TPAMI 2025 | The NeRF Signature：基于码本的神经辐射场水印方法

随着神经辐射场（Neural Radiance Fields, NeRF）作为三维内容表示形式的日益普及，对其版权保护的需求已成为一个亟待解决的关键问题。尽管已有一些方法试图在NeRF中嵌入数字水印，但这些方法往往忽视了模型层面的重要考量且会产生较大的时间开销，导致水印的不可感知性和鲁棒性降低，同时也影响了用户使用的便利性。

本文将图像水印的传统标准扩展到模型层面，提出了一种称之为NeRF Signature的NeRF水印方法。该方法采用基于码本的签名嵌入（CSE）技术，在不改变模型结构的情况下实现水印嵌入，从而保持了模型层面的不可感知性并增强了鲁棒性。此外，在完成优化后，CSE可以嵌入任意所需的签名，当NeRF所有者需要使用新的二进制签名时无需再次微调。

本文还引入了联合视角-区域加密水印策略，将签名隐藏在特定视角下渲染的图像区域中，以获得更高的鲁棒性。同时，我们探索了基于复杂度的关键区域选择（CAKS）方案，通过将签名嵌入到视觉复杂度高的区域来增强不可感知性。实验结果表明，相比于基准方法，我们的方法在不可感知性和鲁棒性方面都取得了更好的性能。

论文标题： The NeRF Signature: Codebook-Aided Watermarking for Neural Radiance Fields 论文链接： https://arxiv.org/pdf/2502.19125

图1 NeRF Signature的嵌入与验证基本流程示意图

神经辐射场（NeRF）作为一种新兴的三维内容表示技术，因其卓越的三维场景建模和渲染能力而备受关注。随着相关技术的快速发展和应用门槛的不断降低，越来越多的NeRF模型被创建并在网络上公开分享。这些模型往往凝聚了创作者大量的智力劳动和计算资源投入，如何有效保护这些模型的版权，防止未经授权的滥用和非法交易，已成为一个亟待解决的重要问题。

虽然目前已有一些数字水印方法被应用于版权保护，但这些方法主要针对二维图像设计，且存在明显局限性：首先，现有方法依赖外部模块进行签名嵌入和提取，容易被恶意用户检测和移除；其次，外部模块与NeRF核心模型的兼容性差，导致签名嵌入困难且计算成本高；此外，当需要更新嵌入的签名时，往往需要对模型进行重新微调，这不仅带来额外的时间开销，也影响了用户使用的便利性。

为解决上述问题，如图1所示，研究团队提出了一种新型的NeRF水印方法。该方法采用基于码本的签名嵌入技术，可以在不改变模型结构的情况下直接将签名嵌入NeRF模型，显著降低了计算开销。同时，通过创新性地引入联合视角-区域加密水印策略和基于复杂度的关键区域选择方案，该方法在提高安全性的同时，还确保了水印的不可感知性，为NeRF模型的版权保护提供了一个高效且实用的解决方案。

二、方 法

如图2所示，我们提出的NeRF数字签名框架包含了签名嵌入和验证两个主要阶段。在嵌入阶段，模型所有者首先通过可优化的签名码本获取签名表示，然后将其与原始模型参数进行逐元素相加，生成带水印的模型，同时保持模型结构不变。在验证阶段，模型所有者使用密钥从特定视角渲染特定图像区域，并通过提取器从这些区域中提取签名进行验证。

图2 基于可优化码本的NeRF数字签名训练框架示意图

本研究提出的方法主要包含三个创新性的技术组件：

基于码本的签名嵌入（CSE）

设计了一个可优化的签名码本，能够高效地表示和嵌入数字签名。与现有方法不同，该技术可以直接将签名表示添加到NeRF模型参数中，无需改变模型结构，既保证了水印的不可感知性，又提高了模型层面的鲁棒性。更重要的是，模型所有者可以通过该码本灵活地嵌入新的签名，而无需重新训练模型。

联合视角-区域加密水印策略

创新性地提出将签名隐藏在特定视角下渲染图像的特定区域中。这种策略要求使用特定的相机位姿（视角密钥）和区域位置（区域密钥）才能提取签名，显著提高了水印的安全性。即使恶意用户获取了签名提取器，如果不知道正确的密钥也无法获取签名信息。

基于码本的签名嵌入（CSE）

为进一步增强水印的不可感知性，该方案通过分析图像区域的视觉复杂度，选择具有较高复杂度的区域来嵌入水印信息。这样的选择可以更好地隐藏水印信息，避免在视觉上留下可检测的痕迹。

如图3所示，完成码本优化后，模型所有者可以方便地将任意签名嵌入到需要保护的NeRF模型中。在验证阶段，所有者只需使用密钥从特定视角渲染特定区域，即可提取签名验证模型所有权。整个过程保持了模型结构不变，确保了水印方案的实用性和安全性。

图3 码本优化后的NeRF水印工作流程示意图 三、主要实验结果

为验证所提方法的有效性，我们首先与现有主要水印方法进行了对比实验。图4展示了不同方法在四个典型场景上的水印渲染结果。每组结果包含水印图像和差异图并给出相应的位准确率和PSNR值。对比方法包括将图像水印方法（HiDDeN、MBRS）应用于NeRF、专门针对NeRF的水印方法（CopyRNeRF）以及基于微调的简单基线。实验结果表明，我们的方法在保持高位准确率的同时，能够最大程度地保持渲染质量。

图4 与基线方法对比的结果。每组包含水印渲染结果和差异图。图下方显示平均Bit accuracy和PSNR值。

为进一步验证方法的安全性，我们模拟了攻击者在获取提取器但不知道正确密钥的情况下尝试提取签名的场景。图5展示了密钥安全性验证结果：当使用正确密钥时（红线），系统可以完全准确地提取出嵌入的签名；而使用随机密钥时（蓝色直方图，10000次随机测试），位准确率大多低于70%。这表明即使攻击者获得了提取器，在不知道正确的视角和区域密钥的情况下，仍然难以成功提取签名，验证了我们的加密策略的有效性。

图5 密钥安全性验证结果。图中展示了使用正确密钥（红线）随机密钥（蓝色直方图）时的Bit accuracy分布。

为了验证本文提出的两个关键技术的有效性，我们进行了消融实验。图6展示了联合视角-区域加密策略和CAKS区域选择方案的作用。实验结果表明，视角-区域加密策略能够有效增强水印的不可感知性和可靠性，而CAKS方案通过选择高复杂度区域进行签名嵌入，进一步提升了水印效果。

图6 联合视角-区域加密策略和CAKS方案的消融实验。 四、总结与展望

本文提出了一种名为NeRF Signature的新型NeRF水印方法，在图像和模型层面同时实现了高不可感知性和鲁棒性，并允许模型所有者灵活选择嵌入的签名内容。该方法主要包含三个创新点：基于码本的签名嵌入技术使得签名过程不改变NeRF结构；联合视角-区域加密水印策略通过特定视角和多个图像区域保护签名安全；CAKS方案选择高视觉复杂度区域进行签名嵌入以减少视觉差异。

实验表明，本方法在各项指标上均优于基线方法，并对多种攻击具有较强鲁棒性。尽管如此，随着3D表示方法的持续发展，如3DGS等新技术的出现，水印技术仍面临诸多挑战：如何设计适应不同3D表示方法的通用水印方案，如何实现与现有3D内容处理流程的高效集成，以及如何进一步增强安全性和鲁棒性。解决这些问题将推动3D数字内容保护技术的发展。

作者：罗梓源、万人杰 来源： 公众号【HKBU计算机系】

llustration From IconScout By IconScout Store

-The End-

扫码观看！

本周上新！

“AI技术流”原创投稿计划

TechBeat是由将门创投建立的AI学习社区（www.techbeat.net）。社区上线600+期talk视频，3000+篇技术干货文章，方向覆盖CV/NLP/ML/Robotis等；每月定期举办顶会及其他线上交流活动，不定期举办技术人线下聚会交流活动。我们正在努力成为AI人才喜爱的高质量、知识型交流平台，希望为AI人才打造更专业的服务和体验，加速并陪伴其成长。

投稿内容

// 最新技术解读/系统性知识分享 //

// 前沿资讯解说/心得经历讲述 //

投稿须知

稿件需要为原创文章，并标明作者信息。

我们会选择部分在深度技术解析及科研心得方向，对用户启发更大的文章，做原创性内容奖励

投稿方式

发送邮件到

melodybai@thejiangmen.com

或添加工作人员微信（yellowsubbj）投稿，沟通投稿详情；还可以关注“将门创投”公众号，后台回复“投稿”二字，获得投稿说明。

关于我“门”

将门是一家以专注于数智核心科技领域的新型创投机构，也是北京市标杆型孵化器。 公司致力于通过连接技术与商业，发掘和培育具有全球影响力的科技创新企业，推动企业创新发展与产业升级。

将门成立于2015年底，创始团队由微软创投在中国的创始团队原班人马构建而成，曾为微软优选和深度孵化了126家创新的技术型创业公司。

如果您是技术领域的初创企业，不仅想获得投资，还希望获得一系列持续性、有价值的投后服务，欢迎发送或者推荐项目给我“门”:

bp@thejiangmen.com

点击右上角，把文章分享到朋友圈