# Jak se obcházejí vodní značky SynthID: technický rozbor útoku na AI označení Google
Vývojář Aloš Denni demonstroval metodu odstranění neviditelných vodních značek SynthID, které Google používá k identifikaci obrázků generovaných modelem Gemini. Jeho přístup umožňuje oklamat oficiální detektor SynthID a donutit systém, aby falšovaný obrázek považoval za originál. To zpochybňuje spolehlivost současných řešení pro označování generovaného obsahu.
Princip fungování SynthID a její zranitelnosti
SynthID je systém digitálního označování od Google, který se vkládá do obrázků vytvořených prostřednictvím Gemini. Na rozdíl od tradičních vodních značek není značka viditelná pro uživatele a neukládá se do EXIF nebo jiných metadat. Místo toho se kódováním do pixelových hodnot na úrovni, která je nedostupná lidskému vnímání, ale rozpoznatelná specializovaným detektorem.
Klíčovou vlastností SynthID je rozložení signálu do frekvenčních komponent obrázku s důrazem na zelený barevný kanál. To činí značku odolnou vůči jednoduchým manipulacím (např. překompresi JPEG), ale vytváří potenciální útočný bod: pokud útočník dokáže odhalit frekvenční vzorce značky, může je invertovat nebo potlačit.
Metoda reverzního inženýrství značek
Pro analýzu použil Aloš Denni dva kontrolní obrázky: úplně černý a úplně bílý. Po propustění přes Gemini získal „čisté“ nosiče obsahující pouze šum a vodní značku SynthID bez sémantického obsahu. To umožnilo izolovat signál značky od vizuálního obsahu.
Pomocí spektrální analýzy (konkrétně dvourozměrného diskrétního kosinusu – DCT) byly odhaleny charakteristické frekvenční souřadnice s největší koncentrací značky. Ukázalo se, že hlavní příspěvek připadá na zelený kanál RGB prostoru.
Na základě těchto dat byl sestaven slovník frekvenčních pozic pro konkrétní rozlišení:
- 1024 × 1024 pikselů — standardní rozlišení pro mnoho generačních modelů.
- 1536 × 2816 pikselů — vertikální formát, často používaný v mobilních aplikacích.
Důležité: protože SynthID přizpůsobuje pozice značek rozlišení, univerzální řešení neexistuje — pro každý rozměr je potřeba samostatný profil.
Algoritmus odstranění vodní značky
Proces odstranění se skládá z těchto fází:
- Převod obrázku do frekvenční oblasti (např. přes DCT).
- Identifikace cílových frekvencí na základě předem shromážděného slovníku.
- Inverze nebo potlačení amplitudy signálu v těchto frekvencích.
- Zpětný převod do prostorové oblasti.
Kriticky důležité je zachovat nízkofrekvenční komponenty odpovědné za celkovou strukturu a kompozici obrázku. Autor tvrdí, že jeho metoda minimalizuje zkreslení: po zpracování hodnota PSNR (píkovo-signál-šum poměr) zůstává na úrovni 43 dB, což odpovídá prakticky nepostřehnutelným změnám pro lidské oko.
Důsledky pro ekosystém generačního obsahu
Úspěšný útok na SynthID demonstruje zásadní problém všech skrytých vodních značek: pokud je algoritmus detekce veřejný nebo reverzibilní, dříve či později se najde způsob, jak ho obejít. To je obzvláště aktuální v době rostoucího podvodu s obsahem AI — od falešných zpráv po padělé recenze a obrázky zboží.
Google zatím nepředstavil aktualizovanou verzi SynthID s ochranou proti takovým útokům. Experti však uvádějí možné cesty zvyšování odolnosti:
- Použití adaptivních, závislých na obsahu značek.
- Šifrování frekvenčních pozic s použitím tajného klíče.
- Kombinace více metod označování (např. metadata + pixelová úroveň + blockchainový registr).
Zatím je jakýkoli servis spoléhající výhradně na SynthID Detector zranitelný vůči podobným manipulacím.
Co je důležité
- SynthID používá neviditelnou frekvenční značku převážně v zeleném kanálu.
- Útok je založen na reverzním inženýrství prostřednictvím analýzy čistých obrázků (černé/bílé pozadí).
- Odstranění je možné pouze při známém rozlišení obrázku — vyžaduje profil pro každý rozměr.
- Kvalita obrázku po zpracování zůstává vysoká (PSNR ≈ 43 dB).
- Současná implementace SynthID neposkytuje kryptografickou ochranu signálu.
— Editorial Team
Zatím žádné komentáře.