Samoověřené obrázky prostřednictvím jednoduché komprese JPEG

Obavy o rizika spojená s manipulovanými obrázky se pravidelně objevují v posledních letech, zejména v souvislosti s novou vlnou frameworků pro editaci obrázků založených na umělé inteligenci, které jsou schopny měnit existující obrázky, místo aby je vytvářely úplně.

Většina navrhovaných detekčních systémů pro tento typ obsahu spadá do jedné ze dvou kategorií: první je vodotisk – fallbackový přístup, který je součástí rámce pro ověření integrity obrázků, který nyní propaguje Koalice pro prokázání původu a autenticity obsahu (C2PA).

Postup vodotisku C2PA je fallback, pokud se obsah obrázku oddělí od jeho původního a probíhajícího manifestu. Zdroj: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Tyto “tajné signály” musí být následně robustní vůči automatickým procedurám přepisu/optimizace, které se často vyskytují, když obrázek prochází sociální sítě a portály – ale často nejsou odolné vůči ztrátovému přepisu, který se aplikuje prostřednictvím komprese JPEG (a navzdory konkurenci od uchazečů, jako je webp, formát JPEG je stále používán pro odhadovaných 74,5 % všech obrázků na webech).

Druhý přístup spočívá v tom, aby se obrázky staly odolnými vůči manipulaci, jak bylo původně navrženo v článku z roku 2013 Schéma pro ověření integrity obrázků založené na teorii pevných bodů. Místo toho, aby se spoléhalo na vodotisky nebo digitální podpisy, tato metoda používala matematickou transformaci nazvanou Gaussova konvoluce a dekonvoluce (GCD) k posunu obrázků do stabilního stavu, který by se rozpadl, pokud by byl změněn.

Výsledky lokalizace manipulace pomocí pevného bodu obrázku s PSNR 59,7802 dB. Bílé obdélníky označují oblasti, které byly podrobeny útokům. Zdroj: https://arxiv.org/pdf/1308.0679

Koncept je snadněji pochopitelný v kontextu opravování jemné krajky: bez ohledu na to, jak jemné je řemeslo, které se používá k opravě, opravená část bude vždy rozpoznatelná.

Tato transformace, když se aplikuje opakovaně na obrázek v šedé škále, postupně posouvá obrázek do stavu, ve kterém další aplikace transformace nevede k žádné další změně.

Tento stabilní verze obrázku se nazývá pevný bod. Pevné body jsou vzácné a vysoce citlivé na změny – jakékoli malé úpravy pevného bodu obrázku téměř jistě poruší jeho pevný status, což usnadňuje detekci manipulace.

Jako obvykle u takových přístupů, artefakty z komprese JPEG mohou ohrozit integritu schématu:

Vlevo vidíme vodotisk aplikovaný na obličeje ikonického obrázku ‘Lenna’ (Lena), který je zřetelný za normální komprese. Zdroj: https://arxiv.org/pdf/2106.14150

Co kdyby, místo toho, artefakty komprese JPEG mohly být skutečně použity jako centrální prostředek pro získání pevného bodu? V takovém případě by nebylo třeba žádné externí systémy, protože stejný mechanismus, který obvykle způsobuje potíže pro vodotisky a detekci manipulace, by sám o sobě tvořil základ rámce pro detekci manipulace.

Komprese JPEG jako bezpečnostní základ

Takový systém je navržen v novém článku od dvou výzkumníků na Univerzitě v Buffalu na Státní univerzitě v New Yorku. Nazvaný Tamper-Evident Image Using JPEG Fixed Points, nový článek navazuje na práci z roku 2013 a související práce, formuluje centrální principy poprvé a geniálně využívá kompresi JPEG sama o sobě jako metodu pro potenciální získání “samoověřeného” obrázku.

Autoři rozšiřují:

‘Studie ukazuje, že obrázek zůstává nezměněn po několika kolech stejného procesu komprese a dekomprese JPEG.

‘To znamená, že pokud je jeden cyklus komprese a dekomprese JPEG považován za transformaci obrázku, nazývanou JPEG transformace, pak tato transformace vykazuje vlastnost, že má pevné body, tj. obrázky, které zůstávají nezměněné, když je aplikována JPEG transformace.’

Z nového článku, ilustrace konvergence pevných bodů JPEG. Zdroj: https://arxiv.org/pdf/2504.17594

Místo toho, aby se zaváděly externí transformace nebo vodotisky, nový článek definuje proces JPEG jako dynamický systém. V tomto modelu každá cyklus komprese a dekomprese posouvá obrázek směrem k pevnému bodu. Autoři prokazují, že po konečném počtu iterací obrázek buď dosáhne nebo aproximuje stav, ve kterém další komprese nevytvoří žádnou změnu.

Výzkumníci uvádějí*:

‘Jakékoli úpravy obrázku způsobí odchylky od pevných bodů JPEG, které lze detekovat jako změny v blocích JPEG po jednom kole komprese a dekomprese…

‘Navrhované tamper-evidentní obrázky založené na pevných bodech JPEG mají dvě výhody. Zaprvé, tamper-evidentní obrázky eliminují potřebu externího uložení ověřitelných funkcí, jako je tomu u schémat, nebo vložení skrytých stop, jako je tomu u metod vodotisku. Sám obrázek slouží jako důkaz jeho autenticity, což činí schéma samo o sobě samoověřeným.

‘Zadruhé, protože JPEG je široce používaný formát a často poslední krok v procesu zpracování obrázků, navrhovaná metoda je odolná vůči operacím JPEG. To je v kontrastu s původním přístupem, který může ztratit stopy integrity kvůli JPEG.’

Článek nabízí klíčový pohled, že konvergence JPEG není pouze vedlejší produkt jeho návrhu, ale matematicky nevyhnutelný výsledek jeho operací. Diskrétní kosinová transformace, kvantizace, zaokrouhlování a ořezávání společně tvoří transformaci, která (za správných podmínek) vede k předvídatelné sadě pevných bodů.

Schéma pro proces komprese a dekomprese JPEG formulované pro novou práci.

Na rozdíl od vodotisku, tato metoda nevyžaduje žádný vložený signál. Jedinou referencí je konzistence obrázku při další kompresi. Pokud rekompresní nevytvoří žádnou změnu, obrázek je považován za autentický. Pokud ano, manipulace je indikována odchylkou.

Testy

Autoři ověřili toto chování pomocí jednoho milionu náhodně generovaných osmibitových grayscale obrázků o rozměrech 8×8 pixelů. Aplikací opakované komprese a dekomprese JPEG na tyto syntetické obrázky pozorovali, že konvergence k pevnému bodu nastává za konečného počtu kroků. Tento proces byl monitorován měřením pixelové vzdálenosti L2 mezi po sobě následujícími iteracemi, s rozdíly, které se snižují, dokud se obrázky nestabilizují.

Rozdíl L2 mezi po sobě následujícími iteracemi pro jeden milion 8×8 pixelů, měřeno za různých kvalit komprese JPEG.

Pro vyhodnocení detekce manipulace autoři vytvořili tamper-evidentní JPEG obrázky a aplikovali čtyři typy útoků: sůl a pepř šum; kopírování a přesun operace; vkládání z externích zdrojů; a dvojitá komprese JPEG pomocí jiné kvantizační tabulky.

Příklad pevných bodů RGB obrázků s detekcí a lokalizací manipulace, včetně čtyř metod narušení, které autoři použili.

Po manipulaci byly obrázky rekompresovány pomocí původní kvantizační matice. Odchylky od pevného bodu byly detekovány identifikací bloků obrázku, které vykazovaly nenulové rozdíly po rekompresi, což umožňovalo detekci a lokalizaci manipulovaných oblastí.

Pokud je obrázek rekompresován na jiné úrovni kvality, může ztratit svůj pevný bod, což by mohlo porušit ověření a vyžaduje pečlivé zpracování v reálném použití.

Zatímco tato metoda není pouze nástrojem pro analýzu výstupu JPEG, také nepřidává mnoho složitosti. V zásadě by mohla být integrována do stávajících pracovních postupů s minimálními náklady nebo narušením.

Článek uznává, že sofistikovaný útočník by mohl pokusit se vytvořit adversní změny, které zachovají stav pevného bodu; ale autoři tvrdí, že takové úsilí by pravděpodobně vedlo k viditelným artefaktům, které by podkopaly útok.

Ačkoli autoři netvrdí, že pevné body JPEG by mohly nahradit širší systémy prokazování původu, jako je C2PA, navrhuje, že metody pevných bodů by mohly doplnit externí rámce metadat nabídkou další vrstvy důkazů o manipulaci, které přetrvávají i v případě, že metadata jsou odstraněna nebo ztracena.

Závěr

Přístup založený na pevných bodech JPEG nabízí jednoduchou a samoobsaženou alternativu k tradičním systémům ověření, nevyžadující žádné vložené metadata, vodotisky nebo externí referenční soubory, a místo toho odvozující autenticitu přímo z předvídatelného chování procesu komprese.

Touto cestou metoda získá zpět kompresi JPEG – častý zdroj degradace dat – jako mechanismus pro ověření integrity. V tomto ohledu je nový článek jedním z nejvíce inovativních a vynalézavých přístupů k problému, se kterým jsem se setkal v posledních několika letech.

Nová práce ukazuje na posun od vrstvených doplňků pro bezpečnost a směrem k přístupům, které využívají vestavěné charakteristiky média samotného. Jak metody manipulace rostou na sofistikovanosti, techniky, které testují vnitřní strukturu obrázku, mohou začít být důležitější.

Dále, mnoho alternativních systémů navržených pro řešení tohoto problému zavádí významné tření tím, že vyžadují změny zavedených pracovních postupů zpracování obrázků – některé z nich fungují spolehlivě po mnoho let nebo dokonce desetiletí a vyžadovaly by mnohem silnější odůvodnění pro přepracování.

* Moje konverze inline citací autorů na hypertextové odkazy.

Poprvé zveřejněno v pátek 25. dubna 2025