Detectores de imagens de IA podem ser enganados?

Por que qualquer detector de pixels pode ser derrotado

Um detector lê a textura estatística entre pixels vizinhos. Essa textura é a evidência. Qualquer coisa que a reescreva remove a evidência, e existem muitas razões comuns para reescrevê-la.

Esta é uma propriedade do método, não uma falha de um produto específico. Uma ferramenta que afirma não poder ser enganada está medindo algo diferente de pixels ou não está sendo transparente com você.

As categorias, descritas em vez de instruídas

Estas foram escritas no nível que um defensor precisa. Saber que uma categoria existe permite reconhecer sua assinatura em um resultado. Não é uma receita, e nenhuma destas é passo a passo.

O último item à direita é o que mais importa, porque é o mais difícil de detetar com um número único. Uma fotografia real com um objeto gerado inserido mantém a textura genuína na maior parte da imagem.

O que o mapa de regiões faz quanto a isso

Classificar o enquadramento em mosaicos é a resposta direta à composição. A média do enquadramento total é reduzida pelas partes genuínas, mas o mosaico que contém a inserção não é alvo de média com nada.

O que a evasão custa a quem a pratica

Todas as técnicas que ocultam o sinal também danificam a imagem. Esse compromisso é a coisa mais útil que um defensor pode saber.

Uma imagem que foi submetida a uma lavagem suficientemente rigorosa para passar num detetor parece, habitualmente, lavada. Se uma imagem é suspeitamente de baixa qualidade e é apresentada como prova de algo, a qualidade é, por si só, uma conclusão.

O que não pode ser falsificado tão facilmente

• Um histórico de publicação. Uma imagem indexada há anos não foi gerada no mês passado. A pesquisa inversa continua a ser a verificação única mais forte.
• Um Content Credential válido. Um manifesto assinado associado aos píxeis atuais é criptográfico. Pode ser removido, mas não pode ser forjado.
• Uma cena física consistente. Sombras, reflexos e a continuidade entre objetos continuam a ser o ponto onde os geradores falham, e a lavagem não os corrige.
• Um ficheiro que outra pessoa já possui. Peça ao remetente o original do dispositivo que o captou e veja o que acontece a seguir.

Onde isto o deixa

Um adversário determinado e técnico pode derrotar um detetor de píxeis. Isso é verdade e não é o caso comum. As imagens que a maioria das pessoas verifica foram feitas de forma descuidada, partilhadas casualmente e transportam a sua evidência intacta ou perderam-na para uma aplicação de chat em vez de para um atacante.

Interprete uma pontuação baixa numa imagem fortemente degradada como uma ausência de resposta em vez de um resultado limpo. Essa distinção lida com quase todas as evasões que encontrará sem necessidade de saber nada sobre a técnica por detrás dela.

A corrida armamentista é assimétrica

A geração e a deteção não melhoram à mesma velocidade, e o desequilíbrio corre num único sentido. Um novo gerador chega como dados não vistos para todos os detetores existentes. O re-treino segue o lançamento em vez de o preceder, pelo que existe sempre uma janela na qual a produção mais recente é invisível.

A janela não é curta. Recolher produção suficiente de um novo modelo, rotulá-la, re-treinar e distribuir demora semanas, na melhor das hipóteses. Durante esse período, um detetor classificará novas gerações como reais, porque não se assemelham a nada que tenha sido ensinado a sinalizar.

Este é o argumento prático mais forte para nunca confiar num único sinal. Os dados de proveniência e o histórico de publicação não se preocupam com o modelo que criou a imagem, pelo que continuam a funcionar durante a janela que a análise de píxeis não consegue cobrir.