AI图像水印失守，开源工具5分钟内抹除所有水印

2025-08-21 09:01:05 | 来源: AICG工具箱

AI图像的水印技术要变天了！

一款全新的去水印技术——UnMarker，能在5分钟内去除市面上几乎所有的AI图像水印。

其中，谷歌水印工具HiDDeN已被完全破解，SynthID也已被攻破79%！

UnMarker在高效去除水印的同时，还保持了较高的图像质量。

目前，UnMarker已经在GitHub上免费开源，用户仅凭消费级显卡就可实现本地部署。

UnMarker的出现，让原本被视为有效对抗AI造假的水印技术变得不再可靠。

UnMarker创作者AndreKassis表示：

我就想知道，这些水印技术是否真像他们说得那么厉害。

AI图像水印技术

想知道UnMarker是怎么去除AI图像水印的，有必要先了解一下AI图像的水印是怎么回事。

与一般直接在图片上打上品牌名的显性水印（VisibleWatermark）不同，AI图像的水印主要是藏在频谱特征等图像深层信息中的隐性水印（InvisibleWatermark）。

频谱特征描述的是图像中像素值彼此之间的变化方式，由频谱幅度（Magnitude）和频谱相位（Phase）两个要素构成。

当前，水印技术主要通过修改频谱幅度这一频谱特征，在图像中嵌入隐性水印。

举例来说，在下面人类和熊的两张图片中，虽然内容截然不同，但它们的频谱幅度分布模式却非常相似，而频谱相位却差别较大。

由此，对内容高度敏感，在不同图像之间变化巨大的频谱相位就不适合作为可靠的通用载体来嵌入水印。

相反，对具体的像素位置依赖性较低的频谱幅度成为了嵌入水印的绝佳载体，其对裁剪、模糊、压缩等常见操作具有抵抗力，具备较好的鲁棒性。

同时，我们还可以观察到图像的主体（人物和熊）与频谱幅度图中心的蓝**域相对应，而图像的背景则对应着四周的橙**域。

这是因为，主体中平滑的区域，如衣物和毛发，拥有大片相同的色彩，导致像素值变化较慢，属于频谱中的低频部分。

而细节丰富的区域，如轮廓和纹理，像素值变化较快，属于频谱中的高频部分。

在Google的水印技术SynthID中，水印信息就被嵌入在图片的低频部分。

不过，水印嵌入有时候会改变图像的输出，如下图所示。

（注：上图从上到下按逆时针方向分别是：GoogleImagen、GoogleSynthID，以及使用UnMarker去除水印后的图片）

值得一提的是，在UnMarker之前，水印检测器并非通用工具。

每一种水印都有自己专属的检测器，以及用来寻找该水印隐藏的频谱模式。

而UnMarker以其强大的通用性，在不同的水印中实现了一种“通吃”的方法。

那么，UnMarker是怎么去水印的呢？

新的水印Killer

就像上面提到的，不可见的水印存在于频谱幅度中。

于是，UnMarker就专门针对这一点进行攻击。它忽略图像的像素值，直接修改整个图像的频谱信息，从而有效扰乱水印。

正如AndreKassis所说的：

UnMarker并不试图寻找水印隐藏的位置，也不精准定位水印编码的频谱特征。它只需扰乱图像，就能去除水印。

这种忽略像素层，专攻频谱特征的方式使UnMarker不限于单一种类的水印去除，能够应对多种水印。

实验表明，根据AI图片使用的水印方法不同，UnMarker能移除57%到100%的可检测水印。

其中HiDDeN和Yu2两种水印能被完全破解，而在GoogleSynthID中，UnMarker也成功移除了79%的水印。

在一些较新的水印技术，如StegaStamp和Tree-RingWatermarks中，UnMarker依旧表现不俗，能去除60%的水印。

不过，UnMarker也非完美无缺，在去除水印的同时，往往也会对图像造成一些轻微的改动（如果你仔细观察上面女生的头发）。

针对这一问题，Kassis表示，稍微裁剪图像可以取得更佳的去水印效果。

在论文中，UnMarker被部署在一张40GB显存的NvidiaA100GPU上，而据Kassis透露，在经过一些针对性的调整后，UnMarker应该也能在NvidiaRTX5090这样的消费级显卡上运行。

这将大大降低普通用户部署的成本和门槛。

Onemorething

最近，微软一项覆盖全球12500名参与者的研究表明，人们识别AI图像的平均成功率仅为62%。

不客气地说，也就比瞎猜好一点。

为了在“乱花渐欲迷人眼”的图像世界中“去伪存真”，水印作为一种解决方案就被提上了台前。

例如，欧盟的《人工智能法案》要求大多数AI图像生成工具必须加入水印，许多拥有AI图像生成器的公司已经实施了水印，或计划在不久后实施。

但就在大家寄望于水印技术的时候，像UnMarker这样的去水印技术已悄然登场。