SynthID och osynliga vattenstämplar

Tre lager som lätt förväxlas

Att reda ut dessa förklarar de flesta motstridiga råden på detta område, eftersom varje lager fallerar på olika sätt och folk generaliserar utifrån det de först kom i kontakt med.

Den tredje raden skiljer sig från mängden och är anledningen till att en detektor över huvud taget finns. Det finns inget att ta bort, eftersom inget lades till: analysen läser av egenskaper som genereringsprocessen skapade av en händelse.

Det gör lagren kompletterande snarare än konkurrerande. En vattenstämpelkontroll är exakt när den ger utslag och tyst annars; en pixelkontroll ger alltid ett svar och är aldrig helt säker.

Hur en osynlig vattenstämpel fungerar

Generatorn gör små, strukturerade justeringar av pixelvärden när bilden skapas, i ett mönster som bara en matchande detektor vet hur man letar efter. Ändringarna ligger avsiktligt under gränsen för vad det mänskliga ögat kan uppfatta.

Eftersom signalen finns i pixlarna snarare än i filstrukturen överlever den saker som förstör metadata. Skärmdumpar, omkodning, storleksändring och uppladdning till en plattform lämnar alla metadata bakom sig men kan lämna en väldesignad vattenstämpel intakt.

Den hållbarheten är hela poängen, och den har också sina gränser. Aggressiv beskärning tar bort de delar av mönstret som fanns i det bortskurna området, hård komprimering försämrar det, och att köra bilden genom en andra generativ modell skriver över pixlarna helt.

Det finns också en strukturell begränsning som ofta förbises: vattenstämpeln är proprietär för systemet som bäddade in den. En verifierare byggd av en leverantör läser den leverantörens markeringar och är tyst om alla andras resultat, inklusive alla öppna modeller som inte bäddar in något.

De två sista kolumnerna är de intressanta. En skärmdump förstör den statistiska signal som en detektor läser samtidigt som den lämnar en hållbar vattenstämpel intakt; omgenerering gör motsatsen. Inget av lagren täcker det andra helt, vilket är skälet till att ha båda.

Varför du inte kan kontrollera alla vattenstämplar

Detta är den praktiska begränsningen som gör folk besvikna. Verifiering kräver detektorn som matchar inbäddaren, och dessa kontrolleras av organisationerna som byggde dem.

Vissa leverantörer har en offentlig verifieringssida för sitt eget material. Andra gör den tillgänglig endast för partners, och öppna modeller bäddar i allmänhet inte in någonting alls, vilket innebär att en stor andel genererade bilder på webben inte bär på någon vattenstämpel att hitta.

Ett negativt resultat för vattenstämplar är alltså i det närmaste meningslöst. Det talar om för dig att just detta system inte gav utslag, vilket är det förväntade resultatet för material från alla andra system och för allt som har omkodats kraftigt.

Ett positivt resultat är motsatsen: starkt, specifikt och värt att agera på. När en verifierare för vattenstämplar säger att en bild kom från ett visst system är det ett påstående från systemet självt snarare än en slutsats om det.

Vart utvecklingen är på väg

Riktningen går mot lagerindelning snarare än mot ett enda svar. Credentials i filen, en vattenstämpel i pixlarna och statistisk detektering ovanpå, där var och en täcker de fall de andra missar.

Införandet är flaskhalsen snarare än tekniken. Vattenstämpling fungerar bra när generatorn implementerar det, plattformen bevarar det och en verifierare är tillgänglig, och om någon av dessa tre brister återstår bara att läsa av pixlarna.

För alla som fattar beslut i dag är den praktiska hållningen oförändrad. Kör de kontroller som finns tillgängliga, behandla en positiv markör som stark och en saknad som tystnad, och lägg vikten vid ursprungshistorik och sammanhang när det verkligen gäller.

Varför forskning om borttagning betyder mer än själva borttagningen

Akademiska studier visar regelbundet att ett givet vattenstämplingssystem kan tas bort, och varje demonstration rapporteras som om idén har misslyckats. Den tolkningen missar vad tekniken faktiskt är till för.

En vattenstämpel är inte ett lås. Det är en kostnad som läggs på den person som vill få genererat material att framstå som ett fotografi, och en kostnad som de flesta inte är beredda att betala. Den slentrianmässiga vidarespridningen som står för den överväldigande majoriteten av vilseledande bilder överlever den inte.

Den relevanta jämförelsen är med metadata, som av misstag tas bort av varje plattform på internet utan att någon ens försöker. En signal som kräver en medveten ansträngning för att kringgås är en betydande förbättring, även om en målmedveten aktör lyckas ta bort den.

Där kritiken faktiskt träffar rätt är gällande påståenden om säkerhet. En leverantör som säger att dess vattenstämpel bevisar ursprung överdriver; en som säger att dess vattenstämpel identifierar dess eget oförändrade material beskriver saken korrekt.

Vad du ska göra med ett positivt resultat

Behandla det som den starkaste enskilda signalen som finns på detta område, men fortfarande inte som slutet på undersökningen. En vattenstämpel identifierar systemet som producerade pixlarna, vilket inte är samma sak som att fastställa vad bilden används för att påstå.

En genererad illustration är inte ett problem bara för att den är genererad. Den blir ett problem när den presenteras som en dokumentation av något som faktiskt har hänt, och den presentationen handlar om bildtexten snarare än om filen.

För alla som bygger en process kring detta är den fungerande ordningen att kontrollera filen först, vattenstämpeln därefter om en verifierare finns, och pixlarna sist. Varje steg är billigare och mer avgörande än nästa, och de flesta bilder är utredda innan det tredje.

Det kontraintuitiva är att det minst definitiva lagret är det enda som alltid ger ett svar. Det är inte en kritik mot detektering; det är anledningen till att den finns, och anledningen till att ett resultat bör läsas som en sannolikhet snarare än som en dom.