AI Mungkin Secara Rahasia Menilai Gambar Berdasarkan Merek Perangkat, Bukan Isi

Penelitian baru menemukan bahwa sistem AI yang berfokus pada gambar tidak hanya melihat apa yang ada di dalam foto, tetapi juga memperhatikan bagaimana foto itu diambil. Detail tersembunyi seperti jenis kamera atau kualitas gambar dapat secara diam-diam mempengaruhi apa yang AI pikir itu lihat, menyebabkan hasil yang salah – hanya karena foto itu berasal dari perangkat yang berbeda.

Pada tahun 2012, terungkap bahwa sebuah situs web perjalanan secara teratur menampilkan harga yang lebih tinggi kepada pengguna yang dapat diduga sedang browsing menggunakan perangkat Apple, mengaitkan merek Apple (AAPL ) dengan daya beli yang lebih tinggi. Investigasi lebih lanjut menyimpulkan bahwa ini menjadi hampir rutin untuk situs e-commerce.

Demikian pula, kamera atau perangkat tangkap yang digunakan untuk mengambil sebuah foto dapat ditebak dengan cara forensik, berdasarkan karakteristik yang diketahui dari sejumlah lensa dalam model. Dalam kasus seperti itu, model perangkat tangkap biasanya diperkirakan oleh jejak visual; dan, seperti pada insiden 2012, mengetahui jenis kamera yang mengambil gambar adalah karakteristik yang dapat dieksploitasi.

Meskipun perangkat tangkap cenderung menyematkan metadata yang signifikan ke dalam gambar, fitur ini sering dapat dimatikan oleh pengguna; bahkan jika diaktifkan, platform distribusi seperti jaringan media sosial mungkin menghapus beberapa atau semua metadata, baik untuk alasan logistik atau privasi, atau keduanya.

Namun, metadata dalam gambar yang diunggah oleh pengguna sering kali tidak dihapus, tetapi ditulis ulang atau ditafsirkan, sebagai sumber informasi sekunder tentang bagaimana gambar itu diambil. Seperti yang terungkap dalam kasus 2012, informasi jenis ini dapat berharga – tidak hanya bagi platform komersial, tetapi juga, potensial, bagi peretas dan aktor jahat.

Dua Perspektif

Kolaborasi penelitian baru antara Jepang dan Republik Ceko menemukan bahwa jejak yang ditinggalkan oleh perangkat keras kamera dan pemrosesan gambar (seperti kualitas JPEG atau pemotongan lensa) tidak hanya dapat dideteksi oleh alat forensik tetapi juga dikodekan secara diam-diam dalam ‘pemahaman global’ model visi AI yang memimpin.

Ini termasuk CLIP dan pengkode visual skala besar lainnya, yang secara luas digunakan dalam segala sesuatu dari mesin pencari hingga moderasi konten. Penelitian baru ini menunjukkan bahwa model-model ini tidak hanya menafsirkan apa yang ada dalam foto, tetapi juga dapat belajar bagaimana foto itu dibuat; dan sinyal tersembunyi ini kadang-kadang dapat mengalahkan konten yang terlihat.

Contoh pasangan gambar dari dataset PairCams yang dibuat oleh penulis, untuk menguji bagaimana jenis kamera mempengaruhi model gambar AI. Setiap pasangan menampilkan objek atau adegan yang sama yang difoto pada saat yang sama menggunakan kamera non-smartphone (kiri) dan smartphone (kanan). Sumber: https://arxiv.org/pdf/2508.10637

Penelitian ini menyatakan bahwa bahkan ketika model AI diberikan versi gambar yang sangat tersembunyi atau terpotong, mereka masih dapat menebak merek dan model kamera dengan akurasi yang mengejutkan. Ini berarti bahwa ruang representasi yang digunakan sistem ini untuk menilai kesamaan gambar dapat menjadi terjalin dengan faktor-faktor yang tidak relevan, seperti perangkat pengguna, dengan konsekuensi yang tidak terduga.

Misalnya, dalam tugas downstream seperti klasifikasi atau pengambilan gambar, ‘penimbangan’ yang tidak diinginkan ini dapat menyebabkan sistem memfavoritkan jenis kamera tertentu, terlepas dari apa yang sebenarnya ditampilkan dalam gambar.

Makalah ini menyatakan:

‘Label metadata yang meninggalkan jejak dalam pengkode visual hingga titik mengalahkan informasi semantik dapat menyebabkan hasil yang tidak terduga, mengompromikan generalisasi, kekuatan, dan potensial mengancam kepercayaan model.

‘Lebih kritis, efek ini dapat dieksploitasi secara jahat; misalnya, serangan adversarial dapat memanipulasi metadata untuk sengaja menyesatkan atau menipu model, membahayakan domain yang sensitif seperti kesehatan, pengawasan, atau sistem otonom.’

Penelitian ini menemukan bahwa sistem Visual-Language Kontrastif (CVL) seperti CLIP, sekarang salah satu pengkode paling berpengaruh dalam penglihatan komputer, sangat mungkin mendapatkan inferensi tersebut dari data:

Hasil pencarian untuk gambar kueri, menunjukkan bagaimana model dasar menilai gambar serupa tidak hanya berdasarkan konten visual tetapi juga metadata tersembunyi seperti kompresi JPEG atau model kamera.

Makalah baru ini berjudul Jejak Pemrosesan dan Akuisisi dalam Pengkode Visual: Apa yang CLIP Ketahui tentang Kamera Anda?, dan berasal dari enam peneliti di Universitas Osaka dan Universitas Teknik Ceko di Praha.

Metode dan Data*

Untuk menguji pengaruh metadata tersembunyi pada pengkode visual seperti CLIP, penulis bekerja dengan dua kategori metadata: parameter pemrosesan gambar (seperti kompresi JPEG atau pemotongan) dan parameter akuisisi (seperti model kamera atau pengaturan eksposur).

Peneliti tidak melatih model baru, tetapi mengevaluasi 47 pengkode visual yang secara luas digunakan dalam keadaan beku dan pra-dilatih, termasuk model visi-bahasa kontrastif seperti CLIP, model mandiri seperti DINO, dan jaringan yang dikawasi secara konvensional.

Untuk parameter pemrosesan, peneliti menerapkan transformasi yang dikendalikan ke dataset ImageNet dan iNaturalist 2018, termasuk enam tingkat kompresi JPEG, tiga pengaturan pemotongan, tiga skala pengubahan ukuran, dan empat metode interpolasi.

Contoh gambar dan anotasi yang terkait dari dataset iNaturalist. Sumber: https://arxiv.org/pdf/1707.06642

Model-model ini diuji pada kemampuan mereka untuk memulihkan setiap pengaturan transformasi menggunakan hanya konten gambar, dengan prediksi yang sukses menunjukkan bahwa pengkode tersebut mempertahankan informasi tentang pilihan pemrosesan dalam representasi internalnya.

Untuk memeriksa parameter akuisisi, peneliti mengompilasi dataset 356.459 gambar yang disebut FlickrExif, yang berisi metadata Exif yang dipreservasi, dan membangun dataset kedua yang disebut PairCams, yang terdiri dari 730 pasangan gambar yang diambil secara bersamaan dengan kamera smartphone dan kamera non-smartphone.

Dataset FlickrExif dibangun menggunakan API Flickr untuk mengunduh gambar dengan metadata Exif yang menyertainya. Antara 2.000 dan 4.000 gambar yang aman untuk dilihat dikumpulkan per bulan, yang diberi tanggal dari awal 2000 hingga pertengahan 2024, dan disaring untuk hanya menyertakan gambar dengan lisensi yang memungkinkan. Untuk mencegah overrepresentasi oleh pengguna yang banyak, setiap kontributor individu dibatasi hingga sepuluh gambar per bulan untuk setiap tahun tertentu.

Untuk dataset PairCams, setiap foto diambil menggunakan pengaturan otomatis dan tanpa flash, memungkinkan perbandingan tentang bagaimana pengkode visual merespons perbedaan dalam perangkat keras kamera saja, terlepas dari konten gambar:

Contoh lebih lanjut dari dataset PairCams yang dikurasi oleh penulis.

Penulis menguji dua set parameter: parameter pemrosesan gambar, seperti kompresi dan transformasi warna; dan parameter akuisisi, seperti merek kamera atau pengaturan eksposur:

Parameter pemrosesan gambar dan akuisisi yang dianalisis, dengan jumlah kelas untuk masing-masing.

Pengujian

Untuk menentukan apakah informasi tentang pemrosesan gambar dan jenis kamera disimpan dalam representasi model, penulis melatih sebuah klasifikasi untuk memprediksi label metadata langsung dari representasi tersebut. Jika klasifikasi tersebut tidak lebih baik dari tebakan acak, itu akan menunjukkan bahwa detail tentang pemrosesan atau perangkat tidak ditangkap oleh model.

Namun, setiap kinerja di atas kesempatan akan menunjukkan bahwa jejak teknis ini memang dikodekan dan dapat mempengaruhi tugas downstream.

Untuk menguji jejak pemrosesan, penulis menetapkan setiap gambar pelatihan dengan pengaturan pemrosesan acak, seperti tingkat kompresi JPEG tertentu, sementara semua gambar uji dalam batch berbagi pengaturan yang sama.

Akurasi klasifikasi rata-rata di seluruh pengaturan kemudian digabungkan dengan percobaan berulang di bawah benih acak yang berbeda, sehingga dapat ditentukan apakah detail teknis pemrosesan gambar secara konsisten ditangkap dalam representasi internal model:

Akurasi klasifikasi untuk memprediksi parameter pemrosesan gambar dari representasi pengkode, menggunakan klasifikasi linier yang diterapkan pada model yang beku. Hasil ditampilkan untuk kompresi JPEG, pemotongan, pengubahan ukuran, dan interpolasi, dengan tiga kategori model, visi-bahasa kontrastif (oranye), dikawasi (hijau), dan mandiri (biru), dievaluasi pada ImageNet (baris atas) dan iNaturalist 2018 (baris bawah). Garis dasar tebakan acak ditandai dengan garis putus-putus.

Di seluruh empat parameter pemrosesan, model visi-bahasa kontrastif menunjukkan kemampuan tertinggi untuk mengenali manipulasi gambar tersembunyi. Beberapa model mencapai lebih dari 80% akurasi ketika memprediksi pengaturan kompresi JPEG, pemotongan, dan pengubahan ukuran dari representasi ImageNet.

Model pengkode yang dikawasi, terutama yang berdasarkan ConvNeXt, juga menunjukkan kinerja yang kuat, sedangkan model mandiri secara konsisten lebih lemah.

Interpolasi adalah parameter yang paling sulit untuk dideteksi, namun model CVL dan pengkode yang dikawasi masih mencapai hasil yang jauh di atas garis dasar tebakan acak 25% pada kedua dataset.

Setelah itu, untuk menguji apakah informasi kamera terkait disimpan dalam representasi model, penulis membuat set pelatihan dan uji yang terpisah untuk setiap parameter akuisisi (seperti merek kamera, model kamera, eksposur, aperture, ISO, dan panjang fokus).

Untuk sebagian besar parameter, hanya kelas dengan setidaknya 5.000 contoh yang digunakan; 500 gambar dipilih secara acak untuk diuji, dan contoh yang tersisa di-downsample sehingga setiap kelas memiliki 200 contoh pelatihan. Untuk parameter ‘model (semua)’ dan ‘model (pintar)’, yang memiliki data yang lebih sedikit per kelas, penulis menggunakan kelas dengan setidaknya 500 gambar, dan membagi setiap kelas menjadi subset pelatihan dan uji dengan rasio empat-ke-satu.

Fotografer dipisahkan di seluruh set pelatihan, validasi, dan uji, dan sebuah klasifikasi sederhana dilatih untuk memprediksi informasi kamera berdasarkan fitur gambar.

Untuk memastikan bahwa klasifikasi tersebut tidak dipengaruhi oleh konten semantik gambar, 90% dari setiap gambar dipusatkan (lihat contoh di bawah). Penulis menyatakan bahwa pada tingkat penyamaran ini, semua pengkode visual menunjukkan kinerja yang dekat dengan acak pada ImageNet, menunjukkan bahwa sinyal semantik telah efektif ditekan:

Akurasi validasi ImageNet sebagai fungsi dari rasio penyamaran. Pada 90% penyamaran, semua model menurun ke kinerja yang hampir acak pada prediksi label semantik, menunjukkan bahwa petunjuk semantik telah efektif dihilangkan. Gambar contoh di bagian bawah mengilustrasikan tingkat penyamaran.

Even dengan 90% dari setiap gambar dipusatkan, sebagian besar model visi-bahasa kontrastif dan pengkode yang dikawasi ConvNeXt masih memprediksi label kamera dengan akurasi yang jauh di atas kesempatan. Banyak model CVL melebihi 70% akurasi dalam membedakan gambar yang diambil dengan kamera smartphone dan non-smartphone.

Model pengkode yang dikawasi lainnya, SigLIP, dan semua model mandiri menunjukkan kinerja yang jauh lebih lemah. Ketika tidak ada penyamaran yang diterapkan, model CVL lagi-lagi menunjukkan pengelompokan yang paling kuat berdasarkan jenis kamera, mengkonfirmasi bahwa model-model ini menyimpan informasi akuisisi lebih dalam daripada yang lain:

Visualisasi t-SNE untuk dua pengkode visual, dengan warna yang menunjukkan apakah setiap gambar diambil dengan kamera smartphone atau non-smartphone.

Signifikansi Downstream

Setelah menetapkan bahwa metadata mempengaruhi model dengan cara ini, kemampuan jejak pemrosesan tersembunyi untuk mengganggu interpretasi gambar kemudian dievaluasi.

Ketika dua versi dari gambar yang sama diproses secara berbeda, representasi sering kali diatur berdasarkan gayanya pemrosesan daripada konten. Dalam beberapa kasus, foto yang dikompresi berat dari seekor anjing dianggap lebih mirip dengan gambar yang tidak terkait yang memiliki pengaturan kompresi yang sama daripada dengan versi yang tidak dikompresi dari gambar yang sama:

Dampak parameter pemrosesan pada prediksi semantik, menampilkan akurasi klasifikasi semantik untuk ImageNet (atas) dan iNaturalist (bawah) di bawah lima pengaturan pemrosesan. Pada baseline, semua gambar pelatihan dan uji berbagi label pemrosesan yang sama; pada pengaturan all-diff, gambar uji menggunakan label pemrosesan yang tidak ada dalam set pelatihan; pada pos-same dan neg-same, label pemrosesan diselaraskan baik dengan gambar semantik yang mirip atau tidak mirip; pada pengaturan seragam, label pemrosesan ditetapkan secara acak di seluruh set pelatihan. Hasil dilaporkan menggunakan k = 10 untuk ImageNet, dan k = 1 untuk iNaturalist.

Distorsi terkuat disebabkan oleh kompresi JPEG, diikuti oleh pemotongan dan pengubahan ukuran, sedangkan interpolasi hanya menghasilkan efek yang sangat kecil. Penulis menyatakan bahwa hasil ini menunjukkan bahwa jejak pemrosesan dapat mengalahkan informasi semantik dan menentukan bagaimana gambar dipahami.

Dalam kesimpulan, mereka memperingatkan:

‘Meskipun kami telah mengidentifikasi bahwa label metadata dikodekan dalam pengkode visual dasar dan memberikan petunjuk tentang kemungkinan penyebab, kami tidak dapat menentukan sumber masalah dengan pasti. Mengevaluasi lebih lanjut adalah tantangan karena biaya pelatihan model seperti itu dan penggunaan dataset pribadi serta detail implementasi yang tidak diungkapkan.

‘Meskipun kami tidak mengusulkan teknik mitigasi spesifik, kami menyoroti masalah ini sebagai area penelitian yang penting untuk masa depan.’

Kesimpulan

Dalam literatur, ada minat forensik yang berkembang terkait jejak dan tanda ‘metode lebih dari konten’; semakin mudah mengidentifikasi domain pembingkaian atau dataset tertentu, semakin mudah untuk memanfaatkan informasi ini dalam bentuk – misalnya – detektor deepfake, atau sistem yang dirancang untuk mengategorikan provenance atau usia data dan model.

Semua ini bertentangan dengan niat inti pelatihan model AI, yang adalah konsep inti yang harus dikurasi secara independen dari cara produksi, dan tidak boleh menunjukkan jejak dari cara produksi tersebut. Faktanya, dataset dan perangkat tangkap memiliki karakteristik dan ciri domain yang secara efektif tidak dapat dipisahkan dari konten, karena mereka sendiri juga mewakili ‘perspektif historis’.

* Makalah ini memiliki tata letak yang tidak konvensional, dan kami akan beradaptasi sebaik mungkin dengan format dan presentasi yang tidak biasa. Sejumlah besar materi yang seharusnya ada di bagian ‘Metode’ telah dipindahkan ke berbagai bagian lampiran, kemungkinan untuk membatasi makalah utama hingga delapan halaman – meskipun dengan biaya yang cukup besar dalam hal kejelasan. Jika kami melewatkan kesempatan untuk memperbaiki ini, karena keterbatasan waktu, kami meminta maaf.

Dipublikasikan pertama kali pada hari Rabu, 20 Agustus 2025