Kan AI-bilddetektorer luras?

Varför varje pixeldetektor kan manipuleras

En detektor läser den statistiska texturen mellan intilliggande pixlar. Den texturen är beviset. Allt som skriver om den raderar beviset, och det finns många vardagliga skäl till att den skrivs om.

Detta är en egenskap hos metoden snarare än en brist i en enskild produkt. Ett verktyg som påstår att det inte kan luras mäter antingen något annat än pixlar, eller är inte ärligt mot dig.

Kategorierna, beskrivna snarare än instruerade

Dessa är beskrivna på den nivå en granskare behöver. Att veta att en kategori existerar gör att du kan känna igen dess mönster i ett resultat. Det är inte ett recept, och inget av detta är steg-för-steg-instruktioner.

Det sista alternativet till höger är det viktigaste, eftersom det är svårast att fånga med ett enskilt siffervärde. Ett äkta fotografi där ett genererat objekt har placerats in behåller genuin textur över merparten av bildytan.

Hur regionkartan hanterar detta

Att analysera bilden i rutnät är det direkta svaret på bildmontage. Snittet för hela bilden dras ner av de äkta delarna, men rutan som innehåller det inklippta objektet slås inte samman med något annat.

Vad manipulationsförsöket kostar den som utför det

Varje metod som döljer signalen försämrar också bilden. Den kompromissen är den mest användbara kunskapen för den som granskar bilderna.

En bild som har manipulerats tillräckligt mycket för att lura en detektor ser oftast manipulerad ut. Om en bild både är misstänkt lågupplöst och används som bevis för något, är kvaliteten i sig ett fynd.

Vad som inte kan förfalskas lika enkelt

• Publiceringshistorik. En bild som indexerades för flera år sedan genererades inte förra månaden. Omvänd bildsökning är fortfarande den starkaste enskilda kontrollen.
• En giltig Content Credential. Ett signerat manifest bundet till de faktiska pixlarna är kryptografiskt. Det kan tas bort, men det kan inte förfalskas.
• En fysikaliskt sammanhängande scen. Skuggor, reflektioner och kontinuitet mellan objekt är fortfarande områden där generatorer brister, och manipulation åtgärdar inte det.
• En fil som någon annan redan har. Be avsändaren om originalfilen från enheten som tog fotot, och se vad svaret blir.

Slutsatsen

En målinriktad, tekniskt kunnig aktör kan lura en pixeldetektor. Det stämmer, men det hör till ovanligheterna. De bilder de flesta kontrollerar har skapats slarvigt, delats nonchalant och har antingen kvar sina spår intakta eller förlorat dem i en chattapp snarare än genom medvetet sabotage.

Ett lågt resultat på en kraftigt försämrad bild ska tolkas som att svar saknas, snarare än som ett kvitto på att den är äkta. Den distinktionen hanterar nästan alla manipulationsförsök du möter, utan att du behöver förstå tekniken bakom.

Kapplöpningen är asymmetrisk

Generering och detektion utvecklas inte i samma takt, och obalansen är ensidig. En ny generator utgör okänd data för alla befintliga detektorer. Omträning sker efter lanseringen, inte före, vilket innebär att det alltid finns ett tidsfönster där det senaste materialet inte kan upptäckas.

Det tidsfönstret är inte kort. Att samla in tillräckligt med material från en ny modell, märka upp datan, träna om och driftsätta tar i bästa fall flera veckor. Under den perioden bedömer en detektor nya genereringar som äkta, eftersom de inte liknar något den har tränats att flagga.

Detta är det starkaste praktiska argumentet för att aldrig förlita sig på en enskild signal. Ursprungsdata och publiceringshistorik påverkas inte av vilken modell som skapade bilden, och fungerar därför även under den period som pixelanalysen inte täcker.