数字水印是 AI 生成图像溯源与内容归属的重要技术手段, 其可信度取决于对「水印去除攻击」的抵抗能力。已有的一类攻击思路是逆向优化: 通过修改图像迫使水印解码器输出的比特序列偏离原始水印, 从而让检测失效。但该文指出这种「反转式」目标存在两个结构性缺陷: 第一, 攻击者持续把解码结果推向原水印的反码, 结果得到的是一枚「被反转但仍可被检测」的水印, 去除实际上失败; 第二, 在反转已经达成后仍继续施加扰动, 只会进一步损害图像质量而不再提升去除效果, 因此优化目标本身难以自我纠偏。针对这一矛盾, 作者提出 LiBRA (Latent In-band Bidirectional Removal Attack): 一种白盒条件下、运行在公开自编码器潜空间中的有界扰动方法, 前提是攻击者掌握水印密钥与解码器。LiBRA 的核心思想是把平均解码置信度从任意方向都推向「随机猜测」水平 (即 0.5 附近), 而不是单向推向反转, 因此可以同时纠正「反转不足」和「反转过度」两种情形, 避免产生虽然反转却依然可被检出的水印。方法上保留了每个比特的灵活度, 使图像质量约束能够优先选择破坏性更小的修改, 并可选地使用频率引导掩码来限制扰动出现的位置, 兼顾不可见性。在判定去除是否成功时, 作者没有假定「置信度到达目标值即成功」, 而是采用精确的双侧二项检验, 从统计显著性角度验证水印检测确实落入随机水平。整体而言, 该工作把水印去除从「比特反转」重新表述为「检测统计量塌缩为随机」的问题, 揭示了当前基于密钥 + 解码器的图像水印方案在白盒假设下的脆弱性, 也为水印的鲁棒性评估与改进 (比特冗余、置信度校准、抗潜空间扰动训练) 提供了新的攻击面与评测视角。