Yapay Zeka Görüntü Filigranlama, "Unmarker" Tarafından Yeni Bir Tehdit ile Karşı Karşıya
Yapay zekâ görüntü üreteçleri geliştiğinden beri, gerçek görüntüleri yapay zekâ tarafından üretilen görüntülerden ayırmanın neredeyse imkansız olduğu kanıtlanmıştır. Microsoft'un 12.500 küresel katılımcıyla yaptığı yakın tarihli bir çalışmada, insanların yapay zekâ görüntülerini ortalama %62 başarı oranıyla tespit edebildikleri bulunmuştur; bu, yazı tura atmaktan çok daha iyi değildir.
Su işareti, önerilen çözümlerden biridir. Avrupa Birliği'nin Yapay Zeka Yasası, çoğu yapay zekâ görüntü üreteci için su işareti zorunlu kılıyor ve yapay zekâ görüntü üreteci olan birçok şirket su işareti uygulamakta veya yakında uygulama planlamaktadır.
Ancak bu yaklaşım, en azından 2025 IEEE Güvenlik ve Gizlilik Sempozyumu'nda sunulan bir makaleye göre, çıkmaz bir sokak olabilir. Makale, önde gelen su işareti tekniklerini alt eden yeni bir evrensel saldırı olan UnMarker'ı ortaya koymaktadır.
Kanada'daki Waterloo Üniversitesi'nde doktora öğrencisi ve UnMarker'ın yaratıcısı Andre Kassis, "Alanın tüm liderleri [su işaretlemesine] yatırım yapıyor ve bunu destekliyor, hatta buna adanmış tüm ekipleri var," dedi. "Doğal olarak, bu sistemlerin pazarlandıkları vaadi yerine getirip getirmediğini bilmek istiyoruz."
Yapay Zekâ Görüntü Su İşareti Nasıl Çalışır
UnMarker'ın yapay zekâ görüntü su işaretlerini nasıl kaldırdığını anlamak için, önce bunların nasıl çalıştığını anlamak gerekir.
Sağlam bir yapay zekâ görüntü su işareti, bilgisayarlar tarafından tespit edilebilir, bir yapay zekâ görüntü üretecinin oluşturabileceği trilyonlarca olası görüntü arasında etkili ve kırpma veya bulanıklaştırma gibi basit düzenleme tekniklerine karşı dayanıklı olmalıdır. Bu gereksinimleri karşılamak için, su işaretleri çoğu insanın düşünmediği görüntünün bir bölümünde gizlenir: spektral alan.
Kassis, "Spektral karakterizasyon, görüntüdeki piksellerin birbirlerine göre değerlerini nasıl değiştirdiğiyle ilgilidir" diye açıkladı.
Aşağıda gösterildiği gibi, bir kişinin portresini veya illüstrasyonunu düşünün. Saç gibi görüntünün yoğun kısımları, piksellerin değerini hızla değiştirdiği için yüksek spektral frekanslara sahiptir. Kişinin yanağı veya alnı gibi görüntünün daha düzgün kısımları düşük spektral frekanslara sahiptir.
UnMarker araştırmacıları, su işareti eklenmemiş ve su işareti eklenmiş görüntüler ürettiler ve ardından görüntünün spektral frekanslarını değiştirerek su işaretini kaldırmak için UnMarker aracını kullandılar. Üstten saat yönünün tersine: Google Imagen; Google SynthID; Google SynthID ve UnMarker
Önemli olarak, bu spektral frekanslar tek bir pikselin veya bitişik piksellerin değerini değil, görüntü genelindeki piksel değerlerini tanımlar. Bu, su işaretini insan gözünün algılayamamasını sağlar; insan gözü piksellerdeki desenleri bulmada çok iyi olsa da, spektral analiz için donatılmamıştır.
Yukarıdaki, Google'ın SynthID'sini gösteren görüntü üçlüsü, su işareti eklenmiş ve eklenmemiş görüntüler arasında dikkate değer bir fark göstermektedir. Google, SynthID'nin nasıl çalıştığı hakkında ayrıntı paylaşmasa da, muhtemelen semantik bir su işaretidir. Bu tür su işareti, daha önce açıklandığı gibi, görüntünün daha düzgün kısımlarını tanımlayan düşük spektral frekanslara gömülüdür ve bu, bir görüntünün nasıl üretildiğini ve çıktısını etkileyebilir. Farklılıklar, yapay zekâ üretiminin olasılıklı doğasından veya Google'ın su işareti eklenmiş veya eklenmemiş görüntüler için kullandığı görüntü oluşturma modelindeki ince farklılıklardan da kaynaklanabilir.
Ancak bu, su işaretinin insanlar tarafından görülebilir olduğu anlamına gelmez. Neden? Gerçek dünyada, su işareti eklenmiş bir yapay zekâ görüntü üreteciyle görüntü oluşturan bir kullanıcı karşılaştırma için iki görüntü—biri su işaretiyle, diğeri olmadan—almaz. Ve görüntünün izleyicilerinin de karşılaştırma temeli olmayacaktır.
Su işareti dedektörleri, su işaretinin spektral alanda bir desen olarak ifade edildiği görüntünün spektral frekanslarının analizi yoluyla su işaretini tespit eder. Bununla birlikte, su işareti dedektörleri tipik olarak evrensel araçlar değildir (bazı araştırmacılar bu olasılığı araştırmış olsa da). Her özel su işareti, o su işaretinin gizli spektral desenini arayan kendi dedektörüyle kullanılmak üzere tasarlanmıştır.
UnMarker Su İşaretlemesini Nasıl Alt Eder
Sağlam ancak görünmez bir su işaretinin spektral alanda olması gerektiğini bilerek, UnMarker özel olarak onu hedefler. Görüntünün piksel değerlerini yok sayar ve bunun yerine tüm görüntü genelinde spektral bilgilere değişiklikler yaparak, su işaretini etkili bir şekilde karıştırır.
Kassis, "UnMarker, su işaretinin nerede gizlendiğini aramaya çalışmaz. Su işaretinin kodlandığı spektral bantları tam olarak aramaz. Sadece kaldırmak için görüntüyü bozabilir," diye açıkladı.
Ve etkilidir. UnMarker, kullanılan su işareti yöntemine bağlı olarak, su işareti eklenmiş görüntülerden algılanabilir su işaretlerinin %57 ila %100'ünü kaldırdı.
HiDDeN ve Yu2 su işaretleri tamamen etkisiz hale getirildi. Yukarıdaki örnek görüntülerde kullanılan Google'ın SynthID'siyle işaretlenmiş görüntüler üzerinde test edildiğinde, UnMarker su işaretlerinin %79'unu başarıyla kaldırdı. StegaStamp ve Tree-Ring Watermarks gibi daha yeni su işaretleri biraz daha sağlamdı; UnMarker yaklaşık %60'ını kaldırdı.
Bu daha yeni su işaretleri bazen UnMarker'a karşı dayansa da, su işaretlerinin bir kısmının bile başarıyla kaldırılması, bir su işareti tekniğini sorgulanabilir hale getirmek için yeterlidir. Su işareti eklenmiş bir yapay zekâ görüntüsünü gerçekmiş gibi göstermek isteyen biri, su işareti başarıyla kaldırılana kadar saldırıyı tekrar tekrar deneyerek çok sayıda görüntü oluşturabilir.
Bu, UnMarker'ın kusursuz olduğu anlamına gelmez. Değişiklikler genellikle fark edilmese de, Kassis bazı görüntülerde görüntünün daha yapay görünmesine neden olan ve yakından incelendiğinde bir insanı uyarmak için yeterli olabilecek "hafif görünür değişiklikler" olabileceğini söyledi. Saldırı ayrıca hafif görüntü kırpmayla en iyi şekilde çalışır, ancak çoğu su işareti tekniğine karşı kırpma olmadan da etkili kalır.
Yapay Zekâ Su İşaretleri Zaten Mahkum Mu?
UnMarker'ın kaynak kodu Github'da mevcuttur. UnMarker'ı kullanmak tamamen basit değildir, çünkü aracı indirmek ve yüklemek için komut satırı arayüzünün nasıl kullanılacağı konusunda temel bilgilere ihtiyaç duyar. Yine de, yapay zekâ tarafından üretilen görüntüleri gerçekmiş gibi göstermek isteyen herkes için bu pek bir engel değildir.
Saldırı, egzotik donanımlar gerektirmez. Makale için yapılan test, 40 gigabayt belleğe sahip bir Nvidia A100 GPU ile gerçekleştirilmiştir. Bu GPU binlerce dolara satılıyorken, Amazon AWS ve Microsoft Azure gibi bulut hizmetleri aracılığıyla saatlik kiralama ücretleri genellikle 30 ABD dolarının altında olmak üzere yaygın olarak kiralanabilir. Yaklaşık 5 dakika içinde bir su işaretini kaldırabildi.
Kassis ayrıca Github projesinin saldırının çalışıp çalışmadığını doğrulamak için tam Unmarker saldırısını ve su işareti dedektörlerini içerdiğini belirtti. Doğrulama olmadan Unmarker kullanmak "çok daha az hesaplama yoğunluğundadır". Henüz Nvidia RTX 5090 gibi tüketici sınıfı GPU donanımlarında UnMarker kullanmayı denememiş olsa da, bu tür donanımların biraz çabayla "çalıştırabilmesini" beklediğini belirtti.