Les images auto-authentifiées grâce à la simple compression JPEG

Les préoccupations concernant les risques posés par les images manipulées apparaissent régulièrement dans les recherches au cours des dernières années, en particulier à la lumière d’un nouveau regain de frameworks d’édition d’images basés sur l’IA capables de modifier les images existantes, plutôt que de les créer de toute pièce.

La plupart des systèmes de détection proposés pour lutter contre ce type de contenu se divisent en deux catégories: la première est le watermarking – une approche de repli intégrée au cadre de véracité des images maintenant promu par la Coalition pour la provenance et l’authenticité du contenu (C2PA).

La procédure de watermarking C2PA est une approche de repli, si le contenu de l’image devient séparé de son manifeste d’origine et en cours. Source: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Ces “signaux secrets” doivent ensuite être robustes aux procédures automatiques de ré-encodage / optimisation qui se produisent souvent lorsqu’une image transite à travers les réseaux sociaux et les portails et les plateformes – mais ils ne sont souvent pas résistants au type de ré-encodage avec perte appliqué par la compression JPEG (et malgré la concurrence de prétendants tels que webp, le format JPEG est toujours utilisé pour environ 74,5 % de toutes les images de sites Web).

La deuxième approche consiste à rendre les images sensibles aux manipulations, comme initialement proposé dans le document de 2013 Schéma d’authentification de l’intégrité des images basé sur la théorie des points fixes. Au lieu de s’appuyer sur des filigranes ou des signatures numériques, cette méthode utilise une transformation mathématique appelée convolution et déconvolution gaussiennes (GCD) pour pousser les images vers un état stable qui se briserait si elles étaient modifiées.

Résultats de localisation de la falsification à l’aide d’une image à point fixe avec un PSNR de 59,7802 dB. Les rectangles blancs indiquent les régions soumises à des attaques. Le panneau A (gauche) affiche les modifications appliquées, y compris le bruit localisé, le filtrage et les attaques basées sur la copie. Le panneau B (droite) montre la sortie de détection correspondante, mettant en évidence les zones falsifiées identifiées par le processus d’authentification. Source: https://arxiv.org/pdf/1308.0679

Le concept est peut-être le plus facile à comprendre dans le contexte de la réparation d’un tissu de dentelle délicat: quoi que soit le niveau de compétence employé pour réparer le filigrane, la partie réparée sera inévitablement discernable.

Ce type de transformation, lorsqu’il est appliqué à plusieurs reprises à une image en niveaux de gris, pousse progressivement l’image vers un état où l’application de la transformation à nouveau ne produit aucun changement.

Cette version stable de l’image est appelée un point fixe. Les points fixes sont rares et très sensibles aux changements – toute petite modification d’une image à point fixe altérera presque certainement son statut fixe, ce qui rend facile la détection de la falsification.

Comme d’habitude avec de telles approches, les artefacts de la compression JPEG peuvent menacer l’intégrité du schéma:

À gauche, on voit un filigrane appliqué au visage de l’image iconique ‘Lenna’ (Lena), qui est clair sous une compression normale. À droite, avec une compression JPEG à 90 %, on peut voir que la distinction entre le filigrane perçu et la croissance du bruit JPEG est en baisse. Après plusieurs enregistrements, ou aux réglages de compression les plus élevés, la majorité des schémas de filigrane sont confrontés à des problèmes d’artefacts de compression JPEG. Source: https://arxiv.org/pdf/2106.14150

Et si, au lieu de cela, les artefacts de compression JPEG pouvaient être utilisés comme moyen central d’obtenir un point fixe? Dans ce cas, il n’y aurait pas besoin de systèmes supplémentaires, puisque le même mécanisme qui pose généralement des problèmes pour le filigrane et la détection de la falsification formerait la base même du cadre de détection de la falsification.

La compression JPEG comme référence de sécurité

Un tel système est proposé dans un nouvel article de deux chercheurs de l’Université de Buffalo à l’Université d’État de New York. Intitulé Image sensible à la falsification à l’aide de points fixes JPEG, le nouvel article s’appuie sur les travaux de 2013 et les travaux connexes, en formulant officiellement ses principes centraux pour la première fois, ainsi qu’en exploitant ingénieusement la compression JPEG elle-même comme moyen de produire potentiellement une image “auto-authentifiée”.

Les auteurs développent:

‘L’étude révèle qu’une image reste inchangée après avoir subi plusieurs cycles du même processus de compression et de décompression JPEG.

‘En d’autres termes, si un seul cycle de compression et de décompression JPEG est considéré comme une transformation de l’image, appelée transformation JPEG, alors cette transformation présente la propriété d’avoir des points fixes, c’est-à-dire des images qui restent inchangées lorsque la transformation JPEG est appliquée.’

De l’article, une illustration de la convergence des points fixes JPEG. Dans la rangée supérieure, on voit une image exemple subissant une compression JPEG répétée, avec chaque itération montrant le nombre et l’emplacement des pixels modifiés; dans la rangée inférieure, la distance L2 pixel par pixel entre les itérations consécutives est tracée à travers différents paramètres de qualité de compression. Ironiquement, aucune meilleure résolution de cette image n’est disponible. Source: https://arxiv.org/pdf/2504.17594

Plutôt que d’introduire des transformations externes ou des filigranes, le nouvel article définit le processus JPEG lui-même comme un système dynamique. Dans ce modèle, chaque cycle de compression et de décompression déplace l’image vers un point fixe. Les auteurs prouvent qu’après un nombre fini d’itérations, toute image atteint ou approxime un état où une compression supplémentaire ne produira aucun changement.

Les chercheurs déclarent*:

‘Toute altération de l’image entraînera des écarts par rapport aux points fixes JPEG, qui peuvent être détectés comme des changements dans les blocs JPEG après un seul cycle de compression et de décompression…

‘Les images sensibles à la falsification basées sur les points fixes JPEG ont deux avantages. Premièrement, les images sensibles à la falsification éliminent le besoin de stockage externe de caractéristiques vérifiables, comme requis par l’empreinte d’image [schémas], ou l’incorporation de traces cachées, comme dans les méthodes de filigrane d’image. L’image elle-même sert de preuve d’authenticité, ce qui rend le schéma inhéremment auto-évident.

‘Deuxièmement, puisque JPEG est un format largement utilisé et souvent la dernière étape du pipeline de traitement d’image, la méthode proposée est résistante aux opérations JPEG. Cela contraste avec l’approche originale [approche] qui peut perdre les traces d’intégrité en raison de JPEG.’

L’article met en évidence que la convergence JPEG n’est pas seulement un sous-produit de sa conception, mais un résultat mathématiquement inévitable de ses opérations. La transformation cosinus discrète, la quantification, l’arrondi et la troncature forment ensemble une transformation qui (dans les bonnes conditions) conduit à un ensemble prévisible de points fixes.

Schéma du processus de compression/décompression JPEG formulé pour le nouveau travail.

Contrairement au filigrane, cette méthode ne nécessite aucun signal incorporé. La seule référence est la cohérence de l’image elle-même sous une compression supplémentaire. Si la recompression produit aucun changement, l’image est présumée authentique. Si elle produit un changement, la falsification est indiquée par l’écart.

Tests

Les auteurs ont validé ce comportement en utilisant un million de patches aléatoires de huit par huit pixels de données d’image en niveaux de gris à huit bits. En appliquant une compression et une décompression JPEG répétées à ces patches synthétiques, ils ont observé que la convergence vers un point fixe se produit dans un nombre fini d’étapes. Ce processus a été surveillé en mesurant la distance L2 pixel par pixel entre les itérations consécutives, avec les différences diminuant jusqu’à ce que les patches se stabilisent.

Différence L2 entre les itérations consécutives pour un million de patches 8×8, mesurée sous différentes qualités de compression JPEG. Chaque processus commence avec un patch JPEG compressé unique et suit la réduction de la différence à travers les compressions répétées.

Pour évaluer la détection de la falsification, les auteurs ont construit des images JPEG sensibles à la falsification et appliqué quatre types d’attaques: bruit de sel et de poivre; opérations de copie-déplacement; incorporation de sources externes; et double compression JPEG à l’aide d’une table de quantification différente.

Exemple d’images RGB à point fixe avec détection et localisation de la falsification, y compris les quatre méthodes de perturbation utilisées par les auteurs. Dans la rangée inférieure, on peut voir que chaque style de perturbation trahit lui-même, par rapport à l’image à point fixe générée.

Après la falsification, les images ont été recompressées en utilisant la matrice de quantification d’origine. Les écarts par rapport au point fixe ont été détectés en identifiant les blocs d’image qui présentaient des différences non nulles après la recompression, permettant à la fois la détection et la localisation des régions falsifiées.

Puisque la méthode est basée entièrement sur des opérations JPEG standard, les images à point fixe fonctionnent parfaitement avec les visionneuses et les éditeurs JPEG réguliers; mais les auteurs notent que si l’image est recompressée à un niveau de qualité différent, elle peut perdre son statut de point fixe, ce qui pourrait rompre l’authentification, et doit être géré avec soin dans une utilisation réelle.

Alors que cela n’est pas seulement un outil pour analyser la sortie JPEG, cela n’ajoute pas non plus beaucoup de complexité. En principe, il pourrait être intégré dans les flux de travail existants avec un coût ou une perturbation minimal.

L’article reconnaît qu’un adversaire sophistiqué pourrait essayer de créer des changements adverses qui préservent le statut de point fixe; mais les chercheurs soutiennent que de tels efforts introduiraient probablement des artefacts visibles, sapant l’attaque.

Alors que les auteurs ne prétendent pas que les JPEG à point fixe pourraient remplacer des systèmes de provenance plus larges tels que C2PA, ils suggèrent que les méthodes de point fixe pourraient compléter les cadres de métadonnées externes en offrant une couche supplémentaire de preuve de falsification qui persiste même lorsque les métadonnées sont supprimées ou perdues.

Conclusion

L’approche de point fixe JPEG offre une alternative simple et autonome aux systèmes d’authentification conventionnels, ne nécessitant aucune métadonnée incorporée, aucun filigrane ou aucun fichier de référence externe, et dérivant plutôt l’authenticité directement du comportement prévisible du processus de compression.

De cette façon, la méthode récupère la compression JPEG – une source fréquente de dégradation des données – comme un mécanisme de vérification de l’intégrité. À cet égard, le nouvel article est l’une des approches les plus innovantes et les plus ingénieuses pour résoudre le problème que j’aie rencontrées au cours des dernières années.

Le nouveau travail indique un déplacement loin des couches de sécurité ajoutées, et vers les approches qui tirent parti des caractéristiques intégrées du média lui-même. À mesure que les méthodes de falsification deviennent plus sophistiquées, les techniques qui testent la structure interne de l’image pourraient commencer à avoir plus d’importance.

De plus, de nombreux systèmes alternatifs proposés pour résoudre ce problème introduisent une friction importante en exigeant des changements dans les flux de traitement d’image bien établis – certains d’entre eux fonctionnant de manière fiable depuis des années, voire des décennies, et qui exigeraient une justification beaucoup plus solide pour une révision.

* Ma conversion des citations en ligne des auteurs en hyperliens.

Publié pour la première fois vendredi 25 avril 2025