Jak naprawdę działa wykrywanie obrazów AI

Model typu vision transformer ocenia całą klatkę, ten sam model ocenia ją ponownie w postaci kafelków, niezależny czytnik sprawdza własne poświadczenia pliku, a te trzy wyniki są łączone w jedną skalibrowaną liczbę.

Na co patrzy model

Aparat rejestruje światło przez obiektyw na matrycy. Proces ten pozostawia określonego rodzaju szum, specyficzny wzór spadku ostrości ku krawędziom oraz konkretną relację między sąsiadującymi pikselami, która wynika z siatki matrycy i następującego po niej demosaikowania.

Model dyfuzyjny buduje obraz poprzez wielokrotne usuwanie szumu z pola losowego, aż wyłoni się coś spójnego. Ten proces również pozostawia specyficzny podpis, który jest inny. Wynik może być wizualnie doskonały i jednocześnie możliwy do odróżnienia statystycznie.

Dlatego detekcja działa również na zrzutach ekranu, gdy metadane już zniknęły. Podpis znajduje się w samych wartościach pikseli, a nie w nagłówku, więc skopiowanie pikseli oznacza skopiowanie dowodów.

Cztery etapy

1 Odczytaj plik Zdekodowany w przeglądarce, nigdy nieprzesłany na serwer
2 Oceń klatkę Vision transformer o rozdzielczości 384 pikseli kwadratowych
3 Oceń kafelki Ten sam model na nakładających się obszarach
4 Odczytaj poświadczenia C2PA i znaczniki generatora, jeśli są obecne

Dwie niezależne ścieżki dowodowe, które się zbiegają. Żadna z nich nie musi sama dźwigać ciężaru odpowiedzi.

Etap pierwszy: dekodowanie

Plik jest odczytywany z dysku przez stronę i dekodowany do surowych pikseli. HEIC, AVIF, TIFF i inne są obsługiwane przez natywne dekodery przeglądarki. Nic nie jest przesyłane, co wynika z miejsca wykonywania pracy, a nie z polityki stosowanej na serwerze.

Etap drugi: ocena całej klatki

Obraz jest skalowany do 384 pikseli kwadratowych i przepuszczany przez model vision transformer. Model zwraca surowe prawdopodobieństwo, że klatka jest syntetyczna. Liczba ta jest następnie kalibrowana, aby spójnie dopasować ją do opublikowanych przedziałów zamiast ulegać zniosom modelu.

Skalowanie powoduje utratę szczegółów, co jest pierwszym miejscem utraty dokładności. Jest to również nieuniknione: model ma stały rozmiar wejściowy, a fotografia o rozdzielczości 4000 pikseli musi zostać pomniejszona, aby się w nim zmieścić.

Etap trzeci: przepust kafelkowy

Klatka jest dzielona na nakładające się obszary, a każdy z nich jest oceniany osobno przez ten sam model. To właśnie odróżnia w pełni wygenerowany obraz od prawdziwej fotografii z dodanym elementem i jest to etap, którego pojedyncza liczba nie jest w stanie zastąpić.

14 11 16 12 88 13 9 15 10

Uśrednienie tych wartości daje 21. Widok kafelków zachowuje informacje, które uśrednianie niszczy.

Ten sam model uruchomiony dziewięć razy na nakładających się wycinkach. Wynik dla całej klatki tego obrazu wynosił 31.

Kafelki potrzebują wystarczającej liczby pikseli, aby miały znaczenie, dlatego obrazy o krótszym boku poniżej około 576 pikseli otrzymują wyłącznie ocenę całej klatki. W małym wycinku nie ma wystarczającej ilości szczegółów, aby ocenić go niezależnie.

Etap czwarty: własny rejestr pliku

Niezależnie od pikseli, plik jest sprawdzany pod kątem Content Credentials oraz znaczników generatora pozostawionych przez niektóre narzędzia. Ta ścieżka ma charakter kryptograficzny, a nie statystyczny: ważny podpis jest weryfikowany względem listy zaufanych źródeł, a nie szacowany.

Jak wyniki są łączone

Obie ścieżki nie są uśredniane, ponieważ mają różne wagi. Ważne poświadczenie potwierdzające zarejestrowanie przez aparat przeważa nad umiarkowanym wynikiem pikseli. Poświadczenie potwierdzające generowanie przez AI rozstrzyga kwestię samodzielnie.

Jak ważone są dowody
Dowód	Typ	Waga
Ważne poświadczenie deklarujące generowanie przez AI	Kryptograficzny	Rozstrzygający
Ważne poświadczenie deklarujące rejestrację przez aparat	Kryptograficzny	Bardzo silny
Znacznik generatora w pliku	Deklaratywny	Silny, ale możliwy do usunięcia
Wynik pikseli dla całej klatki	Statystyczny	Umiarkowany
Wyniki kafelków obszarów	Statystyczny	Umiarkowany i bardziej szczegółowy
Brak poświadczenia	Brak	Brak informacji w każdą stronę

Ostatni wiersz jest tym, który ludzie najczęściej odczytują błędnie. Brak poświadczenia nie jest negatywnym sygnałem. Zdecydowana większość kiedykolwiek stworzonych obrazów nie ma żadnych poświadczeń, a niemal każda platforma usuwa je podczas przesyłania.

Dlaczego to działa w przeglądarce

Model ma około 40 MB i działa za pośrednictwem technologii WebAssembly na urządzeniu użytkownika. To świadomy wybór architektoniczny, który niesie ze sobą trzy konsekwencje, które warto zrozumieć.

Nic nie jest przesyłane, więc żaden serwer nie przechowuje niczyich obrazów i nie ma tu relacji związanych z przetwarzaniem danych, które należałoby dokumentować.
Sprawdzenie nie generuje kosztów utrzymania, dlatego narzędzie może być darmowe i pozbawione liczników wykorzystania.
Pierwsze sprawdzenie trwa dłużej, ponieważ model pobiera się raz przed uruchomieniem. Kolejne sprawdzenia korzystają z zapisanego w pamięci podręcznej pliku.

Czego proces celowo nie robi

Kilka technik występujących w starszych narzędziach śledczych jest nieobecnych, ponieważ nie działają już na obrazach przesyłanych przez nowoczesne platformy.

Analiza poziomu błędów (ELA). Popularna, powszechnie błędnie interpretowana i nieskuteczna w przypadku każdego obrazu, który został zapisany ponownie więcej niż raz.
Wykrywanie kopiowania i wklejania. Znajduje zduplikowane obszary wewnątrz klatki, co pozwala wykryć klonowanie w starym stylu, a nie generowanie.
Werdykty oparte na metadanych. Dane EXIF są usuwane podczas przesyłania niemal wszędzie, więc sprawdzenie od nich zależne zawiedzie dokładnie na tych obrazach, które użytkownicy muszą zweryfikować.
Analiza ukierunkowana na twarze. Przydatna w jednej wąskiej kategorii manipulacji i całkowicie ślepa na wszystko inne.

Często zadawane pytania

Czy detektor sprawdza, co znajduje się na zdjęciu?

Nie. Nie ma pojęcia o obiektach, twarzach czy scenach. Mierzy statystyczne relacje między sąsiadującymi pikselami, dzięki czemu działa tak samo na portrecie, zdjęciu ulicznym i paragonie, i dlatego nie potrafi powiedzieć, czy zawartość obrazu jest prawdziwa.

Dlaczego pierwsze sprawdzenie trwa dłużej?

Model pobiera się jednorazowo (ma około 40 MB), zanim cokolwiek będzie mogło się uruchomić. Potem jest buforowany, a kolejne sprawdzenia uruchamiają się natychmiast. Jest to cena za działanie na Twoim urządzeniu zamiast na serwerze, w zamian za co otrzymujesz gwarancję, że nic nie jest przesyłane.

Jak surowy wynik modelu jest zamieniany na punktację?

Kalibracja. Model zwraca surowe prawdopodobieństwo, które jest mapowane na stałą skalę, dzięki czemu dana liczba zawsze oznacza to samo. Bez tego kroku wyniki zmieniałyby się za każdym razem, gdy model ulega modyfikacji, a żaden opublikowany przedział nie zachowałby swojego znaczenia.

Dlaczego stosuje się nakładające się kafelki zamiast zwykłej siatki?

Modyfikacja znajdująca się na granicy kafelka zostałaby podzielona na dwa obszary i osłabiona w obu. Nakładanie na siebie wycinków oznacza, że każda zmiana w całości mieści się w co najmniej jednym obszarze, co zapobiega rozmyciu małej wstawki w procesie uśredniania.

Czy potrafi określić, który generator stworzył obraz?

Tylko wtedy, gdy mówi o tym plik. Znaczniki generatora lub poświadczenia mogą nazwać narzędzie; model pikselowy nie. Zwraca on prawdopodobieństwo, że w proces zaangażowane były elementy generatywne, co jest innym pytaniem niż identyfikacja i znacznie łatwiejszym do wiarygodnego rozstrzygnięcia.

Czy ten sam model jest używany do całej klatki i do kafelków?

Tak. Uruchomienie jednego modelu na różnych wycinkach sprawia, że oba wyniki są porównywalne. Odrębny model regionalny miałby własną kalibrację i własne błędy, a obie liczby przestałyby znajdować się na tej samej skali.