Contournement des filigranes SynthID : analyse technique

Contourner les filigranes SynthID : Analyse technique de l'attaque contre l'étiquetage IA de Google

Le développeur Alosh Denny a démontré une méthode pour supprimer les filigranes invisibles SynthID que Google utilise pour identifier les images générées par le modèle Gemini. Son approche trompe le détecteur officiel SynthID, incitant le système à considérer une image falsifiée comme originale. Cela jette un doute sur la fiabilité des solutions actuelles pour l'étiquetage du contenu génératif.

Comment fonctionne SynthID et ses vulnérabilités

SynthID est le système de filigranage numérique de Google intégré dans les images créées via Gemini. Contrairement aux filigranes traditionnels, le marquage est invisible aux utilisateurs et n'est pas stocké dans EXIF ou d'autres métadonnées. Il est au contraire encodé dans les valeurs des pixels à un niveau imperceptible pour les humains mais détectable par un détecteur spécialisé.

Une caractéristique clé de SynthID est de répartir le signal à travers les composantes de fréquence de l'image, avec une emphase sur le canal de couleur verte. Cela rend le marquage résistant aux manipulations simples (comme la recompression JPEG) mais crée un vecteur d'attaque potentiel : si un attaquant peut identifier les motifs de fréquences du filigrane, il peut les inverser ou les supprimer.

Ingénierie inverse des filigranes

Pour l'analyse, Alosh Denny a utilisé deux images de test : entièrement noire et entièrement blanche. En les faisant passer par Gemini, il a obtenu des porteuses « propres » ne contenant que du bruit et le filigrane SynthID, sans aucun contenu sémantique. Cela a permis d'isoler le signal du filigrane du contenu visuel.

L'analyse spectrale (spécifiquement, la transformée en cosinus discret 2D) a révélé des coordonnées de fréquences caractéristiques présentant la plus forte concentration de filigrane. Il s'est avéré que la contribution principale provient du canal vert dans l'espace RGB.

Sur la base de ces données, un dictionnaire des positions de fréquences a été compilé pour des résolutions spécifiques :

• 1024 × 1024 pixels — résolution standard pour de nombreux modèles génératifs.
• 1536 × 2816 pixels — format vertical souvent utilisé dans les applications mobiles.

Important : comme SynthID adapte les positions des filigranes à la résolution, il n'existe pas de solution universelle — un profil séparé est nécessaire pour chaque taille.

Algorithme de suppression des filigranes

Le processus de suppression comprend ces étapes :

• Transformer l'image dans le domaine fréquentiel (p. ex., via DCT).
• Identifier les fréquences cibles sur la base du dictionnaire pré-collecté.
• Inverser ou supprimer l'amplitude du signal à ces fréquences.
• Appliquer la transformée inverse vers le domaine spatial.

Il est crucial de préserver les composantes de basses fréquences responsables de la structure et de la composition globale de l'image. L'auteur affirme que sa méthode minimise les distorsions : après traitement, le PSNR (rapport signal sur bruit de crête) reste à 43 dB, ce qui signifie que les modifications sont pratiquement imperceptibles à l'œil humain.

Implications pour l'écosystème du contenu génératif

Cette attaque réussie contre SynthID met en lumière un problème fondamental de tous les filigranes invisibles : si l'algorithme de détection est public ou réversible, un contournement sera inévitablement trouvé. Cela est particulièrement pertinent face à l'essor des fraudes au contenu IA — des fausses nouvelles aux avis bidons et images de produits.

Google n'a pas encore publié de version mise à jour de SynthID protégée contre de telles attaques. Cependant, les experts suggèrent des moyens pour renforcer la résilience :

• Marquages adaptatifs, dépendants du contenu.
• Chiffrement des positions de fréquences à l'aide d'une clé secrète.
• Combinaison de plusieurs méthodes de marquage (p. ex., métadonnées + niveau pixel + registre blockchain).

Pour l'instant, tout service s'appuyant uniquement sur le Détecteur SynthID est vulnérable à ces manipulations.

Points clés à retenir

• SynthID utilise un marquage invisible basé sur les fréquences, principalement dans le canal vert.
• L'attaque repose sur l'ingénierie inverse via l'analyse d'images propres (fond noir/blanc).
• La suppression n'est possible qu'avec une résolution d'image connue — nécessite un profil pour chaque taille.
• La qualité de l'image après traitement reste élevée (PSNR ≈ 43 dB).
• L'implémentation actuelle de SynthID manque de protection cryptographique pour le signal.

— Editorial Team