Метка ИИ-картинки может прятаться ещё в исходном шуме

Как спрятать узор в случайном шуме

Генератор изображения с ИИ начинает работу не с готовой сцены, а с набора случайных чисел — шумового вектора. Во время создания картинки модель постепенно превращает этот хаотичный набор в изображение. Если заранее чуть изменить шум по особому математическому правилу, в будущей картинке может сохраниться едва заметный след этих изменений.

Это похоже не на надпись поверх фотографии, а на отпечаток, заложенный в исходный материал. Узору не нужно занимать отдельные пиксели или быть видимым человеку: он распределён по множеству числовых значений, из которых модель строит изображение.

Почему след не исчезает после обработки

Обычный цифровой водяной знак часто привязан к конкретным пикселям: обрезка может удалить часть надписи, а сжатие — стереть тонкие детали. След, внесённый в исходный шум, устроен иначе. При проверке анализируют не отдельный участок картинки, а статистические признаки изображения — закономерности в распределении значений, связанные с заданным узором.

Поэтому умеренное изменение размера, цвета или формата не обязательно уничтожает сигнал целиком. Даже если преобразование искажает часть изображения, оставшиеся участки могут по-прежнему содержать достаточно следов, чтобы распознать закономерность. Это не означает, что отметка гарантированно переживёт любую обработку: сильное редактирование способно ослабить её или стереть.

Где проходит компромисс

Узор должен быть достаточно заметен для алгоритма-проверяющего, но не настолько сильным, чтобы ухудшать картинку или ограничивать работу генератора. Чем сильнее вмешательство в шум, тем проще обнаружить след, но тем выше риск повлиять на результат. А надёжность проверки зависит от того, насколько точно известен способ внесения узора и какие преобразования пережило изображение.

Важное следствие в том, что происхождение изображения можно пытаться проверять не по видимой подписи, которую легко удалить, а по особенностям самого результата. Для зрителя картинка остаётся обычной; для специального алгоритма её исходный случайный материал может оказаться не совсем случайным.