ACM MM 2025 Oral | 新加坡国大提出分形水印主动检测方案，精准识别深度伪造内容

本文提出一种名为FractalForensics的创新方案，通过分形水印技术实现主动式深度伪造检测与定位。与传统针对向量形式的水印不同，为了达成精确定位伪造区域的目标，该研究将水印以矩阵形态嵌入图像。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

本文作者团队包括新加坡国立大学的王天一（第一作者）、程轩昂、Mohan Kankanhalli（通讯作者），以及山东大学的刘明慧教授。

工作原理

近年来，针对深度伪造的主动防御研究逐渐成为关注焦点。现有技术中，鲁棒性水印与半脆弱水印在伪造检测领域取得了一定进展，但仍普遍存在以下局限：

面对常规图像处理（如高斯噪声）时鲁棒性不稳定；尚不具备同时进行真伪鉴别与伪造区域定位的功能；通过比对水印与原始样本的真伪判断过程需要消耗大量计算资源。

技术方案

为解决上述问题，本研究提出FractalForensics方案，这套基于分形水印的主动检测系统具有独特优势。与以往的水印向量不同，为实现精确定位功能，论文设计的水印以矩阵形式呈现。

论文地址：https://arxiv.org/abs/2504.09451

首先，该研究设计了一套完整的水印生成与加密流程（图1），使整个系统实现参数化运作。该方法借助参数化分形几何形状及其可迭代特性，选取希尔伯特曲线作为水印基础载体。

随后，系统分别定义了旋转（r）、镜像（m）和次序调整（o）三类变形参数，为分形水印的形态变化提供多样化选择（在本实验设计中，所有参数组合可生成144种分形变体）。

进一步地，针对按迭代顺序标记的分形矩阵，研究团队构建了一套混沌加密系统。该系统基于参数x0和a来决定混沌序列的迭代过程，并依据参数k和d分别选定加密起始位置与位数，按照矩阵中的数字顺序进行加密处理。

图1：基于参数的水印生成与加密流程示意图。

如图1所示，假设在用户服务平台中嵌入并封装该水印生成与加密流程，相较于预先保存所有水印样本的方案，用户可通过自主选择各参数值来构建和加密水印，仅需保存所选参数即可。加密后的矩阵数值为0-9的十进制数字，为提升水印嵌入与提取的容错能力，本方法将所有十进制值转换为四位二进制数值。

该论文中的水印嵌入与提取模型主要基于卷积神经网络架构（图2）。在水印嵌入阶段，考虑到图片对水印的合理容量，研究提出“单元对应分块”策略，将图片划分为尺寸相同的处理单元（本文中分块尺寸为32x32），并将水印矩阵以位置对应的方式嵌入图像。

具体而言，在加密后的水印中，每个四位二进制水印值被调整维度至通道数为4的相同空间位置，从而保持水印与图片位置关系的完整性。

图2：水印嵌入与提取流程架构图。

同时，为确保各分块间的水印互不影响，在图像特征映射、水印扩散、水印嵌入等过程中，卷积核尺寸均设置为小于分块尺寸的值。当针对被深度伪造篡改后的图片提取水印时，得益于“单元对应分块”的嵌入策略，被篡改的区域将丢失水印，而完好区域则保留水印，由此可在进行伪造检测的同时完成篡改区域定位（如图2右下方人脸图片中标红所示的失水印区域）。

实验结果

由于深度伪造对人脸图片中对应区域内容特征的修改，该水印嵌入流程对其具有天然的敏感性。因此，在经过针对JPEG压缩的对抗训练以确保水印鲁棒性之后，便可获得预期的鲁棒特性和敏感特性。如表1所示，本文提出的水印方案在面对常规图像处理方法时保持了最优的鲁棒性；如表2所示，在应对深度伪造篡改时展现了合理的敏感性。

表1：在CelebA-HQ数据集上应对常规图像处理方法的水印鲁棒性评估。

表2：在CelebA-HQ数据集上应对深度伪造方法的水印敏感性评估。

进一步地，本文根据水印恢复率的鲁棒性和敏感性之间的显著差异，计算了深度伪造检测的AUC效果，并与被动检测的先进成果进行对比，取得了最优检测效果，具体实验结果如表3所示。

表3：在CelebA-HQ上进行的深度伪造检测效果比较与评估。

伪造区域定位效果如图3和图4所示。基于水印鲁棒性，在面对良性图像处理时不会定位伪造区域；基于水印敏感性，由于人脸替换方法主要篡改人脸内部区域，因此定位的伪造区域也集中在人脸位置，而面部重现篡改因影响范围更广，导致定位区域分布更为分散。

图3：针对常见良性图像处理方法的伪造定位效果。

图4：针对恶意深度伪造方法的伪造定位效果。

第一作者信息

王天一，本科毕业于美国华盛顿大学西雅图分校，取得计算机科学和应用数学双专业学位；博士毕业于香港大学，获得计算机科学博士学位；现为新加坡国立大学在职博士后研究员，在ICCV、ICML、NeurIPS、AAAI、TIFS、TKDE、ACM Computing Surveys等高水平会议和期刊发表论文30余篇，研究方向涵盖多媒体取证、虚假信息检测等领域。