Meta 聯手 Inria 推出 Stable Signature：把不可見水印直接刻進 AI 模型

Stable Signature 是 Meta FAIR 聯合法國國家資訊與自動化研究所（Inria）開源的一套數字水印方案，專門用來解決開源影像生成模型的溯源難題。

它不是在圖片生成之後貼一層水印，而是直接把肉眼看不見的簽名「刻」進模型的解碼器裡。只要用這個模型出圖，每張圖片天生就帶有一串唯一的數字身份，任何人拿去裁切、壓縮、調色甚至二度微調，這串水印依然很難被抹掉。

它是怎麼做到的

傳統的開源模型加水印，往往是在生成流程最後塞一段指令碼，把隱形水印打在畫素上。但凡有人把那行打水印的程式碼刪掉，或者把模型權重匯出來另起爐灶，防禦直接失效。據統計，僅三個開源模型社群就生成了超過 110 億張圖片，後置水印在開源生態裡形同虛設。

Stable Signature 換了個思路。訓練主模型的團隊不需要動核心的潛在擴散結構，只需要拿特定的水印資料，微調模型最後負責還原畫素的小模組——解碼器（Decoder）。

比如分發模型時，針對不同的下游機構或版本，微調出專屬的解碼器權重。當用戶用這個版本生成圖片時，解碼器在還原影像的過程中，就已經把預設的水印資訊編織進了畫素關係中。

更聰明的地方在於相容性。當下社群裡最火的微調手段，無論是 DreamBooth、Textual Inversion 還是 ControlNet，改動的全都是潛在空間（Latent）層面的表徵，根本不會去動最後的解碼器。這意味著不管下游使用者怎麼加控制網、怎麼教模型畫自己的寵物，刻在解碼器裡的水印都不會被沖刷掉。

扛得住折騰，誤報率極低

很多被動檢測工具最大的痛點是「誤傷普通照片」。業界常見的被動檢測方法在抓住一半經過編輯的 AI 圖片時，誤報率大約在百分之一；換算到一個每天流轉 10 億張 UGC 圖片的大平臺，等於每天會有 1000 萬張真人拍攝的照片被扣上「AI 造假」的帽子，根本沒法實用。

Stable Signature 把這個誤報率直接砸到了 10 的負 10 次方級別，並且支援使用者按需設定檢測閾值。只要演算法判定存在該簽名，基本可以斷定就是這臺「印刷機」吐出來的貨。

在魯棒性方面，它專門針對社交媒體上的多次搬運做了強化。一張圖片被反覆裁剪、強力壓縮格式、改變色彩飽和度之後，演算法依然能夠提取出最初埋入的數字簽名，並準確溯源到最初分發的模型版本。

開放程度與使用門檻

目前 Meta 與 Inria 已經公開了技術論文，並把相關實現程式碼放了出來。

對於想要分發開源生成模型的團隊來說，這套方案的訓練開銷非常小，因為它只涉及微調一小部分解碼器權重，不需要重新端到端訓練大模型，普通的算力環境就能跑完簽名植入流程。

程式碼和論文均已公開放出，開發者可以直接在 GitHub 和相關學術頁面獲取指令碼，整合到現有的開源擴散模型流程中。

為什麼重要

我們認為，Stable Signature 是目前開源生成模型在安全合規上最務實的一步。

它沒有試圖去建立中心化的審批黑盒，也沒有指望所有人都自覺保留後置水印程式碼，而是利用「解碼器與潛在特徵解耦」的架構特點，在不犧牲開源自由度和二次微調生態的前提下，把責任錨定在了分發源頭。對於需要對內容合規負責的開源模型分發方、商業化部署團隊來說，這是目前極少數既低成本又真正打不掉的內生水印方案，值得儘早跟進測試。