1. 换脸防御的真实困境：为什么单靠对抗或水印都不够

人脸换脸模型这两年门槛降得厉害，一张源图加一张目标图，几秒钟就能生成以假乱真的结果。内容平台和模型评测方现在面对的问题很具体：既要阻止伪造图流出，又要在伪造图已经流出后能追到源头。单靠对抗扰动，图确实能被破坏，但破坏完就成了一张废图，谁改的、从哪来的完全查不到；单靠水印，图能溯源，可换脸模型照样能把脸换掉，水印还在但内容已经假了。

2024 年 TIFS 上的 Dual Defense 这篇论文把这两条路合到了一起：一次性嵌入一个鲁棒对抗水印，既让换脸模型的输出崩掉，又能在崩掉的输出里把水印提出来完成溯源。核心思路是水印编码器在原始域做特征仿真攻击（OFEA），让水印本身带上对抗性，同时用小波域结构信息补偿损失把不可见性拉回来。

这篇不是论文导读，是工程落地。我会按三条链路拆：对抗扰动怎么配、可溯源水印怎么嵌和提、不可见鲁棒水印怎么测。面向的是要在自有数据上跑端到端复现的人，所以每个环节都给可复制的配置和验证动作。如果你只是想了解论文讲了什么，看到这里就够了；想动手复现，往下走。

需要说明的是，复现过程里模型权重、推理接口这些资源，我用 TaoToken 做统一接入，后面配置章节会给具体的 Base URL、Key 和 Model ID 三件套。这不是必须的，你用自己的推理服务也行，只是我实测下来这样切换模型最省事。

2. TaoToken 前置：把推理链路先接稳

Dual Defense 的复现不是纯本地训练就完事。水印编码器、解码器、判别器可以本地训，但换脸模型（FaceSwap）的推理、对抗样本的效果核验、跨数据集的批量测试，这些都需要稳定的模型推理接口。尤其是你要对比不同换脸模型（SimSwap、FaceShifter、InSwapper 这类）被对抗水印破坏的程度时，逐个本地部署成本太高。

我试过用 TaoToken 把这条推理链路统一起来。它的定位是模型接入层，官网在 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 入口是 https://taotoken.net/api 。对 Dual Defense 这种需要反复调换脸模型做鲁棒性测试的场景，好处是 Base URL 和 Key 固定，换模型只改 Model ID，测试脚本不用动。

先说清楚它在这个项目里承担什么：不是替代你的训练框架，也不是替代换脸模型本身，而是把「调用换脸模型做推理」这一步标准化。你的水印编码器输出带水印的图，这张图要送进换脸模型看破坏效果，这个调用就走 TaoToken。

接入前你需要准备三样东西，这也是后面所有配置的基础：

Key 的生成入口在控制台的 API Keys 页面，地址是 https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite 。生成后先别急着写进代码，用环境变量存，后面配置章节会给具体做法。

如果你要长期跑批量测试或者做 Agent 化的自动化评测，可以考虑 Coding Plan，入口在 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite 。单次验证模型效果的话，直接用模型对话页面更快，地址是 https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=model_chat&utm_campaign=rewrite 。

有一点要提醒：TaoToken 是接入层，不是让你跳过换脸模型本身的部署。你要测的换脸模型得先在 TaoToken 侧可用，或者你有自己的推理端点。接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，配置前扫一遍能省不少排查时间。

3. 可复制配置：水印嵌入、对抗生成、推理接入三件套

这一节是全文最干的部分，三个配置文件直接抄。路径我按常见的项目结构给，你按自己的改。

3.1 水印嵌入与提取脚本参数

Dual Defense 的水印编码器是 U-Net 架构，解码器是五个 Conv-BN-ReLU 块加最大池化和残差。工程上你不需要从零实现，重点是参数对齐。下面是我用的watermark_config.yaml：

watermark: message_length: 256 # 水印信息长度，论文用定制 ID，工程上建议 256 bit encoder: base_channels: 64 use_senet: true # 通道注意力，控制嵌入强度 kernel_size: 3 stride: 1 decoder: num_blocks: 5 use_residual: true pool_after_each: true discriminator: conv_layers: 3 use_avg_pool: true output_activation: sigmoid loss_weights: lambda_adv: 1.0 # 对抗损失权重 lambda_en: 10.0 # 图像质量损失 lambda_s: 5.0 # 结构信息补偿损失 lambda_wm_en: 1.0 # 带水印图的水印提取损失 lambda_wm_adv: 1.0 # 被破坏图的水印提取损失 training: epochs: 100 batch_size: 8 lr: 1e-4 random_message_per_batch: true # 防止过拟合

关键参数解释：lambda_s是结构信息补偿的权重，论文里对 Y 通道做 DWT 后取低频子带算 SSIM 损失，这个权重太小对抗性会压不住图像质量，太大对抗性又不够，5.0 是我在 FFHQ 子集上试出来的平衡点。random_message_per_batch必须开，否则解码器会对固定水印过拟合，换一批水印就提不出来。

嵌入和提取的命令行接口：

# 嵌入水印（同时带对抗性） python embed.py \ --input ./data/faces \ --output ./data/watermarked \ --config ./configs/watermark_config.yaml \ --checkpoint ./ckpt/encoder_best.pth \ --message ./data/messages/user_001.bin # 提取水印（从带水印图或被换脸破坏的图） python extract.py \ --input ./data/swapped_output \ --output ./results/extracted_messages \ --config ./configs/watermark_config.yaml \ --checkpoint ./ckpt/decoder_best.pth

3.2 对抗样本生成配置

OFEA 的核心是拿水印图在目标人脸解码器里的原始域特征，去逼近源人脸解码器的特征。工程上你要控制的是攻击强度和梯度稳定性。论文提到非针对性攻击会导致梯度爆炸，所以必须用目标人脸重构特征做针对性攻击。配置如下：

ofea: target_layer: -2 # 取 sigmoid 前一层的特征图 loss_type: mse # L_adv = MSE(I_target, I_source) gradient_clip: 1.0 # 防梯度爆炸 attack_epochs: 50 # 论文约 50 epoch 达到较成功的换脸破坏 progressive: true # 渐进优化，先保图像质量再加强对抗 feature_domain: original # 原始域，不是像素域

target_layer: -2对应论文里说的「提取 sigmoid 的输入特征图」，因为 sigmoid 会把数据压到 [0,1] 缩小搜索空间。gradient_clip是我加的，论文没明说但实测不加会在第 10 到 15 个 epoch 附近炸掉。

3.3 推理接入配置（Base URL + Key + Model ID 三件套）

换脸模型推理走 TaoToken，配置文件taotoken_client.json：

{ "base_url": "https://taotoken.net/api", "api_key": "${TAOTOKEN_API_KEY}", "model_id": "your-faceswap-model-id", "timeout": 120, "max_retries": 3, "endpoints": { "chat": "/v1/chat/completions", "images": "/v1/images/generations" } }

环境变量设置：

export TAOTOKEN_API_KEY="sk-你的key"

Python 调用示例：

import os, json, requests with open("configs/taotoken_client.json") as f: cfg = json.load(f) cfg["api_key"] = os.environ["TAOTOKEN_API_KEY"] resp = requests.post( cfg["base_url"] + cfg["endpoints"]["images"], headers={"Authorization": f"Bearer {cfg['api_key']}"}, json={ "model": cfg["model_id"], "prompt": "face swap source and target", "image": open("data/watermarked/001.png", "rb").read().hex() }, timeout=cfg["timeout"] ) print(resp.status_code, resp.json())

三件套缺一不可：Base URL 决定请求打到哪，Key 决定能不能过鉴权，Model ID 决定用哪个换脸模型。换模型测试时只改model_id，其他不动。

4. 验证请求与成功结果：怎么确认复现对了

配置写完不代表跑通，这一节给验证动作和预期结果。分三步：水印提取验证、对抗破坏验证、端到端溯源验证。

4.1 水印提取验证

先确认水印本身能嵌能提。用同一张图，嵌入前记录原始 message，嵌入后提取，算 bit 准确率：

import numpy as np def bit_accuracy(original, extracted): original = np.unpackbits(np.frombuffer(original, dtype=np.uint8)) extracted = np.unpackbits(np.frombuffer(extracted, dtype=np.uint8)) return np.mean(original == extracted) acc = bit_accuracy(open("data/messages/user_001.bin","rb").read(), open("results/extracted_messages/001.bin","rb").read()) print(f"Bit accuracy: {acc:.4f}")

预期结果：干净带水印图提取准确率应该在 0.99 以上。如果低于 0.95，检查lambda_wm_en是不是太小，或者解码器训练轮数不够。

4.2 对抗破坏验证

把带水印图送进换脸模型，看输出。这里用 TaoToken 调推理：

curl -X POST https://taotoken.net/api/v1/images/generations \ -H "Authorization: Bearer $TAOTOKEN_API_KEY" \ -H "Content-Type: application/json" \ -d '{ "model": "your-faceswap-model-id", "prompt": "swap face", "image": "'$(base64 -w0 data/watermarked/001.png)'" }' -o results/swapped/001.png

预期结果：换脸输出应该出现明显失真，目标人脸的眉毛、轮廓等特征会部分暴露（论文里提到约 50 epoch 时换脸结果开始对齐水印图的重建图，后续 epoch 目标特征干扰加剧）。如果输出还是干净的换脸图，说明对抗性没生效，检查lambda_adv和target_layer。

4.3 端到端溯源验证

从被破坏的换脸图里提水印：

python extract.py \ --input ./results/swapped \ --output ./results/trace \ --config ./configs/watermark_config.yaml \ --checkpoint ./ckpt/decoder_best.pth

预期结果：即使图被换脸破坏，提取出的水印 bit 准确率仍应在 0.85 以上（论文的鲁棒性指标）。低于这个值说明解码器对破坏分布的泛化不够，需要把lambda_wm_adv调大重训。

完整的鲁棒性测试矩阵建议覆盖这几类：

5. 本篇常见错排查：401、local proxy failed、reading choices、OAuth

复现过程里报错集中在接入和训练两块，逐个说。

401 Unauthorized：最常见。先确认TAOTOKEN_API_KEY环境变量真的导进去了，echo $TAOTOKEN_API_KEY看有没有值。如果值对但还 401，检查请求头是不是Authorization: Bearer sk-xxx，少 Bearer 或多了空格都会挂。还有一种情况是 Key 生成后没复制全，去 https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite 重新生成一个。

local proxy failed：这个报错通常出现在你本地配了转发但目标不可达。先确认 Base URL 是https://taotoken.net/api而不是带 UTM 的官网地址，UTM 参数只用于网页跳转，API 请求不要带。然后检查你的网络环境能不能直连，curl -I https://taotoken.net/api看返回码。如果本地有转发规则，确认规则没把taotoken.net也拦进去。

reading choices 报错：这个一般出现在解析响应时。TaoToken 的响应结构和 OpenAI 兼容，图像生成类接口返回的是data数组不是choices。如果你拿 chat 接口的解析逻辑去解图像接口，就会报 reading choices。检查你的解析代码，图像接口用resp.json()["data"]。

OAuth 相关报错：如果你用 Claude Code 或类似工具接入，OAuth 流程走的是另一套。Claude Code 的接入配置在 https://taotoken.net/claude-code-anthropic?utm_source=taotoken_aicg_blog_end&utm_content=claude_code&utm_campaign=rewrite ，按文档配 Base URL 和 Key。OAuth 报错多半是回调地址没对上，或者 Key 权限不够。

训练侧报错：梯度爆炸是最常见的，症状是 loss 变成 nan。加gradient_clip: 1.0，或者把lambda_adv从 1.0 降到 0.5 先跑通再加。水印提取准确率上不去，先查random_message_per_batch开没开，再查解码器残差结构有没有接对。

Codex auth.json 配置：如果你用 Codex 类工具，认证文件在~/.codex/auth.json，格式是：

{ "base_url": "https://taotoken.net/api", "api_key": "sk-你的key", "model": "your-model-id" }

三件套 Base URL、Key、Model ID 都要写全，缺一个就连不上。

6. 从复现到落地：内容平台和评测方的接入路径

跑通单张图的端到端之后，落地要考虑的是批量和自动化。内容平台的场景是：用户上传图，平台先嵌水印再放行，一旦发现换脸伪造图，从图里提水印追上传者。评测方的场景是：拿一批换脸模型，测 Dual Defense 对每个模型的破坏率和溯源成功率。

批量接入的话，把第 3 节的配置封装成服务，推理走 TaoToken 的 API。单次验证模型效果用模型对话页面最快，地址是 https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=model_chat&utm_campaign=rewrite 。长期跑批量评测或者要做 Agent 化自动测试，Coding Plan 更合适，入口在 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding_plan&utm_campaign=rewrite 。

接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，配置细节和接口变更都以文档为准。API Key 管理在 https://taotoken.net/console/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api_keys&utm_campaign=rewrite 。

最后说个实测经验：Dual Defense 的对抗性和不可见性是一对矛盾，lambda_adv和lambda_s的比值决定了你偏向哪边。内容平台建议偏不可见性（lambda_s调大），因为用户上传的图不能肉眼可见地糊；评测方建议偏对抗性（lambda_adv调大），因为要测的是破坏上限。这个权衡没有标准答案，按你的场景调。