VideoShield: Regulating Diffusion-based Video Generation Models via WatermarkingVideoShield：面向扩散视频生成模型的水印监管框架

面对AI生成视频日益普及带来的内容溯源与篡改风险，此前的水印方案大多针对图像，逐帧后处理嵌入会明显损伤视频质量，且被动式篡改检测方法泛化性差、需要额外训练。VideoShield提出一种训练无关的水印框架，直接在扩散模型的去噪过程中把水印比特转成高斯噪声完成嵌入，生成完成后用DDIM反演把视频还原回带水印的噪声即可提取水印。核心创新是引入与像素一一对应、局部脆弱的「模板比特」，使同一套机制既能做鲁棒的水印提取，又能同时定位视频被篡改的时间位置（帧序改动）和空间位置（画面区域改动），且不需要额外训练或后处理步骤。

此前的数字水印研究集中在图像领域，视频水印通常靠对每一帧独立应用图像水印算法完成，这种逐帧后处理方式会明显退化视频质量，且水印比特数远小于像素数，二者之间「多对一」的关系天然不利于精确定位篡改区域。同时，已有的篡改定位方法大多是被动式的，依赖大量训练数据去区分「篡改区域」和「原始区域」，一旦应用到与训练分布不同的AI生成视频上就会严重失效，而且这类方法通常还无法处理帧序改变（换帧、插帧、丢帧）这种时间维度上的篡改。

关键贡献

• 指出直接套用图像水印/篡改定位方法在视频上的两大缺陷：逐帧后处理损伤视频质量、被动式定位方法跨分布泛化差。
• 提出VideoShield，一种训练无关的视频水印框架，在扩散模型生成过程中直接嵌入水印，无需额外训练或后处理。
• 设计水印比特与模板比特的可逆转换链，使同一套嵌入过程同时支持水印提取、时间篡改定位与空间篡改定位。
• 提出分层空间-时间细化（HSTR）模块，通过多层次聚合比较比特平衡篡改定位的准确率与粒度。
• 在T2V模型ModelScope和I2V模型Stable-Video-Diffusion上做大量实验，验证方法在水印提取、篡改定位和视频质量上的综合优势，并证明该框架可迁移到图像生成模型。

总体思路

VideoShield围绕一条「可逆转换链」展开：水印比特 $m$ → 模板比特 $TP$ → 高斯噪声 $Z^{T}$ → 视频帧 $FR$，记作 $m \Leftrightarrow TP \Leftrightarrow Z^{T} \Leftrightarrow FR$。嵌入时沿链条从左到右：把水印比特加密扩展成模板比特，再用模板比特做截断采样生成带水印的初始噪声，交给视频扩散模型去噪得到视频帧。提取和篡改定位时沿链条从右到左：把（可能被篡改的）视频帧编码回潜变量，用DDIM反演还原出噪声，再反推出比特，与原始模板比特逐位比较，就能同时完成水印提取、时间篡改定位与空间篡改定位，全程不需要额外训练。

模板比特与截断采样

模板比特 $TP$ 由水印比特 $m$ 复制、再用ChaCha20流密码加密得到，与每个像素位置一一对应。每个比特 $\lambda=TP_{q,i,j,k}$ 决定对应噪声点 $\beta=Z^{T}_{q,i,j,k}$ 要从标准高斯分布的正半区还是负半区截断采样：

$$p(\beta|\lambda) = \begin{cases} 2f(\beta), & ppf(\frac{\lambda}{2}) < \beta \leq ppf(\frac{\lambda+1}{2}) \\ 0, & \text{otherwise} \end{cases}$$

可以证明混合后的 $\beta$ 仍服从标准高斯分布 $p(\beta)=\frac{1}{2}(p(\beta|0)+p(\beta|1))=f(\beta)$，因此嵌入的噪声与普通采样噪声在分布上无异，不会影响后续的去噪生成质量——这是水印能做到「隐形」且不损伤生成效果的关键。

水印提取（DDIM反演）

生成完成后，把（可能被篡改的）视频帧 $\overline{FR}$ 经VAE编码器压缩成潜变量，再用扩散模型通过DDIM反演还原出噪声 $\overline{Z^{T}}$，逐点判断符号得到反演比特：

$$IV_{q,i,j,k} = \begin{cases} 0, & \overline{Z^{T}}_{q,i,j,k} \leq 0 \\ 1, & \overline{Z^{T}}_{q,i,j,k} > 0 \end{cases}$$

再对 $IV$ 解密，由于每个水印比特在嵌入时被复制了 $k_{all}$ 次，取这 $k_{all}$ 个比特中多数值作为最终提取结果，从而获得对局部噪声扰动的容忍度，实现鲁棒提取。

为什么模板比特既能提取又能定位

水印比特与像素是「一对多」关系，天然对失真宽容、适合鲁棒提取，但无法精确定位——因为多个像素共享同一个比特，篡改一处也只能定位到一大片模糊区域。模板比特反过来是「一对一」关系，任何像素被篡改都会直接体现在对应比特位上，具有局部脆弱性；同时视频里每一帧的模板比特都不同，天然带有位置敏感性，可用于时间篡改判断。这一对一/一对多的设计分离正是VideoShield能用同一套嵌入机制同时兼顾「鲁棒提取」与「精确定位」的核心原因。

时间篡改定位

把疑似被换序的第 $p$ 帧的反演比特 $IV_p$ 复制 $f$ 份，分别与原始视频每一帧的模板比特 $TP_q$ 逐位比较，得到比较比特 $C_{p,q}=[IV_p=TP_q]$，再在通道、高、宽三维上取平均得到匹配分数：

$$S(p,q) = \frac{1}{chw}\sum_{i=1}^{c}\sum_{j=1}^{h}\sum_{k=1}^{w}C_{p,q,i,j,k}$$

取匹配分数最高的位置作为该帧的原始位置 $M(p)=\arg\max_{q}S(p,q)$；若最高分数仍低于阈值 $t_{temp}$，则判定该帧是被插入的新帧，记原始位置为 -1。这一步同时为空间定位提供了「先对齐帧序、再逐帧比较」的比较比特矩阵 $CMP_p=C_{p,M(p)}$。

分层空间-时间细化（HSTR）

初始预测掩码 $M^{ini}$ 由 $CMP$ 在通道维取平均得到，但每个位置只依赖4个通道比特，方差大、易误判。HSTR先按层级 $l=1,\dots,L$（局部窗口 $\mu=2^{l-1}$）把 $M^{ini}$ 划分成立方体子区域并取平均，聚合更多比较比特换取更稳的判断：

$$M^{ga}_{p,j,k} = \frac{1}{\mu^{3}}\sum_{x=b(p)}^{p\mu}\sum_{y=b(j)}^{j\mu}\sum_{z=b(k)}^{k\mu}M^{ini}_{x,y,z}$$

随后用「部分阈值二值化」（PTB）：统计水印视频与原始视频的准确率分布，取两者不重叠的置信区域，落在其中的分数直接极化为0或1，落在重叠区的分数保持原值不动；把结果重复填充回原分辨率并对各层取平均，得到细化掩码 $M^{refined}=\frac{1}{L}\sum_l M^l$。层级越高判断越准但空间粒度越粗，多层平均正是为了在准确率和细粒度之间取得折中。

小结

VideoShield的关键是把水印比特拆成「一对多、鲁棒但难定位」的watermark bits和「一对一、脆弱但可定位」的template bits，靠同一条基于DDIM反演的可逆链条，让生成时的一次嵌入同时服务于水印提取、时间篡改定位与空间篡改定位三个任务。

实验基于T2V模型ModelScope与I2V模型Stable-Video-Diffusion，用VBench提示词生成视频，评估帧序篡改与Crop&Drop/STTN/ProPainter空间篡改，对比多种水印与被动式篡改定位基线。结论：嵌入比特数远超基线，提取准确率相当、视频质量更高，篡改定位大幅领先被动式方法。

关键数据

VideoShield是较早针对扩散式视频生成模型、把水印嵌入与主动式篡改定位统一在同一套生成时机制中的工作，填补了视频水印领域长期依赖逐帧图像方法的空白。其「一比特一像素的模板比特」思路为后续视频内容溯源、AIGC监管与真实性认证提供了一个无需额外训练、可直接迁移到图像生成模型的技术范式。

局限与不足

方法依赖DDIM反演的精确可逆性，若视频经过强压缩、大幅度色彩/几何变换等非局部化失真，反演噪声可能整体偏移，影响提取准确率和定位精度；HSTR中的PTB阈值 $t_{wm}$、$t_{orig}$ 需要预先在特定模型和分辨率下统计一批水印/原始视频的准确率分布得到，换模型或换分辨率后需要重新统计，不是完全零配置；在Stable-Video-Diffusion上的空间篡改定位F1、IoU等指标明显低于ModelScope（如平均分数0.76 vs 0.9左右），说明方法在更高分辨率、更强运动幅度的模型上鲁棒性有所下降；时间定位准确率在SVD上也从ModelScope的1.0降到约0.936，表明该框架的定位性能对生成模型本身的运动强度和帧间一致性较为敏感。