AI 이미지 워터마크의 핵심 질문은 “삽입할 수 있는가”가 아니라 “현실의 편집 과정을 거친 뒤에도 검출되는가”입니다. CAT가 다루는 문제도 바로 이 지점입니다.
CAT의 정식 논문 제목은 Compositional Adversarial Training for Robust Visual Watermarking입니다. arXiv 식별자는 2605.16720이며, 2026년 5월 16일 v1으로 공개됐고 cs.CV와 cs.LG 분야로 분류됐습니다.1
CAT는 무엇을 바꾸려는가
기존 강건 워터마킹 학습은 주로 JPEG 압축, 자르기, 회전 같은 후처리 변환을 무작위로 적용하는 방식에 의존해 왔습니다.1 이 접근은 단순하고 널리 쓰이지만, 현실의 공격을 충분히 설명하기에는 한계가 있습니다.
실제 이미지 유통 과정에서는 하나의 편집만 일어나는 경우보다 여러 변환이 순서대로 이어지는 경우가 많습니다. 예를 들어 압축된 이미지가 다시 잘리고, 이후 크기 조정이나 회전이 추가될 수 있습니다. 논문은 이런 현실적인 공격 파이프라인의 조합 공간을 무작위 샘플링만으로 충분히 포괄하기 어렵다고 설명합니다.1
CAT, 즉 Compositional Adversarial Training은 이 문제를 “더 많은 증강”이 아니라 “더 까다로운 조합을 찾아 학습하는 문제”로 봅니다. 워터마크가 약해지는 변환 조합을 학습 과정에서 적극적으로 탐색하고, 그 공격에 견디도록 모델을 훈련하는 접근입니다.1
핵심은 ‘단일 공격’이 아니라 ‘공격 파이프라인’이다
CAT를 이해할 때 중요한 관점은 공격을 개별 변환의 목록으로만 보지 않는 것입니다. JPEG 압축에 강하고, 자르기에 강하고, 회전에 강하다고 해서 세 변환이 이어진 상황에서도 같은 수준의 강건성이 보장되는 것은 아닙니다.
무작위 증강은 조합 가능한 공간이 커질수록 중요한 취약 조합을 놓칠 수 있습니다. 반대로 CAT는 워터마크 검출을 어렵게 만드는 조합형 변환을 더 직접적으로 학습에 반영하려 합니다. 논문은 이를 구조화된 변환 공간에서의 adversarial training 문제로 다룹니다.1
이 차이는 평가 기준에도 영향을 줍니다. 워터마크 기술을 볼 때 “어떤 단일 편집에 견디는가”만 확인해서는 부족합니다. 실제 배포 환경을 고려한다면 “편집의 조합과 순서까지 시험했는가”를 함께 봐야 합니다.
적용 관점에서 볼 점
CAT는 워터마크 추론 방식을 완전히 바꾸는 제안이라기보다, 학습 단계에서 더 강한 공격 시나리오를 반영하는 프레임워크에 가깝습니다. 공개 저장소 설명에 따르면 적대자는 훈련 때 사용되며, 추론 시 동작은 그대로 유지됩니다.2
따라서 실무적으로 얻을 수 있는 교훈은 명확합니다.
워터마크 평가는 단일 변환보다 변환 파이프라인을 포함해야 합니다.
무작위 증강만으로는 드문 취약 조합을 충분히 다루기 어렵습니다.
강건성은 삽입 알고리즘뿐 아니라 학습 중 어떤 공격 시나리오를 설계했는지에 크게 좌우됩니다.
CAT의 의미는 워터마킹 경쟁이 단순히 “더 잘 숨기는 기술”에서 “현실적인 공격 조합을 얼마나 잘 견디게 훈련하는가”로 이동하고 있음을 보여주는 데 있습니다. AI 콘텐츠 출처 확인 기술이 실제 환경에서 유효하려면, 고정된 방어 규칙보다 적응형 공격을 상대로 검증되고 학습되어야 합니다.
1[2605.16720] Compositional Adversarial Training for Robust Visual Watermarking
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.