现有方法分别提升60%和51%。
2025-02-10 cs.CR cs.CV
FAWA: Fast Adversarial Watermark Attack on Optical Character Recognition (OCR) Systems
Tsinghua University（清华大学）；University of Southern California（南加州大学）
深度神经网络（DNN）显著提高了光学字符识别（OCR）的准确性，并启发了许多重要的应用。不幸的是，OCR也继承了DNN在对抗性示例下的漏洞。与色彩鲜艳的普通图像不同，文本图像通常具有清晰的背景。现有的大多数对抗攻击生成的对抗样本都是不自然的，并且严重污染了背景。为了解决这个问题，我们提出了快速对抗性水印攻击（FAWA）对基于序列的OCR模型的白盒方式。通过将扰动伪装成水印，我们可以使生成的对抗图像在人眼看来很自然，并实现完美的攻击成功率。FAWA与基于梯度或基于优化的扰动生成一起工作。在字母级和单词级攻击中，我们的实验表明，除了自然的外观，FAWA实现了100%的攻击成功率，平均减少了60%的干扰和78%的迭代次数。此外，我们进一步扩展FAWA以支持全色水印，其他语言，甚至OCR精度增强机制。
2020-12-15 cs.CR cs.CV cs.LG
ROBIN: Robust and Invisible Watermarks for Diffusion Models with Adversarial Optimization
School of Computer Science, Wuhan University（武汉大学计算机学院）；School of Cyber Science and Engineering, Wuhan University（武汉大学网络安全学院）
本文提出ROBIN，一种基于对抗优化的扩散模型鲁棒且不可见水印方法，通过显式引入水印隐藏过程主动实现隐蔽性，允许嵌入更强水印，在多种扩散模型上表现出卓越的不可见性和抗篡改鲁棒性。
2025-04-03 cs.AI cs.CR cs.CV
Generating Image Adversarial Examples by Embedding Digital Watermarks
China University of Geosciences（中国地质大学）；University of Melbourne（墨尔本大学）；University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）
本文提出一种基于数字水印的图像对抗样本生成方法，通过改进的DWT和DCT Patchwork算法将水印特征嵌入宿主图像以破坏DNN识别能力，在CIFAR-10上攻击成功率达95.47%且生成高效。
2022-08-03 cs.CR cs.CV
MarkSec: Capability-Aware Evaluation of Adversarial Attacks Against LLM Watermarks
Zhejiang University（浙江大学）
针对LLM水印面临窃取、擦除和伪造攻击且评估缺乏统一协议的问题，提出MarkSec框架，引入质量约束的攻击成功率指标，发现攻击效果受文本质量约束和通用性影响。
2026-09-16 cs.CR
Evaluating the Robustness of Trigger Set-Based Watermarks Embedded in Deep Neural Networks
KAIST（韩国科学技术院）；Columbia University（哥伦比亚大学）
基于触发集的水印方案已经获得了新兴的关注，因为它们提供了一种证明深度神经网络模型所有者的所有权的手段。在本文中，我们认为，国家的最先进的触发集为基础的水印算法没有达到其设计的目标，证明所有权。我们认为，这种受损的能力源于两个常见的实验缺陷，现有的研究实践中所承诺的水印算法的鲁棒性进行评估时：（1）不完整的对抗性评估和（2）忽视自适应攻击。我们进行了全面的对抗性评估的11个代表性的水印方案对现有的攻击，并证明这些水印方案中的每一个缺乏鲁棒性，对至少两个非自适应攻击。我们还提出了新的自适应攻击，利用对手的知识的基础水印算法的目标模型。我们证明了所提出的攻击有效地打破了所有的11个水印方案，从而使对手掩盖所有权的任何水印模型。我们鼓励后续研究在评估其水印方案的鲁棒性时考虑我们的指导方针，通过进行全面的对抗性评估，包括我们的自适应攻击，以证明水印鲁棒性的有意义的上限。
2023-01-19 cs.CR cs.LG
Adversarial Embedding: A robust and elusive Steganography and Watermarking technique
University of Luxembourg（卢森堡大学）
我们提出了对抗性嵌入，一种新的隐写和水印技术，在图像中嵌入秘密信息。我们方法的关键思想是使用深度神经网络进行图像分类和对抗攻击，以在图像中嵌入秘密信息。因此，我们使用攻击在图像中嵌入消息的编码，并使用相关的深度神经网络输出来提取它。对抗攻击的关键属性（不可见的扰动、不可转移性、篡改弹性）提供了关于隐藏消息的机密性和完整性的保证。我们使用100多个模型和1,000条消息来实证评估对抗嵌入。我们的研究结果证实，我们的嵌入通过未被人类和隐写分析方法注意到，同时阻止非法检索的消息（小于13%的恢复率时，拦截器有一些知识，我们的模型），并有弹性的软和（在某种程度上）积极的图像篡改（高达100%的恢复率下的JPEG压缩）。我们通过提出一种新型的对抗攻击来进一步发展我们的方法，该攻击将我们方法的嵌入密度（隐藏信息量）提高到每像素10位。
2019-11-14 cs.CR cs.LG
Investigating Deep Watermark Security: An Adversarial Transferability Perspective
Tsinghua University（清华大学）
本文从对抗迁移性视角研究深度水印安全，提出ESS机制、ESMA攻击方法及BEM增强方法，显著提升定向迁移攻击成功率，并系统评估了深度水印在擦除与篡改风险下的脆弱性。
2024-02-26 cs.AI cs.CR
The Good, the Bad and the Ugly: Meta-Analysis of Watermarks, Transferable Attacks and Adversarial Defenses
UC Berkeley（加州大学伯克利分校）；Zuse Institute Berlin（柏林祖斯研究所）；University of Southern Denmark（南丹麦大学）；TU Berlin（柏林工业大学）
本文通过元分析探讨了水印、可转移攻击和对抗防御之间的权衡，证明了三者中至少存在其一，并利用全同态加密构建了可转移攻击的实例。
2026-01-21 cs.AI cs.CR cs.LG
Watermarking Visual Concepts for Diffusion Models
针对扩散模型个性化生成特定概念图像带来的版权与安全威胁，提出轻量级概念水印框架ConceptWM，绑定目标概念与水印实现单阶段同步识别追踪，提升鲁棒性并优于现有方法，缓解模型误用。
2025-08-23 cs.AI cs.CR cs.MM
High-frequency Matters: An Overwriting Attack and defense for Image-processing Neural Network Watermarking
近年来，模型水印技术取得了重大进展。然而，图像处理神经网络的保护仍然是一个挑战，只有有限数量的方法正在开发。这些技术的目的是在目标生成网络的输出图像中嵌入水印，使得水印信号可以在通过模型窃取攻击获得的代理模型的输出中被检测到。然而，这种有前途的技术有一定的局限性。频域分析表明，水印信号主要隐藏在输出的高频分量中。因此，我们提出了一个水印攻击，涉及伪造另一个水印的生成网络的输出。实验结果表明，这种攻击在破坏现有的图像处理网络水印方案的有效性，几乎100%的成功率。为了应对这种攻击，我们设计了一个对抗性的水印网络框架。该框架采用了一个专门设计的对抗性训练步骤，其中水印网络被训练以防御水印网络，从而增强其鲁棒性。此外，我们观察到一个过拟合现象，在现有的水印方法，这可能会使它无效。为了解决这个问题，我们修改了训练过程，以消除过拟合问题。
2023-02-17 cs.CR
Robust Spatial-spread Deep Neural Image Watermarking
水印是一种将信息嵌入到图像中的操作，尽管对图像施加了一些失真，但仍允许识别图像的所有权。在本文中，我们提出了一种新的端到端的解决方案，用于在数字图像中嵌入和恢复水印，使用卷积神经网络。该方法基于在图像的空间域上传播消息，从而减少“每像素本地比特”的容量。为了获得模型，我们使用了对抗训练，并在编码器和解码器之间应用了噪声层。此外，我们拓宽了通常考虑的攻击的水印和分组的攻击，根据其范围，我们实现了高的一般鲁棒性，最显着的JPEG压缩，高斯模糊，子采样或反相。为了帮助我们训练模型，我们还提出了JPEG的精确可微近似。
2020-11-04 cs.CR cs.MM
SweepMark: Query-Free and High-Fidelity Attacks on Robust Audio Watermarking
University of Missouri-Kansas City（密苏里大学堪萨斯城分校）；Indiana University Bloomington（印第安纳大学布鲁明顿分校）
DeMark提出一种免查询黑盒攻击，通过两阶段伪影抑制在保持音质的同时移除音频水印，在多个数据集和方法上实现高攻击成功率并揭示系统漏洞。
2026-10-22 cs.CR
Preventing Unauthorized AI Over-Analysis by Medical Image Adversarial Watermarking
Beihang University（北京航空航天大学）；Hangzhou Innovation Institute, Beihang University（北京航空航天大学杭州创新研究院）
针对未经授权的AI医学图像分析引发的隐私与版权问题，提出医学图像对抗性水印方法MIAD-MARK，通过误导性水印使未授权AI诊断准确率大幅下降，并支持合法用户密钥移除，有效保护医学图像安全。
2023-09-14 cs.CR cs.CV cs.MM
On Evaluating The Performance of Watermarked Machine-Generated Texts Under Adversarial Attacks
Hong Kong University of Science and Technology (Guangzhou)（香港科技大学（广州））；Xidian University（西安电子科技大学）；Tsinghua University（清华大学）
本文针对LLM水印方案在对抗攻击下鲁棒性研究空白，系统梳理并分类水印与攻击，通过87个场景评估8种水印和12种攻击，揭示现有技术脆弱性并强调开发更鲁棒方案的必要性。
2024-11-28 cs.AI cs.CL cs.CR
Watermark under Fire: A Robustness Evaluation of LLM Watermarking
Stony Brook University（石溪大学）；National University of Singapore（新加坡国立大学）；Zhejiang University（浙江大学）
本文系统化LLM水印器与移除攻击，构建集成10种水印器和12种攻击的WaterPark平台，评估设计选择对攻击鲁棒性的影响并总结对抗环境最佳实践。
2025-09-29 cs.CL cs.CR cs.LG
Pixel Seal: Adversarial-only training for invisible image and video watermarking
Meta FAIR
Pixel Seal通过仅对抗训练范式和三阶段训练计划，解决了现有水印方法在鲁棒性和不可感知性上的不足，实现了高分辨率图像和视频的高效不可见水印技术。
2025-12-18 cs.AI cs.CR cs.CV
AGATE: Stealthy Black-box Watermarking for Multimodal Model Copyright Protection
Beijing Institute of Technology（北京理工大学）；School of Information Engineering, Minzu University of China（民族大学信息工程学院）；University of Adelaide（阿德莱德大学）
本文提出模型无关的黑盒后门水印框架AGATE，通过对抗触发器生成和后变换模块解决多模态模型版权保护中的隐蔽性和鲁棒性挑战，在五个数据集上优于现有方法。
2025-04-28 cs.AI cs.CR
DLOVE: A new Security Evaluation Tool for Deep Learning Based Watermarking Techniques
Indian Institute of Technology Bhilai（印度比莱印度理工学院）
该研究针对基于深度神经网络的水印技术开展安全分析，提出新型DLOVE覆写攻击方法，经7种主流水印技术验证其攻击有效性，可作为基准工具测试此类水印的鲁棒性。
2024-07-09 cs.CR cs.CV
ModelShield: Adaptive and Robust Watermark against Model Extraction Attack
针对模型提取攻击，本文提出即插即用的 ModelShield，通过 LLM 自主嵌入水印与鲁棒检测机制，在不训练模型的前提下提升防御效果并减少生成质量损失。
2025-01-12 cs.CR
RAW: A Robust and Agile Plug-and-Play Watermark Framework for AI-Generated Images with Provable Guarantees
University of Minnesota（明尼苏达大学）；Cisco Research（思科研究院）
本文提出RAW即插即用水印框架，将可学习水印直接注入图像并与分类器联合训练，结合平滑技术提供对抗攻击下假阳性率可证明保证，显著提升了水印检测性能。
2024-01-23 cs.CR cs.CV cs.LG
Poster: On the Feasibility of Training Neural Networks with Visibly Watermarked Dataset
随着机器学习对共享数据的需求不断增加，数据所有者要求所有权的关注也越来越多。可见水印技术是一种有效的视觉数据所有权保护方法，但由于水印中的视觉信息丢失以及攻击者去除水印的可能性，可见水印图像不能作为学习视觉识别模型的主要来源。为了使水印图像更适合机器学习，去除风险更小，我们提出了DeepStamp，一个水印框架，给定水印图像和经过训练的图像分类网络，学习合成人类可感知的水印图像，对删除鲁棒，并且能够用作训练图像进行分类，精度损失最小。为了实现这一目标，我们采用了生成式多对抗网络（GMAN）。在CIFAR10的实验中，我们证明了DeepStamp可以学习将水印嵌入到每个图像中，并且水印图像可以用于训练网络。
2019-06-04 cs.CR
Social Media Authentication and Combating Deepfakes using Semi-fragile Invisible Image Watermarking
Wichita State University（威奇托州立大学）；University of North Texas（北得克萨斯大学）
针对Deepfake检测易受攻击问题，提出一种半脆弱不可见图像水印技术，通过独特架构将64位秘密信息嵌入真实图像，对面部篡改脆弱但对良性处理和移除攻击鲁棒，实现最先进的媒体认证性能。
2024-10-02 cs.AI cs.CR cs.CV
DUAW: Data-free Universal Adversarial Watermark against Stable Diffusion Customization
Peking University（北京大学）
针对 SD 定制导致的版权图像风格或主体被剽窃问题，提出无数据通用对抗水印 DUAW，通过合成图像训练并干扰 VAE，使定制模型输出产生可被人和分类器识别的失真。
2023-08-19 cs.CR cs.CV cs.LG
Editing Away the Evidence: Diffusion-Based Image Manipulation and the Failure Modes of Robust Watermarking
Xidian University（西安电子科技大学）
本文分析了基于扩散的图像编辑对鲁棒水印的影响，指出非对抗性编辑可能无意中降低或消除水印，提出水印信号与噪声比和互信息的界限，揭示信息论上无法恢复的条件。
2026-03-13 cs.CR cs.MM eess.IV
Robustness of the Digital Image Watermarking Techniques against Brightness and Rotation Attack
多媒体领域最近的出现提出了许多设施的运输，传输和操纵的数据。随着设施的进步，数据认证、许可使用和防止非法使用数据方面的威胁也越来越大。为了防止对数字多媒体图像的非法使用，人们设计并实现了大量的数字图像水印技术。本文比较了三种不同的水印方案对亮度和旋转攻击的鲁棒性。通过峰值信噪比（PSNR）、均方根误差（RMSE）和平均绝对误差（MAE）等参数验证了水印图像的鲁棒性。
2009-09-19 cs.CR cs.MM
Wave Atom Based Watermarking
水印有助于确保数字图像的原创性，所有权和版权。本文的目的是利用波原子变换在图像中嵌入水印。波原子相对于其他变换的优势在于它的稀疏展开、对局部模式方向的适应性和尖锐的频率局部化。在这个方案中，我们试图将水印分散在图像中，使得在一个地方的信息非常小，无法检测。为了提取水印并验证图像的所有权，人们将具有嵌入位置的先验知识的优点。为了使水印失真，需要将高幅度的噪声添加到图像中。此外，信息扩散将确保水印数据的鲁棒性。该方案具有抵御恶意操作和攻击的能力。
2015-08-07 cs.CR cs.MM
Watermark Faker: Towards Forgery of Digital Image Watermarking
Sichuan University（四川大学）
数字水印技术被广泛应用于多媒体数据的版权保护和完整性保护。以往的研究主要集中在设计对破坏嵌入水印的攻击具有鲁棒性的水印技术。然而，新兴的基于深度学习的图像生成技术提出了新的公开问题，即是否可能生成用于规避的虚假水印图像。在本文中，我们首次尝试开发数字图像水印伪造者使用生成对抗学习。假设有一组原始图像和目标水印生成的水印图像的配对图像，利用它们训练一个以U-Net为骨干的水印伪造器，以原始图像为输入，经过特定领域的预处理，输出一个伪造的水印图像。我们的实验表明，建议的水印伪造者可以有效地破解数字图像水印在空间和频率域，这表明伪造攻击的风险。
2021-03-23 cs.AI cs.CR cs.CV
Optimization-Free Universal Watermark Forgery with Regenerative Diffusion Models
Delft University of Technology（代尔夫特理工大学）；The Chinese University of Hong Kong（香港中文大学）；University of Neuchâtel（Neuchâtel大学）；University of Turin（都灵大学）；IBM Research（IBM研究院）
提出PnP免优化通用水印伪造攻击，利用再生扩散模型和潜变量、视觉-文本先验迁移水印，在24种场景中实现最高100%检测与归因。
2025-06-06 cs.AI cs.CR cs.MM
IConMark: Robust Interpretable Concept-Based Watermark For AI Images
University of Maryland, College Park（马里兰大学学院市分校）
IConMark提出一种生成内可解释语义水印方法，通过嵌入有意义概念提升AI图像水印的鲁棒性与可读性，并与StegaStamp、TrustMark结合，在多个数据集上显著超越基线AUROC分数。
2025-07-17 cs.AI cs.CR cs.CV
"Training robust watermarking model may hurt authentication!'' Exploring and Mitigating the Identity Leakage in Robust Watermarking
Zhejiang University（浙江大学）；Hangzhou High-Tech Zone (Binjiang) Institute of Blockchain and Data Security（杭州高新技术产业开发区（滨江）区块链与数据安全研究所）；Tongyi Lab, Alibaba Group（阿里巴巴集团通义实验室）；University of Connecticut（康涅狄格大学）
本文提出W-IR框架，通过引入随机平滑技术与残差信息损失策略，平衡鲁棒性和身份泄露缓解，提升水印认证的可靠性。
2026-05-10 cs.CR
Copyright Protection and Accountability of Generative AI:Attack, Watermarking and Attribution
University of New South Wales（新南威尔士大学）；The Australian National University（澳大利亚国立大学）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织Data61研究所）
生成式人工智能（例如，生成对抗网络（Generative Adversarial Networks，简称GANs）近年来越来越受欢迎。然而，生成式人工智能引入了对知识产权（IPR）保护的重大关切（分别为：模型责任）有关的图像（分别有毒图像）和模型（分别中毒模型）生成。在本文中，我们提出了一个评估框架，以全面概述GANs的版权保护措施的现状，评估它们在各种GAN架构中的性能，并确定影响其性能的因素和未来的研究方向。我们的研究结果表明，目前的输入图像，模型水印和属性网络的知识产权保护方法在很大程度上是令人满意的广泛的GANs。我们强调，必须进一步关注保护训练集，因为目前的方法无法提供强大的知识产权保护和对训练集的出处追踪。
2023-03-15 cs.CR cs.LG cs.MM
Confusing and Detecting ML Adversarial Attacks with Injected Attractors
School of Computing, National University of Singapore（新加坡国立大学计算机学院）；Bioinformatics Institute, A*STAR（新加坡科技研究局生物信息学研究所）；Image and Pervasive Access Lab (IPAL), CNRS UMI 2955（法国国家科学研究中心图像与普适计算实验室（IPAL））；Singapore Eye Research Institute（新加坡眼科研究所）
许多机器学习对抗攻击通过显式或隐式地遵循某些攻击目标函数的梯度来找到受害者模型${\mathcal M}$的对抗性样本。为了混淆和检测这种攻击，我们采取了主动的方法，修改这些函数，目的是将攻击误导到一些局部最小值，或者一些指定的区域，这些区域可以很容易地被分析器拾取。为了实现这一目标，我们建议添加大量的文物，我们称之为$attractors$，否则平滑的功能。吸引子是输入空间中的一个点，在其邻域中的样本具有指向它的梯度。我们观察到，水印方案的解码器表现出吸引子的属性，并给出了一个通用的方法，从水印解码器注入到受害者模型${\mathcal M}$的吸引子。这种原则性的方法使我们能够利用已知的水印方案的可扩展性和鲁棒性，并提供解释的结果。实验研究表明，我们的方法具有竞争力的性能。例如，对于CIFAR-10数据集上的非目标攻击，我们可以将DeepFool的整体攻击成功率降低到1.9%，而已知的防御LID，FS和MagNet可以分别将其降低到90.8%，98.5%和78.5%。
2021-03-08 cs.CR cs.LG
Your Text Encoder Can Be An Object-Level Watermarking Controller
University at Buffalo, SUNY（纽约州立大学布法罗分校）；Adobe Research（奥多比研究院）
针对T2I LDM生成图像的版权保护问题，提出仅微调文本词元嵌入的对象级即插即用水印方法，在48比特下达到99%准确率并将参数量降低$10^5$倍。
2025-03-15 cs.CR cs.CV cs.LG
Secure and Efficient Watermarking for Latent Diffusion Models in Model Distribution Scenarios
Beijing Institute of Technology（北京理工大学）；School of Information Engineering, Minzu University of China（中央民族大学信息工程学院）；School of Computer Science, The University of Adelaide（阿德莱德大学计算机学院）
针对潜在扩散模型分发中的水印泄露、逃逸与攻击问题，提出解耦式安全水印注入和基于水印分发的验证策略，在十种攻击下优于六个基线。
2025-02-18 cs.AI cs.CR
When There Is No Decoder: Removing Watermarks from Stable Diffusion Models in a No-box Setting
本文在无盒设置下提出边缘预测、盒式模糊和微调三种攻击策略，揭示模型特定水印对模糊和微调攻击的脆弱性，将检测准确率降至约47.92%，并评估了现有防御的不足。
2025-07-04 cs.CR
Removal Attack and Defense on AI-generated Content Latent-based Watermarking
针对基于潜空间的AIGC水印，提出利用边界信息的移除攻击（失真降15倍），并设计秘密变换防御机制，实证验证了攻击与防御的有效性，强调解决边界泄露的重要性。
2025-11-12 cs.CR
DeMark: A Query-Free Black-Box Attack on Deepfake Watermarking Defenses
UNSW Sydney（新南威尔士大学悉尼分校）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织数据61）
DeMark通过利用潜在空间漏洞，对深度伪造水印防御方案发起无需查询的黑盒攻击，显著降低检测准确率并揭示现有防御方案的脆弱性。
2026-01-23 cs.AI cs.CR cs.CV
Generative Model Watermarking Suppressing High-Frequency Artifacts
针对生成模型水印会在图像高频区域引入明显伪影、损害不可感知性并降低系统安全性的问题，本文提出一种采用抗锯齿低通滤波、联合损失优化和对抗训练的新型水印嵌入框架，可在保持模型原始性能的同时提升水印的不可感知性与鲁棒性。
2023-05-21 cs.CR
AudioMarkBench: Benchmarking Robustness of Audio Watermarking
Duke University（杜克大学）；Google（谷歌公司）
针对音频水印鲁棒性研究不足的问题，提出首个系统基准AudioMarkBench，涵盖多语言数据集、3种水印方法及15种扰动，在无盒、黑盒和白盒设置下评估其抗水印移除与伪造能力，揭示了现有技术的漏洞。
2024-11-13 cs.CR cs.LG cs.SD
Blind Visible Watermark Removal with Morphological Dilation
Vanderbilt University（范德堡大学）
本文提出MorphoMod，一种基于形态学膨胀的盲可见水印去除方法，无需目标图像即可有效去除不透明和半透明水印，在多个基准数据集上较现有方法提升高达50.8%。
2025-02-04 cs.CR cs.CV cs.LG
Beyond A Fixed Seal: Adaptive Stealing Watermark in Large Language Models
Hong Kong University of Science and Technology（香港科技大学）
本文提出自适应窃取算法，通过位置基水印构建和自适应选择模块提升水印窃取效率，增强对抗攻击的灵活性和有效性。
2026-04-13 cs.AI cs.CR
RLCracker: Evaluating the Worst-Case Vulnerability of LLM Watermarks with Adaptive RL Attacks
Shanghai Jiao Tong University（上海交通大学）；National University of Defense Technology（国防科技大学）；Tsinghua University（清华大学）
本文提出RLCracker，通过强化学习方法评估LLM水印的最坏情况漏洞，证明水印对改写攻击高度敏感，并在有限样本下实现高移除率。
2026-05-14 cs.CR
WAVES: Benchmarking the Robustness of Image Watermarks
University of Maryland, College Park（马里兰大学帕克分校）；SAP Labs, LLC（思爱普实验室有限责任公司）
WAVES基准通过标准化压力测试整合检测与识别任务，系统评估图像水印在传统失真、扩散及对抗攻击下的鲁棒性，揭示了现代水印算法的未知漏洞。
2024-06-07 cs.CR cs.CV cs.LG
Diffusion-Based Image Editing: An Unforeseen Adversary to Robust Invisible Watermarks
本文从理论和实验上证明扩散图像编辑可破坏现有鲁棒不可见水印，并提出扩散驱动攻击与引导扩散攻击，在多个水印方案上使解码准确率降至近零，揭示生成式AI时代水印的根本脆弱性。
2025-11-05 cs.CR eess.IV
Learning to Evade: Adaptive Attacks on Audio Watermarking
University of Missouri-Kansas City（密苏里大学堪萨斯城分校）；University of Hawaii at Manoa（夏威夷大学马诺阿分校）；University of South Florida（南佛罗里达大学）；Michigan State University（密歇根州立大学）；University of Miami（迈阿密大学）
提出自适应音频水印攻击方法AWM，通过两阶段优化和分布参数估计，在保持高成功率的同时绕过检测器，检测率低于10%。
2026-06-23 cs.CR cs.SD
A Somewhat Robust Image Watermark against Diffusion-based Editing Models
University of Virginia（弗吉尼亚大学）；University of Wisconsin Madison（威斯康星大学麦迪逊分校）
针对扩散编辑模型导致的版权与恶意编辑风险，本文提出利用对抗样本的 RIW 不可见水印方法，使编辑后水印提取准确率达到 96%，远优于传统方法的 0%。
2023-12-07 cs.CR cs.CV cs.LG
HMARK: Radioactive Multi-Bit Semantic-Latent Watermarking for Diffusion Models
University of Toronto（多伦多大学）
HMARK通过在扩散模型的语义-潜在空间中编码所有权信息，实现多比特水印，以检测和防止未经授权的数据训练。
2025-11-26 cs.CR cs.CV
Cluster-Aware Attacks on Graph Watermarks
Case Western Reserve University（凯斯西储大学）；University of Houston-Downtown（休斯顿城市大学）
本文提出基于集群的图水印攻击，通过利用社区结构提升攻击效率，揭示现有水印方案在面对结构意识对手时的脆弱性。
2026-08-19 cs.CR
Markpainting: Adversarial Machine Learning meets Inpainting
University of Cambridge（剑桥大学）；University of Toronto（多伦多大学）；Vector Institute（向量研究所）
修复是一种基于生成建模的学习插值技术，用于填充图像中的掩蔽或缺失片段;它在图片编辑和修饰中有广泛的应用。最近，修复开始被用于水印去除，引起了人们的关注。在本文中，我们研究如何操纵它使用我们的markpainting技术。首先，我们展示了可以访问修复模型的图像所有者如何以这样一种方式增强他们的图像，即任何使用该模型编辑图像的尝试都将添加任意可见信息。我们发现，我们可以用我们的技术同时针对多个不同的模型。这可以被设计为重建水印，如果编辑器一直试图删除它。第二，我们表明，我们的markpainting技术是可转移到模型，具有不同的架构或在不同的数据集上训练，所以使用它创建的水印是很难被对手删除。Markpainting是一种新颖的方法，可以用作在修复时可见的操作警报。
2021-06-01 cs.AI cs.CR cs.CV
UnMarker: A Universal Attack on Defensive Image Watermarking
UnMarker 是首个无需检测器反馈的通用防御性图像水印攻击，通过对抗性优化破坏频谱幅度，首次实用地攻破语义水印，证明防御性水印无法有效抵御深度伪造。
2024-11-22 cs.CR cs.CV cs.LG
On the Robustness of Watermarking for Autoregressive Image Generation
Ruhr University Bochum（波鸿鲁尔大学）；Middlebury College（米德尔伯里学院）；New York University（纽约大学）；Independent Researcher（独立研究员）；Qualcomm（高通）
研究自回归图像生成中水印技术的鲁棒性，揭示其易受移除和伪造攻击的影响，并提出三种新攻击方法，表明现有水印方案无法可靠检测合成内容。
2026-04-13 cs.AI cs.CR cs.CV
Robust Watermarking Using Generative Priors Against Image Editing: From Benchmarking to Advances
Nanyang Technological University（南洋理工大学）；ETH Zürich（苏黎世联邦理工学院）
本文构建涵盖多类图像编辑的 W-Bench 水印鲁棒性基准，并提出基于模糊替代攻击与 SDXL-Turbo 适配的 VINE 水印方法，在图像质量和抗编辑鲁棒性上优于现有方法。
2025-03-15 cs.AI cs.CR cs.CV
