可逆神经网络水印攻击模型

去除强 4 倍

首个基于可逆网络的水印去除框架，通过可逆分解与潜在空间清洗，在破坏水印的同时保持图像视觉质量。

Yanchun, Peng · Na, Wang · 秦川 · 冯国瑞 · 张新鹏

Information Fusion 2026

参数信息

水印提取准确率（攻击后）

0.583

峰值信噪比

39.49 dB

结构相似性指数

0.9984

感知图像块相似度

0.0144

参数量

1.01 M

平均运行时间

64.35 ms

技术优势

去除更彻底

可逆分解将水印残差集中到潜在表示中，再用 Transformer 模块定向清洗，使水印提取准确率降至 0.583，远低于现有方法平均 0.734。

画质损失极小

共享逆映射重建攻击图像，避免了常见对抗扰动带来的失真，PSNR 达 39.49 dB、SSIM 0.9984、LPIPS 0.0144，肉眼几乎看不出差异。

轻量又高速

整个攻击框架仅 1.01 M 参数，单张图像平均运行时间 64.35 ms，适合大规模鲁棒性测试或实时评估场景。

应用场景

• 图像水印安全测试：用 INNA 作为高强度攻击基准，快速评估水印算法在极端去除攻击下的生存能力。
• 数字内容版权保护：帮助版权方模拟攻击者手段，提前发现水印弱点，从而选用或加固更可靠的水印方案。
• 深度模型攻击与防御：为对抗性机器学习研究提供一个轻量、可复现的水印攻击基线，促进防御策略迭代。