FiLM-CAM: Keyed Feature Modulation for Conditional-Access Watermarking¶

会议: NeurIPS 2026
arXiv: 2610.30347
论文: https://arxiv.org/abs/2610.30347
代码: https://yash-research.github.io/filmcam/
领域: LLM 安全
关键词: 图像水印, 条件访问, 特征线性调制, 逆向水印擦除, 深度编解码器

一句话总结¶

提出首个基于单套深度编解码架构的条件访问图像水印框架 FiLM-CAM，通过轻量级特征线性调制（FiLM）将密钥注入中间特征层以控制水印嵌入与提取，并结合 Logit 空间组合机制实现高保真度授权水印擦除。

研究背景与动机¶

生成式人工智能的高速演进带来了媒体真实性与版权归属方面的严峻挑战，不可见图像水印技术因此成为 AIGC 标识与来源追踪的核心防护机制。然而在现实企业级与多租户协作场景中，水印系统往往不宜完全公开开放，机构亟需对水印的编码、解码乃至擦除操作实施严格的访问控制，以防范未授权篡改、伪造与恶意监测。目前业界主流应对方式是为每个独立租户或私有域单独训练专属的编解码器模型，这导致系统维护和部署负担随着组织数量线性膨胀。

实现轻量级条件访问的核心技术矛盾在于：既有方案要么仅在外部对载荷信号进行密钥置乱变换，底层的深层网络表征本身对密钥完全无感知；要么只能依赖扩频机制或特定扩散初始噪声控制，无法适配任意通用后验图像处理。与此同时，传统水印消除研究往往依赖额外的判别式或生成式对抗擦除网络，重建图像容易产生严重的伪影失真或破坏高频细节，缺乏能够在单一共享模型中统一完成授权嵌入、私有提取与无损逆向擦除的闭环机制。

本文的切入角度是打破水印信号与网络结构相分离的范式，直接将安全密钥嵌入到编解码器的深层隐空间表征中。核心 idea：通过特征线性调制（FiLM）将密钥注入编解码器瓶颈特征层，构建非对称解码机制，并配合 Logit 空间组合公式复用同一编码器实现受控迭代水印擦除。

方法详解¶

整体框架¶

FiLM-CAM 是一个集成了条件访问水印嵌入、私有提取以及无损水印擦除的统一框架。其输入包含原始载体图像 \(x\)、待嵌入的水印二进制载荷 \(m\) 以及授权私钥 \(k\)。系统首先通过多层感知机将离散密钥映射为连续特征向量，并在 U-Net 结构嵌入器的特征瓶颈处使用条件访问模块（CAM）实施调制，输出水印残差 \(r\)；随后通过 Logit 空间组合算子生成含水印图像 \(x_w\)。在提取端，由视觉主干网络与末端调制层组成的提取器 \(X\) 仅在输入相同有效密钥 \(k\) 时才能精准还原载荷，未授权密钥则强制解码崩塌。而在水印擦除阶段，系统直接复用嵌入器对含水印图像估计扰动，并借助迭代增益修正反演恢复原始图像。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["输入: 载体图像 x + 载荷 m + 密钥 k"] --> B["条件访问模块 CAM<br/>三层 MLP 生成密钥缩放与偏移参数 (γk, βk)"]
    B --> C["水印嵌入器 E<br/>瓶颈层 FiLM 调制输出残差 r"]
    C --> D["Logit 空间组合<br/>双曲正切反变换与动态增益补偿生成 xw"]
    D --> E{"操作分支"}
    E -->|私有提取| F["水印提取器 X<br/>ConvNeXt 特征经 CAM 门控解码出 m^"]
    E -->|条件擦除| G["迭代残差擦除<br/>复用嵌入器估计扰动并逐步消除水印"]
    F --> H["正确密钥恢复载荷 / 错误密钥崩塌全零"]
    G --> I["正确密钥高保真还原图像 (~54dB)"]

关键设计¶

1. 基于 FiLM 的条件访问模块（CAM）：在特征层级解耦私有水印域

为了避免为每个访问主体单独维护独立的模型副本，CAM 直接在神经网络的隐层表征层面嵌入访问控制逻辑。对于长度为 \(L\) 的二进制私钥 \(k \in \{0,1\}^L\)，模块首先利用轻量级三层 MLP 映射网络 \(\phi(\cdot)\) 将其投影至 \(d\) 维连续隐空间向量 \(e_k = \phi(k)\)，随后通过线性映射层 \(\psi(\cdot)\) 分解得出通道级的特征调制参数对 \((\gamma_k, \beta_k) = \psi(e_k)\)。针对中间特征张量 \(F\)，FiLM 调制通过通道缩放与平移变换完成注入：

\[\mathrm{CAM}(F, k) = \gamma_k \odot F + \beta_k\]

在嵌入器端，CAM 置于残差生成网络的瓶颈特征处，迫使水印残差在深层隐空间即与密钥强绑定；在提取器端，CAM 则置于全局平均池化之后、比特预测分类头之前的高层语义特征处。只有当提取器接收到与嵌入完全一致的密钥时，表征空间的几何分布才能对齐；一旦提供错误密钥，特征失配将使得解码器输出彻底偏离有效区域。

2. Logit 空间水印组合：解决像素空间截断并赋能高质量逆向反演

传统水印方法常采用直接像素相加的方式叠加残差，容易因数值溢出发生硬截断，破坏水印连续性并增加无损擦除的难度。FiLM-CAM 将嵌入过程转移到无边界的 Logit 空间中进行。首先对安全缩放后的图像引入裕度系数 \(\kappa \in (0,1)\)，映射为变换域表征 \(z_0 = \operatorname{atanh}(\kappa x)\)。针对双曲正切函数在接近 \(\pm 1\) 时导数饱和导致边缘区域残差钝化的问题，该设计引入与图像内容自适应的动态增益因子 \(g(x) = (1 - (\kappa x)^2 + \epsilon)^{-1}\)，其组合算子形式化为：

\[\mathcal{C}(x, r) = \tanh\left(\operatorname{atanh}(\kappa x) + \alpha \tanh(r) \odot (1 - (\kappa x)^2 + \epsilon)^{-1}\right)\]

其中 \(\alpha\) 控制全局水印嵌入强度。通过在平滑且单调的变换域中添加微扰，不仅规避了极端灰度下的高频截断失真，更使得后续利用反变换操作实现精确数学逆向抵消成为可能。

3. 复用嵌入器的迭代残差擦除：无需专用擦除网络的受控逆向求解

针对传统擦除模型依赖额外大型生成网络且易损坏原始图像结构的问题，FiLM-CAM 创新性地复用嵌入器 \(E\) 本身作为残差估计器。合法持有者首先利用提取器解析出原始水印信息 \(m\)，随后直接将含水印图像 \(x_w\)、载荷 \(m\) 以及私钥 \(k\) 输入嵌入器，估计出消除残差 \(r_{\mathrm{rem}} = E(x_w, m, k)\)。由于在反演过程中真实的原始图像不可预知，前向计算增益所需的真实无水印像素值缺失，系统采用迭代修正算法逼近真实解：以 \(x_w\) 作为初始估计，在每次迭代中根据当前估计图像动态更新增益张量，在变换域扣除扰动后重新映射至图像域。经过 20 轮迭代迭代逼近，授权擦除可在无需任何额外参数开销的情况下获得极高保真度的恢复效果。

损失函数 / 训练策略¶

系统采用分步两阶段交替优化策略。在阶段一（Stage 1），联合优化嵌入器与提取器，针对正确密钥样本最小化多重混合图像保真度损失（YUV 空间重构损失、LPIPS 感知损失、频域焦点损失及判别器对抗损失）与载荷恢复的二元交叉熵损失 \(L_{\mathrm{BCE}}(\hat{m}, m)\)；同时为实现严格访问控制，针对随机采样错误密钥 \(k'\) 进行对抗训练，惩罚项显式引导预测载荷崩塌至全零靶向标记 \(L_{\mathrm{BCE}}(\hat{m}', 0)\)。阶段二（Stage 2）冻结阶段一模型生成参考残差，解冻嵌入器在变换域扰动空间使用 \(L_1\) 距离对齐残差一致性；而在错误密钥下惩罚扰动使其趋向于零。训练初期经历 120 轮阶段一预热后，以每 5 轮为一个周期交替执行阶段一与阶段二更新，确保擦除能力稳步提升的同时不发生嵌入退化。

实验关键数据¶

主实验¶

在标准无失真水印嵌入与提取评测中，FiLM-CAM 在保持与 SOTA 方案匹敌的近乎完美提取准确率（~0.99）的同时，取得了出色的图像隐蔽性（PSNR 达到 46-48 dB）。更为关键的是，在提供错误密钥（× key）时，比特准确率迅速降至 0.53-0.55，完全退化为随机猜测基线水平。

数据集	评估模式	比特准确率 (Bit Acc. ↑)	图像保真度 (PSNR dB ↑)	结构相似度 (SSIM ↑)	感知距离 (LPIPS ↓)
COCO	TrustMark-Q	0.99	41.9	0.9910	0.0017
COCO	InvisMark	0.99	48.0	0.9974	0.0011
COCO	PixelSeal	0.99	45.8	0.9948	0.0020
COCO	FiLM-CAM (正确密钥)	0.99	48.2	0.9986	0.0010
COCO	FiLM-CAM (错误密钥)	0.53	-	-	-
DIV2K	TrustMark-Q	0.99	40.9	0.9939	0.0026
DIV2K	InvisMark	0.99	46.5	0.9964	0.0025
DIV2K	PixelSeal	0.99	46.0	0.9959	0.0011
DIV2K	FiLM-CAM (正确密钥)	0.99	46.7	0.9975	0.0020
DIV2K	FiLM-CAM (错误密钥)	0.54	-	-	-
SA-1B	TrustMark-Q	0.99	41.3	0.9946	0.0028
SA-1B	InvisMark	0.99	46.2	0.9961	0.0027
SA-1B	PixelSeal	0.99	46.5	0.9966	0.0012
SA-1B	FiLM-CAM (正确密钥)	0.99	46.6	0.9974	0.0020
SA-1B	FiLM-CAM (错误密钥)	0.53	-	-	-

在水印擦除对比任务中，再生式攻击基线（如 Diffusion Attack、CtrlRegen+）虽能消除水印但严重损伤原图画质（PSNR 仅 20-22 dB）；而 TrustMark-RM 无法彻底擦除水印。FiLM-CAM 在正确密钥下实现极高重构保真度（COCO 57.9 dB、DIV2K 54.0 dB），擦除后准确率逼近随机水平（0.57-0.58）；而错误密钥擦除时水印仍完好保留（准确率维持在 0.78-0.81），体现出极高的非对称安全性。

数据集	擦除方法	擦除后图像 PSNR (dB ↑)	擦除后比特准确率 (Acc.)	较含水印图增益 (Gain dB ↑)	推理时延 (ms ↓)
DIV2K	TrustMark-RM(Q)	40.8	0.74	-0.2	35.9
DIV2K	CtrlRegen+	20.0	0.51	-26.7	1976.0
DIV2K	Diffusion Attack	22.4	0.51	-24.3	255.6
DIV2K	VAE-Cheng2020	26.4	0.51	-20.3	14.5
DIV2K	FiLM-CAM (正确密钥)	54.0	0.58	+13.9	5.06
DIV2K	FiLM-CAM (错误密钥)	46.6	0.79	+6.5	5.06

消融实验¶

消融实验在 DIV2K 数据集上系统性评估了核心组件的作用：

模型配置	提取准确率 (Bit Acc. ↑)	水印图保真度 (WM PSNR dB ↑)	擦除图保真度 (Rem. PSNR dB ↑)	擦除后提取率 (Post-Rem. Acc. ↓)	说明
完整模型 (FiLM-CAM)	0.99	46.7	55.4	0.54	各项指标平衡且优秀
移除 FiLM 调制 (w/o FiLM)	0.85	36.9	47.3	0.62	密钥直接输入难以收敛，性能全面崩溃
移除动态增益 (w/o gain)	0.99	36.0	44.0	0.51	失去饱和补偿，画质大幅劣化且阻碍迭代优化
纯像素加法组合 (w/o logit space)	0.98	47.0	54.1	0.55	擦除残余更明显，恢复 PSNR 降低 1.3 dB

关键发现¶

FiLM 调制是多域隔离的核心所在：若舍弃隐层特征调制改用直接将密钥与输入图像串联，编解码网络训练极难收敛，比特准确率直接暴跌至 0.85，证实特征级尺度与平移调制对于多密钥空间解耦具有关键作用。
密钥敏感性呈现理想阶跃特性：查询密钥与真值密钥的比特重合率在低于 80% 时，提取准确率始终平稳维持在 50%-60% 的近随机状态；仅当重合率逼近 98% 以上时准确率才骤增至 95% 以上，表现出优异的密钥特异性。
迭代精炼步数在 20 轮达到性价比拐点：随着迭代步数增加，授权擦除 PSNR 快速上升，在 20 轮后收益趋于平缓；而错误密钥擦除的图像在少数轮次后即陷入停滞，无法利用迭代恢复原始载体。

亮点与洞察¶

特征层级门控取代表层置乱：不同于以往将密钥仅用于 payload 随机置乱或扩频调制的传统设计，FiLM-CAM 首次在深度后验图像水印中将密钥注入特征表征流，使得单套权重即可原生支持多租户私有域隔离。
以同一网络实现嵌入与擦除闭环：巧妙地将嵌入网络复用为残差反演估计器，配合可逆 Logit 空间运算，摆脱了传统方案必须额外训练沉重擦除模型的痼疾，推理速度快达 5.06 ms。
动态增益补偿破除饱和瓶颈：针对双曲正切函数两端饱和压缩的数学缺陷，设计与图像像素强度自适应关联的动态增益因子，既兼顾了边界像素的扰动表达，又为无损逆向消除奠定了精确数值基础。

局限与展望¶

防恶意破坏型攻击的物理局限：条件访问能够有效封堵“未授权非法读取”与“未授权无损消除”，但无法抵御暴力扩散重绘等“不可逆破坏性攻击”——攻击者虽然无法恢复原图，但可通过大幅破坏画质破坏水印检测。
跨密钥二次嵌套水印的干扰：当同一图像被未授权主体使用新密钥强行二次嵌套水印时，原水印解码鲁棒性会出现退化。
未来改进方向：可进一步探索携带更高位宽（如 >256 bits）的信息载荷容量，或在嵌入阶段构建微量侧信道先验提示（side-information hints）以实现极致无损的 60dB+ 逆向恢复。

评分¶

新颖性: ⭐⭐⭐⭐⭐ 首次提出基于深层网络特征调制的条件访问图像水印框架，打破多租户需维护独立模型的限制。
实验充分度: ⭐⭐⭐⭐⭐ 涵盖三大评测集，横向对比 6 种主流基线、4 种擦除攻击，并在主干网络与结构组件上完成深入消融。
写作质量: ⭐⭐⭐⭐⭐ 体系严密，数学符号形式化清晰，迭代算法与损失调度条理分明。
价值: ⭐⭐⭐⭐⭐ 为企业级 AIGC 权属溯源、版权分级授权与数字资产防伪擦除提供了高度落地的轻量级统一基座。