Czy detektory obrazów AI można oszukać?

Dlaczego każdy detektor oparty na pikselach można oszukać

Detektor odczytuje statystyczną teksturę występującą pomiędzy sąsiadującymi pikselami. Ta tekstura stanowi dowód. Wszystko, co ją modyfikuje, usuwa dowody, a istnieje wiele prozaicznych powodów, dla których tekstura ta ulega zmianie.

Jest to właściwość samej metody, a nie wada konkretnego produktu. Narzędzie, które twierdzi, że nie da się go oszukać, albo mierzy coś innego niż piksele, albo nie jest z Tobą szczerze.

Kategorie opisane zamiast instrukcji

Teksty te zostały przygotowane na poziomie wymaganym przez osobę zajmującą się ochroną. Świadomość istnienia danej kategorii pozwala rozpoznać jej sygnaturę w wynikach. Nie jest to żaden przepis, a żadna z tych pozycji nie ma charakteru instrukcji krok po kroku.

Ostatni element po prawej ma największe znaczenie, ponieważ najtrudniej go wykryć za pomocą pojedynczej liczby. Prawdziwa fotografia z umieszczonym w niej wygenerowanym obiektem zachowuje autentyczną teksturę w większości kadru.

Jak mapa obszarów sobie z tym radzi

Ocena kadru w podziale na kafelki to bezpośrednia odpowiedź na montaż. Średnia dla całego kadru jest zaniżana przez autentyczne części, ale kafelek zawierający wklejony element nie jest z niczym uśredniany.

Jakie koszty ponosi osoba próbująca oszukać system

Każda technika ukrywająca sygnał niszczy również obraz. Ten kompromis to najbardziej użyteczna wiedza dla osoby broniącej się.

Obraz, który został poddany zbyt silnej obróbce, aby oszukać detektor, zazwyczaj wygląda na spreparowany. Jeśli zdjęcie ma podejrzanie niską jakość i jest przedstawiane jako dowód czegokolwiek, sama ta jakość stanowi już ustalenie.

Czego nie da się tak łatwo sfałszować

• Historia publikacji. Zdjęcie zindeksowane lata temu nie zostało wygenerowane w zeszłym miesiącu. Wyszukiwanie wsteczne pozostaje najsilniejszą pojedynczą metodą sprawdzenia.
• Ważne Content Credentials. Podpisany manifest powiązany z bieżącymi pikselami ma charakter kryptograficzny. Można go usunąć, ale nie da się go sfałszować.
• Spójna scena fizyczna. Cienie, odbicia i ciągłość między obiektami to nadal elementy, na których generatory zawodzą, a obróbka tego nie naprawia.
• Plik, który ktoś już posiada. Poproś nadawcę o oryginał z urządzenia, którym go zrobiono, i zobacz, co stanie się dalej.

Gdzie Cię to stawia

Zdeterminowany, techniczny przeciwnik może pokonać detektor pikseli. To prawda, ale nie jest to powszechny przypadek. Obrazy, które większość ludzi sprawdza, zostały stworzone bez dbałości, udostępnione mimochodem i zachowały swoje dowody w nienaruszonym stanie lub straciły je w aplikacji czatu, a nie w wyniku działań atakującego.

Niski wynik na mocno zdegradowanym obrazie należy traktować jako brak odpowiedzi, a nie jako czysty wynik. To rozstrzygnięcie radzi sobie z niemal każdą próbą ominięcia zabezpieczeń, z jaką się spotkasz, bez konieczności znajomości techniki, która za nią stoi.

Wyścigi zbrojeń są asymetryczne

Generowanie i wykrywanie nie rozwijają się w tym samym tempie, a nierównowaga działa w jedną stronę. Nowy generator pojawia się jako nieznane dane dla każdego istniejącego detektora. Ponowne trenowanie następuje po wydaniu, a nie przed nim, więc zawsze istnieje okno czasowe, w którym najnowsze dane wyjściowe są niewidoczne.

To okno nie jest krótkie. Zebranie wystarczającej liczby wyników z nowego modelu, ich ocena, ponowne trenowanie i wdrożenie zajmuje w najlepszym razie tygodnie. W tym okresie detektor będzie oceniał nowe generacje jako prawdziwe, ponieważ nie przypominają niczego, do czego nauczono go je oznaczać.

To najsilniejszy argument praktyczny przemawiający za tym, aby nigdy nie polegać na jednym sygnale. Dane o proweniencji i historia publikacji nie przejmują się tym, jaki model stworzył obraz, więc działają nadal w oknie czasowym, którego analiza pikseli nie jest w stanie objąć.