Por qué se puede engañar a cualquier detector de píxeles
Un detector lee la textura estadística entre píxeles adyacentes. Esa textura es la evidencia. Cualquier proceso que la reescriba elimina la prueba, y existen muchos motivos habituales para reescribirla.
Esto es una propiedad del método y no un fallo de un producto concreto. Una herramienta que afirme que no se puede engañar está midiendo algo distinto a los píxeles o bien no está siendo honesta.
Las categorías, descritas sin servir de instrucción
Están redactadas con el enfoque que requiere un analista. Conocer la existencia de una categoría permite reconocer su rastro en un resultado. No es una receta y ninguna se explica paso a paso.
Accidental y eficaz
- Hacer una captura de pantalla de la imagen
- Publicar a través de una plataforma que recomprime
- Redimensionar para una aplicación de mensajería
- Guardar una foto de una pantalla
Deliberada y más costosa
- Añadir ruido para enmascarar la textura
- Ciclos repetidos de reajuste de tamaño y redecodificación
- Imprimir y volver a fotografiar
- Componer partes generadas dentro de un encuadre real
El último elemento de la derecha es el que más importa, porque es el más difícil de detectar con un solo número. Una fotografía real con un objeto generado colocado en ella conserva la textura auténtica en la mayor parte del encuadre.
Lo que hace el mapa de regiones al respecto
Puntuar el encuadre por teselas es la respuesta directa a la composición. El promedio de todo el encuadre se ve arrastrado a la baja por las partes auténticas, pero la tesela que contiene la inserción no se promedia con nada.
La inserción se limita a una tesela. Ese es el patrón que el promediado destruye y que la división por teselas conserva.
Lo que le cuesta la evasión a quien la realiza
Cada técnica que oculta la señal también daña la imagen. Esa compensación es lo más útil que puede saber un defensor.
| Técnica | Lo que oculta | Lo que les cuesta |
|---|---|---|
| Recompresión fuerte | Textura fina que lee el modelo | Artefactos visibles, detalle suave |
| Ruido añadido | Regularidad estadística | Una imagen con grano que parece incorrecta |
| Cambios de tamaño repetidos | Relación entre píxeles | Suavidad y distorsión en los bordes |
| Imprimir y volver a fotografiar | Casi todo | Efecto moiré, reflejos, una foto que parece la foto de una foto |
| Composición dentro de un encuadre real | El promedio de todo el encuadre | Nada, por lo que la división por teselas es importante |
Una imagen que ha sido blanqueada lo suficiente como para superar un detector suele parecer blanqueada. Si una imagen es sospechosamente de baja calidad y al mismo tiempo se ofrece como prueba de algo, la calidad en sí misma es un hallazgo.
Lo que no se puede falsificar tan fácilmente
- Un historial de publicación. Una imagen indexada hace años no se generó el mes pasado. La búsqueda inversa sigue siendo la comprobación individual más sólida.
- Un Credencial de Contenido válido. Un manifiesto firmado y vinculado a los píxeles actuales es criptográfico. Se puede eliminar, pero no se puede falsificar.
- Una escena física coherente. Las sombras, los reflejos y la continuidad entre objetos son los aspectos en los que los generadores siguen fallando, y el blanqueo no los soluciona.
- Un archivo que alguien más ya tiene. Pida al remitente el original del dispositivo que tomó la foto y observe lo que sucede a continuación.
En qué posición le deja esto
Un adversario decidido y técnico puede derrotar a un detector de píxeles. Eso es cierto y no es el caso más común. Las imágenes que la mayoría de la gente comprueba se hicieron sin cuidado, se compartieron informalmente y conservan sus pruebas intactas o las perdieron en una aplicación de mensajería en lugar de a manos de un atacante.
Interprete una puntuación baja en una imagen muy degradada como una falta de respuesta en lugar de como un resultado limpio. Esa distinción resuelve casi cualquier evasión con la que se encuentre sin necesidad de saber nada sobre la técnica que hay detrás.
La carrera armamentística es asimétrica
La generación y la detección no mejoran a la misma velocidad, y el desequilibrio va en un solo sentido. Un nuevo generador llega como datos no vistos para todos los detectores existentes. El reentrenamiento es posterior al lanzamiento en lugar de anterior, por lo que siempre hay un margen en el que la producción más reciente es invisible.
El margen no es corto. Recopilar suficiente material de un nuevo modelo, etiquetarlo, reentrenar y desplegar lleva semanas en el mejor de los casos. Durante ese periodo, un detector puntuará las nuevas generaciones como reales, porque no se parecen a nada de lo que se le ha enseñado a señalar.
Este es el argumento práctico más sólido para no confiar nunca en una sola señal. A los datos de procedencia y al historial de publicación no les importa qué modelo hizo una imagen, por lo que siguen funcionando durante el periodo que el análisis de píxeles no puede cubrir.
- 1 Se lanza un nuevo generador El resultado no ha sido visto por ningún detector
- 2 Periodo a ciegas Semanas. Los nuevos resultados puntúan como reales
- 3 Muestras recopiladas Conjunto de datos de entrenamiento etiquetados preparado
- 4 Detector reentrenado La cobertura se pone al día, hasta el siguiente lanzamiento