# Jak omija się znaki wodne SynthID: techniczna analiza ataku na oznaczanie AI Google
Programista Alosh Denny zademonstrował metodę usuwania niewidocznych znaków wodnych SynthID, używanych przez Google do identyfikacji obrazów generowanych przez model Gemini. Jego podejście pozwala oszukać oficjalny detektor SynthID, sprawiając, że system uznaje sfałszowany obraz za oryginalny. To podważa niezawodność obecnych rozwiązań do oznaczania treści generowanych.
Zasada działania SynthID i jej słabości
SynthID to system cyfrowego oznaczania od Google, wbudowywany w obrazy tworzone za pomocą Gemini. W przeciwieństwie do tradycyjnych znaków wodnych, znacznik nie jest widoczny dla użytkownika i nie jest przechowywany w EXIF ani innych metadanych. Zamiast tego jest kodowany w wartościach pikseli na poziomie niedostrzegalnym dla ludzkiego oka, ale rozpoznawalnym przez specjalistyczny detektor.
Kluczową cechą SynthID jest rozproszenie sygnału po składowych częstotliwościowych obrazu z naciskiem na zielony kanał kolorowy. To czyni znacznik odpornym na proste manipulacje (np. ponowne kompresowanie JPEG), ale tworzy potencjalny punkt ataku: jeśli napastnik zidentyfikuje wzorce częstotliwościowe znacznika, może je odwrócić lub stłumić.
Metoda inżynierii odwrotnej znaczników
Do analizy Alosh Denny wykorzystał dwa obraz testowe: całkowicie czarny i całkowicie biały. Przepuściwszy je przez Gemini, uzyskał „czyste" nośniki zawierające tylko szum i znak wodny SynthID bez treści semantycznej. Pozwoliło to wyizolować sygnał znacznika od treści wizualnej.
Za pomocą analizy spektralnej (w szczególności dwuwymiarowego dyskretnego przekształcenia kosinusowego) zidentyfikowano charakterystyczne współrzędne częstotliwościowe, w których występuje największe stężenie znacznika. Okazało się, że główny wkład przypada na zielony kanał przestrzeni RGB.
Na podstawie tych danych opracowano słownik pozycji częstotliwościowych dla konkretnych rozdzielczości:
- 1024 × 1024 pikseli — standardowa rozdzielczość dla wielu modeli generatywnych.
- 1536 × 2816 pikseli — format pionowy, często używany w aplikacjach mobilnych.
Ważne: ponieważ SynthID dostosowuje pozycje znaczników do rozdzielczości, nie istnieje uniwersalne rozwiązanie — dla każdego rozmiaru potrzebny jest osobny profil.
Algorytm usuwania znaku wodnego
Proces usuwania składa się z następujących etapów:
- Przekształcenie obrazu do dziedziny częstotliwościowej (np. za pomocą DCT).
- Identyfikacja docelowych częstotliwości na podstawie wcześniej zebranego słownika.
- Odwrócenie lub stłumienie amplitudy sygnału w tych częstotliwościach.
- Odwrotne przekształcenie do dziedziny przestrzennej.
Krytycznie ważne jest zachowanie składowych niskoczęstotliwościowych, odpowiedzialnych za ogólną strukturę i kompozycję obrazu. Autor twierdzi, że jego metoda minimalizuje zniekształcenia: po obróbce wartość PSNR (pikowe otnoshenie sygnał/szum) wynosi 43 dB, co odpowiada zmianom praktycznie niewidocznym dla ludzkiego oka.
Konsekwencje dla ekosystemu treści generatywnych
Skuteczny atak na SynthID pokazuje fundamentalny problem wszystkich ukrytych znaków wodnych: jeśli algorytm detekcji jest publiczny lub odwracalny, prędzej czy później znajdzie się sposób na jego ominięcie. Jest to szczególnie istotne w obliczu rosnącego oszustwa z treściami AI — od fałszywych wiadomości po podrabiane recenzje i obrazy produktów.
Google na razie nie zaprezentowało zaktualizowanej wersji SynthID z ochroną przed takimi atakami. Eksperci wskazują jednak możliwe sposoby zwiększenia odporności:
- Użycie adaptacyjnych, zależnych od treści znaczników.
- Szyfrowanie pozycji częstotliwościowych z użyciem klucza sekretnego.
- Łączenie kilku metod oznaczania (np. metadane + poziom pikselowy + rejestr blockchain).
Na razie każdy serwis opierający się wyłącznie na SynthID Detector jest podatny na takie manipulacje.
Co ważne
- SynthID używa niewidocznego znacznika częstotliwościowego, głównie w zielonym kanale.
- Atak opiera się na inżynierii odwrotnej poprzez analizę czystych obrazów (czarny/biały tło).
- Usunięcie możliwe tylko przy znanej rozdzielczości obrazu — wymaga profilu dla każdego rozmiaru.
- Jakość obrazu po obróbce pozostaje wysoka (PSNR ≈ 43 dB).
- Obecna implementacja SynthID nie zapewnia kryptograficznej ochrony sygnału.
— Editorial Team
Brak komentarzy.