Можно ли обмануть детекторы ИИ-изображений?

Почему любой детектор пикселей можно победить

Детектор считывает статистическую текстуру между соседними пикселями. Эта текстура и есть доказательство. Все, что ее переписывает, удаляет доказательства, а причин для перезаписи множество.

Это свойство метода, а не дефект конкретного продукта. Инструмент, заявляющий, что его нельзя обмануть, либо измеряет что-то отличное от пикселей, либо не до конца откровенен с вами.

Категории, описанные, а не предписанные

Они написаны на уровне, необходимом защитнику. Знание того, что категория существует, позволяет распознать её сигнатуру в результате. Это не рецепт, и ни один из них не является пошаговой инструкцией.

Последний пункт справа наиболее важен, поскольку его сложнее всего обнаружить с помощью одного числа. Настоящая фотография, в которую помещен сгенерированный объект, сохраняет подлинную текстуру на большей части кадра.

Что с этим делает карта регионов

Оценка кадра по фрагментам — это прямой ответ на компоновку. Среднее значение по всему кадру снижается за счет подлинных частей, но фрагмент, содержащий вставку, не усредняется ни с чем.

Чего уклонение стоит тому, кто это делает

Каждая техника, скрывающая сигнал, также повреждает изображение. Этот компромисс — самое полезное, что может знать защитник.

Изображение, которое было достаточно сильно «отмыто», чтобы пройти детектор, обычно выглядит «отмытым». Если снимок одновременно подозрительно низкого качества и предлагается в качестве доказательства чего-либо, само качество уже является результатом.

Что нельзя подделать так легко

• История публикации. Снимок, проиндексированный годы назад, не был сгенерирован в прошлом месяце. Обратный поиск остается самым сильным отдельным методом проверки.
• Действующий Content Credential. Подписанный манифест, привязанный к текущим пикселям, является криптографическим. Его можно удалить, но его нельзя подделать.
• Согласованная физическая сцена. Тени, отражения и непрерывность между объектами — это то, где генераторы все еще ошибаются, и «отмывка» их не исправляет.
• Файл, который уже есть у кого-то другого. Попросите отправителя предоставить оригинал с устройства, которое его сняло, и посмотрите, что произойдет дальше.

К чему это вас приводит

Решительный технически подкованный противник может обойти пиксельный детектор. Это правда, но это не типичный случай. Изображения, которые проверяет большинство людей, были сделаны небрежно, распространены неформально и несут доказательства неповрежденными или утратили их в чат-приложении, а не из-за действий злоумышленника.

Воспринимайте низкую оценку на сильно ухудшенном изображении как отсутствие ответа, а не как чистый результат. Это различие позволяет справиться почти с любым уклонением, с которым вы столкнетесь, не зная ничего о технике, стоящей за ним.

Гонка вооружений асимметрична

Генерация и детекция не улучшаются с одной и той же скоростью, и дисбаланс направлен в одну сторону. Новый генератор появляется как невидимые данные для каждого существующего детектора. Дообучение следует за релизом, а не предшествует ему, поэтому всегда есть окно, в котором новейший результат невидим.

Это окно не короткое. Сбор достаточного количества результатов работы новой модели, их разметка, дообучение и выпуск занимают в лучшем случае недели. В течение этого периода детектор будет оценивать новые генерации как реальные, потому что они не похожи на то, что его учили помечать.

Это самый сильный практический аргумент в пользу того, чтобы никогда не полагаться на один сигнал. Данным о происхождении и истории публикации все равно, какая модель создала изображение, поэтому они продолжают работать в окне, которое не может закрыть пиксельный анализ.