Google DeepMind stworzył SynthID, system niewidzialnych znaków wodnych wbudowanych w obrazy generowane przez Gemini. Miał być odpowiedzią na pytanie “czy to zrobił AI?”. Badacz z GitHuba przeanalizował 123 000 par obrazów, wyizolował wzorzec znaku wodnego i stworzył narzędzie do jego usunięcia. Jakość obrazu po usunięciu? SSIM 0,997 – praktycznie identyczna z oryginałem. Temat szybko trafił na Hacker News i wywołał dyskusję o sensowności znaków wodnych w AI.
Jak działa SynthID?
SynthID to system niewidzialnych znaków wodnych od Google DeepMind, który działa inaczej dla każdego medium. W obrazach (Imagen, Gemini) dwie sieci neuronowe modyfikują wartości pikseli na poziomie niewidocznym gołym okiem, techniką rozpraszania widma w dziedzinie częstotliwości. W tekście (Gemini) natomiast modyfikuje rozkład prawdopodobieństwa tokenów podczas generowania. Podobnie dla audio (Lyria) i wideo (Veo) ma osobne mechanizmy.
Kluczowe założenie polega na tym, że klucz wodny jest powiązany z modelem, nie z sesją. Dlatego każdy obraz wygenerowany przez ten sam model nosi ten sam wzorzec częstotliwości. To właśnie okazało się słabym punktem.
Co odkrył badacz?
Projekt reverse-SynthID na GitHubie (autor: aloshdenny) dokumentuje pełną metodologię. Badacz wygenerował 200 jednolitych obrazów (białych i czarnych) przez Gemini, a następnie 123 000 par obrazów. Dzięki analizie 2D Fast Fourier Transform (FFT) udało się ujawnić stałe “częstotliwości nośne” – te same we wszystkich obrazach z tego samego modelu.
Konkretnie piksele na pozycjach (±14, ±14) i (±126, ±14) zawierały sygnał znaku wodnego. Co więcej, spójność faz wynosiła powyżej 99,5% w 99,99% par obrazów. Częstotliwości nośne zależą jednak od rozdzielczości: na przykład obraz 1024×1024 ma nośnik w (9,9), a 1536×2816 w (768,704).
Jak usunięto SynthID bez utraty jakości?
Trzecia wersja narzędzia (Bypass V3) chirurgicznie odejmuje energię na konkretnych binach częstotliwości przy użyciu wcześniej obliczonej tablicy kodowej. Wyniki:
- PSNR: 43,5 dB (jakość obrazu praktycznie niezmieniona)
- Spadek energii nośnej: 75,8%
- Spadek spójności faz: 91,4%
- SSIM: 0,997 (1,0 = identyczny obraz)
Narzędzie oferuje również tryby “aggressive” i “maximum” do jeszcze bardziej agresywnego usuwania. Autor zastrzega jednak, że kompletne usunięcie SynthID jest “matematycznie niemożliwe”, ale “pomylenie dekodera” przez redukcję energii nośnej jest mimo to osiągalne w praktyce.
Co na to społeczność?
Dyskusja na Hacker News podniosła kilka ważnych punktów. Przede wszystkim projekt testuje swój własny detektor, nie oficjalny SynthID API Google’a, dlatego wyniki mogą być przeszacowane. Poza tym prawdopodobnie Google utrzymuje dwa znaki wodne: publiczny (dostępny przez API) i tajny rezerwowy, co jest standardem w branży bezpieczeństwa.
Komentatorzy zauważyli też ironię: README repozytorium wykazuje wyraźne ślady generowania przez Claude’a (formatowanie i styl pisania). Narzędzie do usuwania znaków wodnych AI zostało udokumentowane przez AI.
Szerszy problem jest taki: znaki wodne działają tylko dla uczestników, którzy grają fair. Złośliwi aktorzy korzystają z narzędzi generujących obrazy bez żadnego znakowania wodnego.
Alternatywne podejścia do oznaczania AI
C2PA (Content Authenticity Initiative) używa kryptograficznych podpisów pochodzenia zamiast steganografii. Podpisy są trudniejsze do usunięcia, ponieważ opierają się na certyfikatach, nie na danych pikselowych. Dlatego komentatorzy na HN wskazywali to jako solidniejsze rozwiązanie. Z kolei odcisk palca modelu (fingerprinting) identyfikuje źródło po stylu generacji bez modyfikacji wyniku.
Dla twórców treści zakaz AI-generated content na Wikipedii i dyskusje o prawach autorskich kodu AI pokazują, że problem wykrywania treści AI jest znacznie szerszy niż same znaki wodne.
Pierwsza Misja AI · Kodożercy
Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa
Kurs Pierwsza Misja AI ma dedykowaną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać – zacznij rozumieć.
Poznaj pełny program →
FAQ – Najczęstsze pytania o SynthID
Co to jest SynthID?
SynthID to system niewidzialnych znaków wodnych od Google DeepMind. Modyfikuje piksele obrazów generowanych przez AI (Gemini, Imagen) na poziomie niewidocznym gołym okiem. Służy do identyfikacji, czy obraz został wygenerowany przez AI.
Czy SynthID naprawdę został złamany?
Badacz wykazał, że można znacząco osłabić znak wodny (spadek spójności faz o 91,4%) przy zachowaniu jakości obrazu (SSIM 0,997). Pełne usunięcie jest matematycznie niemożliwe, ale “pomylenie dekodera” jest osiągalne. Projekt testuje własny detektor, nie oficjalny API Google’a.
Czy Google używa SynthID do rankingowania w wyszukiwarce?
Nie. SynthID to narzędzie transparentności, nie filtr wyszukiwania. Google oficjalnie nie używa SynthID do wpływania na pozycje w wynikach wyszukiwania.
Podsumowanie
SynthID od Google DeepMind miał być odpowiedzią na problem rozpoznawania treści AI. Badacz wyizolował wzorzec znaku wodnego z 123 000 obrazów i stworzył narzędzie do jego usunięcia bez widocznej utraty jakości. Znaki wodne działają jako narzędzie transparentności dla uczciwie grających uczestników, ale nie jako mechanizm bezpieczeństwa. Podejścia kryptograficzne (C2PA) mogą okazać się trwalsze niż steganografia.
