精读笔记

Problem Setting

这篇论文实际处理的是 IAR 生成图像的源模型归因，而不是泛化意义上的真假图检测。给定一个可疑图像和一个目标 IAR，问题是判断该图像是否由该模型或其 tokenizer/decoder 家族生成。真正困难点有三层：第一，IAR 的输出视觉上可以接近自然图像，像素伪影不可靠；第二，生成过程包含随机 token sampling，不能像某些 deterministic generator 那样直接逆向；第三，水印/指纹方法要求事前注入信号，无法处理已经公开的未标记内容。关键矛盾是：post-hoc provenance 不能改变图像或模型，但又必须找到足够模型特异的信号。本文的答案是放弃像素可见差异，转向生成机制留下的 latent/codebook 几何痕迹。

Motivation

已有路线缺的是“无需事前植入、但仍然模型特异”的 provenance signal。水印和 fingerprint 的问题不是效果不够，而是 applicability 错位：它们适合模型发布前的治理，不适合历史内容追溯。reconstruction-based 方法更接近本文，但它们通常依赖生成器 latent 的可逆性或 decoder reconstruction behavior，没有利用 IAR 最核心的离散 token/codebook 结构。作者的核心观察是：IAR 图像虽然最终是像素，但其生成前身是 codebook entry 的组合；因此生成图像在反投影到 latent space 后，应比自然图像或其他模型图像更接近目标 codebook。这不是视觉伪影，而是生成路径的结构性残留。

Core Idea

核心思想可以概括为：把“这张图像像不像某个模型生成的”改成“这张图像能否被该模型的 codebook + decoder 以低误差解释”。这改变了 provenance 的建模对象：不再训练一个外部 detector 去学习分布差异，而是利用目标模型自身 tokenizer 的离散几何作为判别器。目标 codebook 在这里相当于一个天然 key；生成图像由这个 key 的离散组合解码而来，自然图像或其他模型图像则通常不在这个离散格点流形上。

和 prior 的本质区别在于，它不是往图像里添加新信号，也不是泛化地学习 AI artifact，而是读取生成机制已经写入的结构性 bias。这个 inductive bias 很强：只要 IAR 依赖 VQ-style discrete codebook，并且 decoder inverse 足够好，provenance 就变成 latent representation alignment 问题。这也解释了为什么它比通用 detector 更可迁移到不同数据语义：它看的是生成路径一致性，而不是内容分布或语义统计。

Method

方法层面最关键的是 decoder inversion。原始 encoder 并不是 decoder 的好逆，尤其对生成图像的 token recovery 不稳定，因为 encoder 训练目标主要是自然图像重建质量，而不是还原生成时的 token。作者 finetune 一个 inverse decoder，使其把目标模型生成的图像映射回原始 quantized feature map。这个步骤解决的是 provenance signal 被 encoder mismatch 稀释的问题，核心变化是把反演空间对齐到目标 decoder 的生成流形。

QuantLoss 是主信号：对可疑图像做 inverse decoding，得到连续 latent feature，再量化到最近 codebook entry，计算量化前后的距离。如果图像来自目标模型，这个 latent 应接近 codebook entry；否则距离较大。它解决的是“是否来自目标离散 token manifold”的问题，是本文最干净、最机制化的信号。

EncLoss 是补充信号：图像经 inverse decoder 再 decoder 后，如果来自目标生成器，应能低损失重构；自然图像会因压缩到目标 latent manifold 而损失更多。校准版 EncLoss 用 double reconstruction 估计图像复杂度，避免低复杂自然图像被误判。它解决的是重建损失与图像复杂度混淆的问题，但本质上仍是 manifold consistency。

VAR/next-scale 模型上的 optimized token search 是特殊处理：多尺度 token 经 upsample-and-sum 后，普通 greedy quantization 不能恢复原 token decomposition。作者把量化反演写成优化问题，用 test-time gradient search 找到更匹配的多尺度 token。这里的核心不是新表示，而是用额外计算补偿多尺度结构导致的不可逆性。

Key Insight / Why It Works

这篇真正有效的原因是 representation alignment，而不是 detector capacity。IAR 的 decoder 将离散 codebook token 映射到像素空间，生成样本天然位于该 decoder image manifold 上；反过来，如果 inverse decoder 学得好，生成图像会回到接近 codebook entry 的 latent 点。自然图像即使视觉相似，也没有经历该 codebook-discrete-to-decoder 的路径，因此在目标 codebook 下会出现更大的 quantization residual。这个 residual 是源模型相关的，因为不同 IAR 的 codebook、decoder latent geometry 和 tokenizer training data 都不同。

最可能的核心贡献是两个东西的组合：一是把 codebook proximity 明确作为 provenance signal；二是指出原 encoder 不够，需要针对生成路径训练 decoder inverse。没有第二点，信号在 RAR/Taming/VAR/Infinity 上会严重塌掉；这说明论文的贡献不是简单“量化误差可检测”，而是“通过生成数据对 inverse map 做对齐后，量化误差成为稳定 fingerprint”。

EncLoss 更像辅助项。它在若干模型上能显著增强分离，但其机制更接近已有 reconstruction/double-reconstruction 思想的 IAR 适配。校准后的收益很大，说明原始 reconstruction loss 本身混入了图像复杂度偏差；但这也意味着 EncLoss 的解释性弱于 QuantLoss。对于 robustness，作者自己也显示 augmentation 会提升 QuantLoss、损害 EncLoss，因此真正可部署的主信号大概率仍是 QuantLoss。

VAR optimized quantization 本质是 test-time compute，而不是新的 provenance principle。它通过优化搜索更好地恢复多尺度 token 组合，解决的是工程性不可逆问题。它的增益来源比较清楚：不是模型学到了新判别信息，而是原始 greedy quantization 低估了 generated feature 与 codebook 的对齐程度。

需要注意，本文的“model attribution”更准确是 tokenizer/AE attribution。附录也承认最终 AE decoding 会覆盖先前 AE 痕迹；如果两个 AR 共享同一个 AE，归因边界会变得微妙。AR attribution 实验虽然给出强结果，但文中未充分说明该信号来自 AR 采样分布、inverse decoder 对训练生成集的偏置，还是某种真正稳定的 AR fingerprint。这里不能过度解读。

Relation To Prior Work

它最接近 reconstruction-based provenance / latent tracing，而不是 watermarking。和 RONAN、LatentTracer、AEDR 的共同点是都不修改生成过程，试图利用生成模型自身的反演或重建行为做归因；不同点在于本文把 IAR 的离散 codebook 当成主要证据，而不是只看像素重建误差或连续 latent optimization。

和 watermark/fingerprint 方法的本质差异是信号来源：watermark 是外加的、可设计的、事前的；本文是内生的、不可避免的、事后的。代价是 watermark 可以在闭源和无白盒条件下设计协议，而本文需要目标模型 tokenizer/decoder 白盒访问，并且信号可能被未来模型训练目标或 anti-forensic 操作削弱。

和通用 AI-generated image detection 的区别也很关键。通用 detector 学的是 generated-vs-real 的分布边界，容易受数据、模型族、后处理和 benchmark bias 影响；本文学/测的是目标 codebook manifold consistency。因此它不是“更强的检测器”，而是把任务降解成目标模型结构匹配问题。这是实质创新。

看似新的 EncLoss calibration 与 AEDR 有明显继承关系，属于已有 double reconstruction 思想在 IAR decoder inverse 上的重组。真正新增的信息主要在 QuantLoss、decoder inversion 以及 multi-scale token search。

Dataset / Evaluation

评估覆盖了多种 IAR 形态：vanilla next-token、random-order、next-scale、bitwise high-resolution，以及一个 VQ diffusion 作为外推。non-belonging 来源包括自然图像和其他生成模型，基本能验证“不是简单真假检测，而是 source attribution”。多源混合评估、严格 FPR、AUC、后处理、adaptive attack、class split、CFG/temperature 变化等附录实验也较完整，至少说明主结论不是单一表格偶然现象。

但 evaluation 仍然主要是离线 benchmark。真实 deployment 中的图像通常经历未知压缩链、平台重采样、截图、裁剪、滤镜、多模型编辑、局部 inpainting 或再生成，这些组合扰动比论文中的单一 post-processing 更复杂。adaptive attack 下强扰动已经显著降低性能，说明信号不是不可去除的。

另一个评估限制是阈值与 calibration。论文多用 TPR@1%FPR，在固定数据源上很有说服力，但真实环境的 base rate、non-belonging 分布和模型集合开放性会改变 false accusation 风险。文中未充分说明在 open-world、多未知模型、多平台数据流下如何设阈值、如何维护 per-model inverse decoder、如何处理 source overlap。

Limitation

第一，白盒访问是硬前提。没有 codebook、decoder、tokenizer 结构，就无法构造 QuantLoss；这限制了对闭源商业模型和只暴露 API 模型的适用性。

第二，它需要为每个目标模型生成数据并 finetune inverse decoder。作者强调这是 post-hoc，但它并不是 training-free。对于大量候选模型，维护 inverse decoder bank 会有工程和计算成本；对于 VAR optimized quantization，单样本 test-time compute 也明显更重。

第三，方法本质偏向 AE/tokenizer provenance。若多个 AR 共享 AE，或者模型经过 AE 复用、蒸馏、再编码，归因语义会变得不清楚。附录显示最终 AE decoding 会覆盖之前 AE 痕迹，这意味着方法可能只能回答“最后一次经过哪个 tokenizer/decoder”，而不是完整生成链路来源。

第四，泛化依赖 VQ/discrete codebook 结构。未来 IAR 若采用连续 tokenizer、无 VQ 结构、diffusion-style decoder、或在训练中显式缩小 natural/generated latent quantization gap，本文核心信号可能减弱。Infinity 上某些 EncLoss/严格 FPR 结果不稳定，也提示不同 tokenizer 结构下信号强度并不一致。

第五，鲁棒性还不是最终形态。augmentation finetuning 提升 QuantLoss 对常见扰动的稳定性，但这其实是在把后处理分布纳入 inverse decoder 的训练覆盖；核心能力可能部分来自数据覆盖。遇到未知组合扰动或有目标的 anti-forensic optimization，性能上限仍不清楚。

Takeaway

• 最值得记住的是：IAR provenance 不一定要靠水印，离散 tokenizer/codebook 本身就是一个强 inductive bias，可以作为天然 fingerprint。
• 未来这条线可能会从“检测生成图像”转向“审计生成路径”：判断图像最后一次经过哪个 tokenizer/decoder、是否被再编码、是否经过模型链式处理。
• 可迁移的 insight 是：对生成模型做 post-hoc attribution 时，与其学习像素 artifact，不如寻找生成过程中不可避免的 representation bottleneck，例如 codebook、latent quantizer、decoder manifold、compression residual。
• 真正值得继续做的是 open-world provenance、闭源/API setting 下的 surrogate codebook inference、对组合后处理和 adaptive attack 的鲁棒校准，以及区分 AE-level 与 AR-level attribution 的更严格定义。

一句话总结

这篇论文把 IAR 图像溯源从外加水印或像素检测，推进到利用离散 codebook/decoder manifold 的 post-hoc 结构归因，是一类基于 tokenizer latent geometry 的 provenance 方法。