Wodny znak SynthID od Google'a: Wytrzymały, ale czy rozwiąże problem dezinformacji AI?

Skala mediów generowanych przez sztuczną inteligencję jest ogromna. Laboratorium Starling, wspólny projekt badawczy Uniwersytetu Stanforda i Uniwersytetu Południowej Kalifornii, szacuje, że ludzkości zajęło 149 lat od wynalezienia aparatu (do 1975 roku), aby stworzyć 1,5 miliarda obrazów. Generatywna sztuczna inteligencja osiągnęła ten sam wynik w zaledwie 18 miesięcy. Wiosną Google ogłosiło na konferencji I/O, że jego narzędzia zostały wykorzystane do stworzenia ponad 100 miliardów obrazów i filmów AI w ciągu zaledwie kilku lat. Firma połączyła tę statystykę z szeregiem partnerstw mających na celu rozszerzenie wykorzystania technologii SynthID, która ma etykietować treści generowane przez AI i pomagać w identyfikacji autentyczności. Google twierdzi, że SynthID jest wystarczająco wytrzymały, aby przetrwać edycje, a jego odporność zostanie przetestowana, gdy zacznie być używany przez firmy takie jak OpenAI, Runway i Nvidia.

Dwa podejścia do etykietowania treści AI

Obecnie istnieją dwa główne podejścia do etykietowania treści generowanych przez sztuczną inteligencję:

• Niewidzialne znaki wodne, takie jak SynthID, które są zakodowane w pikselach obrazu, wideo lub w przebiegu fali dźwiękowej.
• Schematy metadanych, takie jak te stosowane przez Coalition for Content Provenance and Authenticity (C2PA). Google wykorzystuje oba rozwiązania do znakowania swoich treści AI. C2PA jest kryptograficznie bezpieczne, ale łatwe do usunięcia – wystarczy edytować i zapisać obraz lub zrobić zrzut ekranu, aby usunąć metadane.

Google DeepMind, za pośrednictwem naukowca Pushmeeta Kohliego, podkreśla, że zespół włożył wiele pracy w zapewnienie trwałości SynthID. Kohli stwierdził, że technologia była rozwijana z założeniem, że będzie atakowana, dlatego skupiono się na jej odporności na różne transformacje, takie jak dodawanie filtrów czy kadrowanie.

Testy odporności SynthID

Przeprowadzone testy, symulujące utratę danych wynikającą z wielokrotnego udostępniania i pobierania, wykazały imponującą wytrzymałość SynthID. Użyto biblioteki Python Pillow do zastosowania losowych wartości kompresji i zmiany rozmiaru. Testy obejmowały obrazy stworzone całkowicie przez AI oraz oryginalne zdjęcia edytowane przez AI, oba ze znakiem wodnym SynthID.

Po 300 cyklach symulowanego udostępniania, które zamieniły oryginalne obrazy w ledwo rozpoznawalne plamy, znak wodny SynthID nadal działał. Można to sprawdzić, przesyłając obrazy do Gemini i prosząc o weryfikację SynthID. Nawet zrzut ekranu pełnego obrazu zachowywał specjalne piksele, umożliwiając wykrycie znaku wodnego.

Odporność na kadrowanie również została potwierdzona, choć z pewnymi ograniczeniami. Po 300 cyklach kompresji, usunięcie 20 procent krawędzi obrazu było wystarczające, aby SynthID stał się niewykrywalny. Większe kadrowanie, np. o 50 procent, mogło usunąć znak wodny już po około 250 iteracjach kompresji. Mimo to, obrazy były już na tyle zniekształcone, że ich użyteczność była minimalna.

Ograniczenia i wyzwania SynthID

Choć SynthID jest imponująco wytrzymały, nie jest pozbawiony wad i ograniczeń. Google nie twierdzi, że technologia jest niewrażliwa na ataki, a oryginalny artykuł naukowy wskazuje, że znak wodny nie jest przeznaczony do wytrzymywania celowych ataków. Istnieje ryzyko, że zmotywowani cyberprzestępcy znajdą sposób na obejście SynthID, co mogłoby sprawić, że miliardy obrazów i filmów AI nagle straciłyby swoje oznaczenia. Google zdaje sobie sprawę z tego ryzyka i planuje aktualizacje, aby przeciwdziałać takim atakom.

Bezpieczeństwo SynthID jest również wzmocnione poprzez ograniczenie dostępu do narzędzi weryfikacyjnych. Google nie udostępnia publicznego API ani strony internetowej do wykrywania SynthID, a użytkownicy mogą wykonać tylko około 10 sprawdzeń obrazów dziennie za pośrednictwem Gemini. To ma zapobiegać wykorzystywaniu narzędzia do opracowywania metod omijania zabezpieczeń.

Kolejnym problemem jest fragmentacja znaków wodnych. Chociaż firmy takie jak OpenAI i Runway korzystają z technologii SynthID, ich znaki wodne różnią się od tych stosowanych przez Google. Oznacza to, że detektor Google'a nie rozpoznaje znaków wodnych OpenAI i odwrotnie. Rzecznik Google'a przyznał, że doświadczenie to jest dalekie od optymalnego i firma pracuje nad stworzeniem bardziej interoperacyjnego ekosystemu.

Przyszłość uwierzytelniania treści

Nawet jeśli problemy z użytecznością znaków wodnych zostaną rozwiązane, nie będą one jedynym sposobem na określenie, co jest prawdziwe. Zawsze będą istniały sposoby na tworzenie treści AI bez żadnego etykietowania. Wiele firm oferuje generowanie obrazów i wideo, a nie wszystkie zgodzą się na stosowanie technologii znakowania wodnego czy metadanych. Co więcej, użytkownicy mogą uruchamiać własne modele AI na swoich komputerach, generując treści bez żadnych oznaczeń.

Adam Rose, pracownik i starszy doradca w Starling Lab, podkreśla, że problemem nie są tylko obrazy produkowane przez duże firmy, ale także te tworzone przez osoby korzystające z własnych modeli. Istnieje wiele otwartych modeli, które generują obrazy bez etykietowania, a ich rozwój jest praktycznie nieograniczony. W efekcie, nie można polegać wyłącznie na znakach wodnych, aby odróżnić prawdę od fałszu. W przyszłości, w świecie nieograniczonej podaży treści, wzrośnie zapotrzebowanie na uwierzytelnione treści, czyli sposoby na udowodnienie, że coś jest tym, za co się podaje. Znak wodny SynthID, choć zaawansowany, jest tylko jednym z elementów tej złożonej układanki, a jego rola w walce z dezinformacją będzie wymagała ciągłego rozwoju i współpracy w całej branży.

Źródło: arstechnica.com