Meta 联手 Inria 推出 Stable Signature：把不可见水印直接刻进 AI 模型

Stable Signature 是 Meta FAIR 联合法国国家信息与自动化研究所（Inria）开源的一套数字水印方案，专门用来解决开源图像生成模型的溯源难题。

它不是在图片生成之后贴一层水印，而是直接把肉眼看不见的签名「刻」进模型的解码器里。只要用这个模型出图，每张图片天生就带有一串唯一的数字身份，任何人拿去裁切、压缩、调色甚至二度微调，这串水印依然很难被抹掉。

它是怎么做到的

传统的开源模型加水印，往往是在生成流程最后塞一段脚本，把隐形水印打在像素上。但凡有人把那行打水印的代码删掉，或者把模型权重导出来另起炉灶，防御直接失效。据统计，仅三个开源模型社区就生成了超过 110 亿张图片，后置水印在开源生态里形同虚设。

Stable Signature 换了个思路。训练主模型的团队不需要动核心的潜在扩散结构，只需要拿特定的水印数据，微调模型最后负责还原像素的小模块——解码器（Decoder）。

比如分发模型时，针对不同的下游机构或版本，微调出专属的解码器权重。当用户用这个版本生成图片时，解码器在还原图像的过程中，就已经把预设的水印信息编织进了像素关系中。

更聪明的地方在于兼容性。当下社区里最火的微调手段，无论是 DreamBooth、Textual Inversion 还是 ControlNet，改动的全都是潜在空间（Latent）层面的表征，根本不会去动最后的解码器。这意味着不管下游用户怎么加控制网、怎么教模型画自己的宠物，刻在解码器里的水印都不会被冲刷掉。

扛得住折腾，误报率极低

很多被动检测工具最大的痛点是「误伤普通照片」。业界常见的被动检测方法在抓住一半经过编辑的 AI 图片时，误报率大约在百分之一；换算到一个每天流转 10 亿张 UGC 图片的大平台，等于每天会有 1000 万张真人拍摄的照片被扣上「AI 造假」的帽子，根本没法实用。

Stable Signature 把这个误报率直接砸到了 10 的负 10 次方级别，并且支持使用者按需设定检测阈值。只要算法判定存在该签名，基本可以断定就是这台「印刷机」吐出来的货。

在鲁棒性方面，它专门针对社交媒体上的多次搬运做了强化。一张图片被反复裁剪、强力压缩格式、改变色彩饱和度之后，算法依然能够提取出最初埋入的数字签名，并准确溯源到最初分发的模型版本。

开放程度与使用门槛

目前 Meta 与 Inria 已经公开了技术论文，并把相关实现代码放了出来。

对于想要分发开源生成模型的团队来说，这套方案的训练开销非常小，因为它只涉及微调一小部分解码器权重，不需要重新端到端训练大模型，普通的算力环境就能跑完签名植入流程。

代码和论文均已公开放出，开发者可以直接在 GitHub 和相关学术页面获取脚本，集成到现有的开源扩散模型流程中。

为什么重要

我们认为，Stable Signature 是目前开源生成模型在安全合规上最务实的一步。

它没有试图去建立中心化的审批黑盒，也没有指望所有人都自觉保留后置水印代码，而是利用「解码器与潜在特征解耦」的架构特点，在不牺牲开源自由度和二次微调生态的前提下，把责任锚定在了分发源头。对于需要对内容合规负责的开源模型分发方、商业化部署团队来说，这是目前极少数既低成本又真正打不掉的内生水印方案，值得尽早跟进测试。