„Geschützte“ Bilder sind einfacher, nicht schwieriger, zu stehlen, mit KI

Neue Forschungsergebnisse deuten darauf hin, dass Wasserzeichentools, die darauf abzielen, AI-Bildbearbeitungen zu blockieren, kontraproduktiv sein können. Anstatt Modelle wie Stable Diffusion daran zu hindern, Änderungen vorzunehmen, können einige Schutzmaßnahmen tatsächlich helfen, dass die KI die Bearbeitungshinweise genauer befolgt, was unerwünschte Manipulationen noch einfacher macht.

Es gibt einen bemerkenswerten und robusten Strang in der Literatur der ComputerVision, der darauf abzielt, urheberrechtlich geschützte Bilder vor der Verwendung in KI-Modellen oder der direkten Verwendung in KI-Bildbearbeitungsprozessen zu schützen. Systeme dieser Art sind in der Regel auf Latente Diffusionsmodelle (LDMs) wie Stable Diffusion und Flux ausgerichtet, die rauschenbasierte Verfahren verwenden, um Bilder zu kodieren und zu dekodieren.

Indem adversariales Rauschen in ansonsten normal aussehende Bilder eingefügt wird, kann es möglich sein, Bilderkennungssysteme dazu zu bringen, die Bildinhalte falsch zu erraten, und Bildgenerierungsprozesse daran zu hindern, urheberrechtlich geschützte Daten auszunutzen:

Aus dem MIT-Papier ‘Raising the Cost of Malicious AI-Powered Image Editing’, Beispiele für ein Quellbild, das gegen Manipulation ‘immunisiert’ wurde (untere Reihe). Quelle: https://arxiv.org/pdf/2302.06588

Seit dem Rückhalt der Künstler gegen die liberale Verwendung von Web-Scraping-Bildern (einschließlich urheberrechtlich geschützter Bilder) durch Stable Diffusion im Jahr 2023 hat die Forschungsszene mehrere Variationen desselben Themas hervorgebracht – die Idee, dass Bilder unsichtbar ‘vergiftet’ werden können, um sie vor der Verwendung in KI-Systemen oder der Aufnahme in generative KI-Pipelines zu schützen, ohne die Bildqualität für den durchschnittlichen Betrachter zu beeinträchtigen.

In allen Fällen besteht eine direkte Korrelation zwischen der Intensität der auferlegten Störung, dem Umfang, in dem das Bild anschließend geschützt wird, und dem Umfang, in dem das Bild nicht ganz so gut aussieht, wie es sollte:

Obwohl die Qualität des Forschungs-PDFs das Problem nicht vollständig veranschaulicht, opfern größere Mengen an adversarialer Störung Qualität für Sicherheit. Hier sehen wir die Vielzahl von Qualitätsstörungen im ‘Fawkes’-Projekt von 2020, das von der University of Chicago geleitet wurde. Quelle: https://arxiv.org/pdf/2002.08327

Besonders für Künstler, die ihre Stile vor unbefugter Aneignung schützen möchten, ist die Fähigkeit solcher Systeme von Interesse, nicht nur Identitäten und andere Informationen zu verschleiern, sondern auch die KI-Trainingsprozesse davon zu überzeugen, dass sie etwas anderes sehen, als sie tatsächlich sehen, sodass keine Verbindungen zwischen semantischen und visuellen Bereichen für ‘geschützte’ Trainingsdaten gebildet werden (d. h. ein Prompt wie ‘Im Stil von Paul Klee’).

Mist und Glaze sind zwei beliebte Injektionsmethoden, die es verhindern oder zumindest stark behindern können, urheberrechtlich geschützte Stile in KI-Workflows und Trainingsroutinen zu verwenden. Quelle: https://arxiv.org/pdf/2506.04394

Eigentor

Jetzt hat eine neue Forschung aus den USA herausgefunden, dass nicht nur Störungen versagen können, ein Bild zu schützen, sondern dass das Hinzufügen von Störungen tatsächlich die Ausbeutbarkeit des Bildes in all den KI-Prozessen, gegen die die Störung immun machen soll, verbessern kann.

Das Papier besagt:

‘In unseren Experimenten mit verschiedenen perturbationsbasierten Bildschutzmethoden in mehreren Domänen (natürliche Szenenbilder und Kunstwerke) und Bearbeitungsaufgaben (Bild-zu-Bild-Generierung und Stilbearbeitung) stellen wir fest, dass ein solcher Schutz dieses Ziel nicht vollständig erreicht.

‘In den meisten Szenarien erzeugt die diffusionsbasierte Bearbeitung von geschützten Bildern ein wünschenswertes Ausgabebild, das den Bearbeitungshinweis genau befolgt.

‘Unsere Ergebnisse deuten darauf hin, dass das Hinzufügen von Rauschen zu Bildern paradoxerweise ihre Assoziation mit gegebenen Textprompts während der Generierung erhöhen kann, was zu unerwünschten Konsequenzen wie besseren resultierenden Bearbeitungen führt.

‘Daher argumentieren wir, dass perturbationsbasierte Methoden möglicherweise keine ausreichende Lösung für einen robusten Bildschutz gegen diffusionsbasierte Bearbeitung bieten.’

In Tests wurden die geschützten Bilder zwei bekannten KI-Bearbeitungsszenarien ausgesetzt: direkte Bild-zu-Bild-Generierung und Stilübertragung. Diese Prozesse spiegeln die gängigen Wege wider, auf denen KI-Modelle geschützte Inhalte ausbeuten könnten, entweder durch direkte Änderung eines Bildes oder durch die Übernahme seiner stilistischen Merkmale für die Verwendung an anderer Stelle.

Die geschützten Bilder, die aus Standardquellen für Fotografie und Kunst stammten, wurden durch diese Pipelines geleitet, um zu sehen, ob die hinzugefügten Störungen die Bearbeitungen blockieren oder verschlechtern könnten.

Stattdessen schien die Anwesenheit von Schutzmaßnahmen oft die Ausrichtung des Modells auf die Prompts zu verschärfen, was saubere, genaue Ausgaben produzierte, wo ein Versagen erwartet worden war.

Die Autoren raten im Wesentlichen, dass diese sehr beliebte Methode des Schutzes möglicherweise ein falsches Sicherheitsgefühl vermittelt und dass alle derartigen perturbationsbasierten Immunisierungsansätze gründlich gegen die Methoden der Autoren getestet werden sollten.

Methode

Die Autoren führten Experimente mit drei Schutzmethoden durch, die sorgfältig konstruierte adversariale Störungen anwenden: PhotoGuard; Mist; und Glaze.

Glaze, eines der von den Autoren getesteten Frameworks, zeigt Glaze-Schutzbeispiele für drei Künstler. Die ersten beiden Spalten zeigen die Originalkunstwerke; die dritte Spalte zeigt Mimikry-Ergebnisse ohne Schutz; die vierte Spalte zeigt stilübertragene Versionen, die für die Optimierung der Verhüllung verwendet wurden, zusammen mit dem Namen des Zielstils. Die fünfte und sechste Spalte zeigen Mimikry-Ergebnisse mit Verhüllung, die bei Störungsstärken p = 0,05 und p = 0,1 angewendet wurden. Alle Ergebnisse verwenden Stable-Diffusion-Modelle. https://arxiv.org/pdf/2302.04222

PhotoGuard wurde auf natürliche Szenenbilder angewendet, während Mist und Glaze auf Kunstwerke (d. h. ‘künstlerisch gestaltete’ Domänen) verwendet wurden.

Die Tests umfassten sowohl natürliche als auch künstlerische Bilder, um mögliche realweltliche Anwendungen widerzuspiegeln. Die Wirksamkeit jeder Methode wurde bewertet, indem überprüft wurde, ob ein KI-Modell immer noch realistische und promptrelevante Bearbeitungen erzeugen konnte, wenn es mit geschützten Bildern arbeitete; wenn die resultierenden Bilder überzeugend und promptrelevant erschienen, wurde der Schutz als gescheitert angesehen.

Stable Diffusion v1.5 wurde als vorgefertigter Bildgenerator für die Bearbeitungsaufgaben der Forscher verwendet. Fünf Samen wurden ausgewählt, um Reproduzierbarkeit sicherzustellen: 9222, 999, 123, 66 und 42. Alle anderen Generierungseinstellungen, wie z. B. Leitungsmaßstab, Stärke und Gesamtschritte, folgten den Standardwerten, die in den PhotoGuard-Experimenten verwendet wurden.

PhotoGuard wurde auf natürliche Szenenbilder mit dem Flickr8k-Dataset getestet, das über 8.000 Bilder enthält, die mit bis zu fünf Untertitelungen versehen sind.

Entgegengesetzte Gedanken

Zwei Satz modifizierter Untertitelungen wurden aus der ersten Untertitelung jedes Bildes mit Hilfe von Claude Sonett 3.5 erstellt. Ein Satz enthielt Prompts, die kontextuell nah an den Originalunterschriften waren; der andere Satz enthielt Prompts, die kontextuell entfernt waren.

Beispielsweise wurde aus der Originalunterschrift ‘Ein junges Mädchen in einem rosa Kleid, das in eine Holzhütte geht’ ein naher Prompt ‘Ein junger Junge in einem blauen Hemd, der in ein Ziegelhaus geht’. Im Gegensatz dazu wäre ein entfernter Prompt ‘Zwei Katzen, die auf einem Sofa herumlungern’.

Nahe Prompts wurden durch Ersetzen von Nomen und Adjektiven mit semantisch ähnlichen Begriffen erstellt; entfernte Prompts wurden durch Anweisung des Modells erstellt, um Untertitelungen zu erstellen, die kontextuell sehr unterschiedlich waren.

Alle generierten Untertitelungen wurden manuell auf Qualität und semantische Relevanz überprüft. Google’s Universal Sentence Encoder wurde verwendet, um semantische Ähnlichkeitswerte zwischen den Original- und den modifizierten Untertitelungen zu berechnen:

Aus dem Zusatzmaterial, semantische Ähnlichkeitsverteilungen für die modifizierten Untertitelungen, die in den Flickr8k-Tests verwendet wurden. Das linke Diagramm zeigt die Ähnlichkeitswerte für nahe modifizierte Untertitelungen, die im Durchschnitt bei etwa 0,6 liegen. Das rechte Diagramm zeigt die umfassend modifizierten Untertitelungen, die im Durchschnitt bei etwa 0,1 liegen, was eine größere semantische Distanz zu den Originalunterschriften widerspiegelt. Werte wurden mit Google’s Universal Sentence Encoder berechnet. Quelle: https://sigport.org/sites/default/files/docs/IncompleteProtection_SM_0.pdf

Jedes Bild, zusammen mit seiner geschützten Version, wurde mit beiden nahe und entfernten Prompts bearbeitet. Der Blind/Referenceless Image Spatial Quality Evaluator (BRISQUE) wurde verwendet, um die Bildqualität zu bewerten:

Bild-zu-Bild-Generierungsergebnisse auf natürlichen Fotografien, die durch PhotoGuard geschützt sind. Trotz der Anwesenheit von Störungen konnte Stable Diffusion v1.5 sowohl kleine als auch große semantische Änderungen in den Bearbeitungshinweisen erfolgreich verfolgen und realistische Ausgaben produzieren, die den neuen Anweisungen entsprachen.

Die generierten Bilder erzielten einen BRISQUE-Wert von 17,88, wobei nahe Prompts 17,82 und entfernte Prompts 17,94 erreichten, während die Originalbilder 22,27 erreichten. Dies zeigt, dass die bearbeiteten Bilder in der Qualität den Originalen nahe kamen.

Metriken

Um zu beurteilen, wie gut die Schutzmaßnahmen die KI-Bearbeitung behinderten, maßen die Forscher, wie gut die endgültigen Bilder den Anweisungen entsprachen, die ihnen gegeben worden waren, indem sie Bewertungssysteme verwendeten, die den Bildinhalt mit dem Textprompt verglichen, um zu sehen, wie gut sie übereinstimmen.

Zu diesem Zweck verwendet die CLIP-S-Metrik ein Modell, das sowohl Bilder als auch Text verstehen kann, um zu überprüfen, wie ähnlich sie sind, während PAC-S++ zusätzliche durch KI erstellte Beispiele hinzufügt, um den Vergleich näher an eine menschliche Schätzung anzupassen.

Diese Bild-Text-Ausrichtung (ITA)-Werte zeigen, wie genau die KI die Anweisungen befolgte, als sie ein geschütztes Bild bearbeitete: wenn ein geschütztes Bild immer noch eine gut ausgerichtete Ausgabe produzierte, wurde der Schutz als gescheitert angesehen, um die Bearbeitung zu blockieren.

Auswirkung des Schutzes auf das Flickr8k-Datensatz über fünf Samen, unter Verwendung von nahe und entfernten Prompts. Die Bild-Text-Ausrichtung wurde mit CLIP-S- und PAC-S++-Werten gemessen.

Die Forscher verglichen, wie gut die KI die Prompts befolgte, wenn sie geschützte Bilder bearbeitete, im Vergleich zu ungeschützten Bildern. Sie betrachteten zunächst die Differenz zwischen den beiden, die als aktuelle Änderung bezeichnet wird. Dann wurde die Differenz skaliert, um eine Prozentuale Änderung zu erstellen, was es einfacher machte, Ergebnisse über viele Tests hinweg zu vergleichen.

Dieser Prozess zeigte, ob die Schutzmaßnahmen es der KI erschwerten oder erleichterten, die Prompts zu befolgen. Die Tests wurden fünfmal mit unterschiedlichen zufälligen Samen wiederholt, wobei sowohl kleine als auch große Änderungen an den Originalunterschriften berücksichtigt wurden.

Kunstangriff

Für die Tests auf natürlichen Fotografien wurde das Flickr1024-Datensatz verwendet, das über 1.000 hochwertige Bilder enthält. Jedes Bild wurde mit Prompts bearbeitet, die dem Muster folgten: ‘Ändere den Stil in [V]’, wobei [V] einen von sieben berühmten Kunststilen repräsentierte: Kubismus; Post-Impressionismus; Impressionismus; Surrealismus; Barock; Fauvismus; und Renaissance.

Der Prozess bestand darin, PhotoGuard auf die Originalbilder anzuwenden, geschützte Versionen zu erstellen und dann sowohl geschützte als auch ungeschützte Bilder durch dieselben Stilübertragungs-Bearbeitungen zu führen:

Original- und geschützte Versionen eines natürlichen Szenenbildes, jedes bearbeitet, um Kubismus-, Surrealismus- und Fauvismus-Stile anzuwenden.

Um Schutzmethoden auf Kunstwerke zu testen, wurde die Stilübertragung auf Bilder aus dem WikiArt-Datensatz durchgeführt, der eine breite Palette von Kunststilen kuratiert. Die Bearbeitungsprompts folgten dem gleichen Format wie zuvor und wiesen die KI an, den Stil in einen zufällig ausgewählten, nicht verwandten Stil aus den WikiArt-Labels zu ändern.

Sowohl die Glaze- als auch die Mist-Schutzmethoden wurden auf die Bilder angewendet, bevor die Bearbeitungen durchgeführt wurden, was es den Forschern ermöglichte, zu beobachten, wie gut jede Verteidigung die Stilübertragungsergebnisse blockieren oder verzerren konnte:

Beispiele dafür, wie Schutzmethoden die Stilübertragung auf Kunstwerke beeinflussen. Das Original-Barock-Bild ist neben Versionen zu sehen, die durch Mist und Glaze geschützt sind. Nach der Anwendung der Kubismus-Stilübertragung können Unterschiede im finalen Ausgabebild beobachtet werden.

Die Forscher testeten die Vergleiche auch quantitativ:

Änderungen in den Bild-Text-Ausrichtungswerten nach Stilübertragungsbearbeitungen.

Zu diesen Ergebnissen kommentieren die Autoren:

‘Die Ergebnisse heben eine signifikante Einschränkung von adversarialen Störungen für den Schutz hervor. Anstatt die Ausrichtung zu behindern, verbessern adversariale Störungen oft die Responsivität des generativen Modells auf Prompts, was unerwünschte Konsequenzen wie eine bessere Ausrichtung der generierten Bilder mit den Zielen der Angreifer ermöglicht. Ein solcher Schutz ist nicht störend für den Bildbearbeitungsprozess und kann möglicherweise nicht verhindern, dass böswillige Akteure unbefugtes Material kopieren.

‘Die unerwarteten Konsequenzen des Einsatzes von adversarialen Störungen offenbaren Schwachstellen in bestehenden Methoden und unterstreichen die dringende Notwendigkeit wirksamerer Schutztechniken.’

Die Autoren erklären, dass die unerwarteten Ergebnisse auf die Funktionsweise von Diffusionsmodellen zurückzuführen sind: LDMs bearbeiten Bilder, indem sie sie zunächst in eine komprimierte Version namens Latent umwandeln; Rauschen wird dann diesem Latent über viele Schritte hinweg hinzugefügt, bis die Daten fast zufällig werden.

Das Modell kehrt diesen Prozess während der Generierung um, indem es das Rauschen schrittweise entfernt. In jeder Phase dieses Umkehrprozesses hilft der Textprompt dabei, wie das Rauschen bereinigt werden soll, und formt das Bild allmählich, um es dem Prompt anzupassen:

Vergleich zwischen Generationen aus einem ungeschützten Bild und einem durch PhotoGuard geschützten Bild, wobei Zwischenzustände in Latentzustände umgewandelt und zur Visualisierung in Bilder zurückgewandelt wurden.

Schutzmethoden fügen kleine Mengen an zusätzlichem Rauschen zum Originalbild hinzu, bevor es in diesen Prozess eintritt. Obwohl diese Störungen anfangs gering sind, summieren sie sich, während das Modell seine eigenen Rauschenschichten anwendet.

Dieses Anwachsen lässt mehr Teile des Bildes ‘unsicher’, wenn das Modell beginnt, Rauschen zu entfernen. Mit größerer Unsicherheit verlässt sich das Modell stärker auf den Textprompt, um die fehlenden Details auszufüllen, was dem Prompt noch mehr Einfluss gibt, als es normalerweise hätte.

Die Schutzmaßnahmen machen es somit einfacher für die KI, das Bild so umzuformen, dass es dem Prompt entspricht, anstatt es schwieriger zu machen.

Schließlich führten die Autoren einen Test durch, bei dem sie handgefertigte Störungen aus dem ‘Raising the Cost of Malicious AI-Powered Image Editing’-Papier ersetzt durch reines Gaußsches Rauschen.

Die Ergebnisse folgten dem gleichen Muster wie zuvor beobachtet: über alle Tests hinweg blieben die prozentualen Änderungswerte positiv. Sogar dieses zufällige, unstrukturierte Rauschen führte zu einer stärkeren Ausrichtung zwischen den generierten Bildern und den Prompts.

Auswirkung der simulierten Schutzverwendung mit Gaußschem Rauschen auf das Flickr8k-Datensatz.

Dies unterstützte die zugrunde liegende Erklärung, dass jedes hinzugefügte Rauschen, unabhängig von seiner Konstruktion, mehr Unsicherheit für das Modell während der Generierung schafft, was es dem Textprompt ermöglicht, noch mehr Kontrolle über das endgültige Bild auszuüben.

Schlussfolgerung

Die Forschungsszene hat adversariale Störungen für das LDM-Urheberrechtsproblem so lange verfolgt, wie LDMs existieren; aber keine widerstandsfähigen Lösungen sind aus der außergewöhnlichen Anzahl von Veröffentlichungen auf diesem Gebiet hervorgegangen.

Entweder verringern die auferlegten Störungen die Bildqualität übermäßig, oder die Muster erweisen sich als nicht widerstandsfähig gegenüber Manipulationen und transformatorischen Prozessen.

Es ist jedoch ein harter Traum, den man aufgeben muss, da die Alternative scheinbar darin besteht, Drittanbieter-Überwachungs- und Herkunftsframeworks wie das von Adobe initiierte C2PA-Schema zu verwenden, das eine Kettenverfolgung für Bilder vom Kamerasensor an aufrechterhält, aber keine innere Verbindung zum dargestellten Inhalt hat.

Falls adversariale Störungen tatsächlich das Problem verschlimmern, wie das neue Papier in vielen Fällen andeuten könnte, fragt man sich, ob die Suche nach Urheberrechtsschutz durch solche Mittel unter ‘Alchemie’ fällt.

Erstveröffentlichung am Montag, den 9. Juni 2025