Le immagini “protette” sono più facili, non più difficili, da rubare con l’AI

Nuove ricerche suggeriscono che gli strumenti di watermarking destinati a bloccare le modifiche delle immagini AI potrebbero avere l’effetto contrario. Invece di fermare modelli come Stable Diffusion dalle modifiche, alcune protezioni effettivamente aiutano l’AI a seguire più da vicino le istruzioni di editing, rendendo le manipolazioni indesiderate ancora più facili.

Esiste un filone robusto e noto nella letteratura di computer vision dedicato a proteggere le immagini coperte da copyright dall’essere addestrate in modelli AI o dall’essere utilizzate in processi di immagine-ai-immagine. Sistemi di questo tipo sono generalmente rivolti ai Modelli di diffusione latente (LDM) come Stable Diffusion e Flux, che utilizzano procedure basate sul rumore per codificare e decodificare le immagini.

Inserendo rumore avversario in immagini altrimenti normali, è possibile causare che i rilevatori di immagini indovinino il contenuto dell’immagine in modo errato e ostacolino i sistemi di generazione di immagini dall’utilizzare dati coperti da copyright:

Dal paper di MIT ‘Raising the Cost of Malicious AI-Powered Image Editing’, esempi di un’immagine di origine ‘immunizzata’ contro la manipolazione (riga inferiore). Fonte: https://arxiv.org/pdf/2302.06588

Dal ritorno di fiamma degli artisti contro l’uso liberale di Stable Diffusion di immagini web-scraped (incluse immagini coperte da copyright) nel 2023, la scena della ricerca ha prodotto molte variazioni sullo stesso tema – l’idea che le immagini possano essere invisibilmente ‘avvelenate’ contro l’addestramento in sistemi AI o l’uso in pipeline di generazione di immagini AI, senza influire negativamente sulla qualità dell’immagine per l’osservatore medio.

In tutti i casi, esiste una correlazione diretta tra l’intensità della perturbazione imposta, l’estensione della quale l’immagine è successivamente protetta e l’estensione della quale l’immagine non sembra proprio così buona come dovrebbe:

Sebbene la qualità del PDF di ricerca non illustri completamente il problema, quantità maggiori di perturbazione avversaria sacrificano la qualità per la sicurezza. Qui vediamo la gamma di disturbi di qualità nel progetto ‘Fawkes’ del 2020 guidato dall’Università di Chicago. Fonte: https://arxiv.org/pdf/2002.08327

Di particolare interesse per gli artisti che cercano di proteggere i loro stili contro l’appropriazione non autorizzata è la capacità di tali sistemi non solo di oscurare l’identità e altre informazioni, ma di ‘convincere’ un processo di addestramento AI che sta vedendo qualcosa di diverso da ciò che sta realmente vedendo, in modo che non si formino collegamenti tra domini semantici e visivi per i dati di addestramento ‘protetti’ (ad esempio, un prompt come ‘Nello stile di Paul Klee’).

Mist e Glaze sono due metodi di iniezione popolari in grado di prevenire, o almeno ostacolare gravemente, i tentativi di utilizzare stili coperti da copyright in workflow e routine di addestramento AI. Fonte: https://arxiv.org/pdf/2506.04394

Autogol

Ora, una nuova ricerca negli Stati Uniti ha scoperto che non solo le perturbazioni possono non proteggere un’immagine, ma che l’aggiunta di perturbazione può effettivamente migliorare l’esploitabilità dell’immagine in tutti i processi AI che la perturbazione è destinata a immunizzare.

Il paper afferma:

‘Nei nostri esperimenti con vari metodi di protezione basati su perturbazione su più domini (immagini di scena naturale e opere d’arte) e compiti di editing (generazione di immagine-ai-immagine e editing di stile), scopriamo che tale protezione non raggiunge completamente l’obiettivo.

‘Nella maggior parte degli scenari, l’editing di diffusione delle immagini protette genera un’immagine di output desiderabile che aderisce precisamente al prompt di guida.

‘I nostri risultati suggeriscono che l’aggiunta di rumore alle immagini può paradossalmente aumentare la loro associazione con i prompt di testo dati durante il processo di generazione, portando a conseguenze indesiderate come risultati di editing migliori.

‘Pertanto, sosteniamo che i metodi basati su perturbazione potrebbero non fornire una soluzione sufficiente per una protezione robusta delle immagini contro l’editing basato sulla diffusione.’

Nei test, le immagini protette sono state esposte a due scenari di editing AI familiari: la generazione di immagine-ai-immagine diretta e il trasferimento di stile. Questi processi riflettono i modi comuni in cui i modelli AI potrebbero sfruttare contenuti protetti, sia modificando direttamente un’immagine, sia prendendo in prestito i suoi tratti stilistici per utilizzarli altrove.

Le immagini protette, tratte da fonti standard di fotografia e arte, sono state eseguite attraverso questi pipeline per vedere se le perturbazioni aggiunte potessero bloccare o degradare gli editing.

Invece, la presenza di protezione ha spesso sembrato affinare l’allineamento del modello con i prompt, producendo output puliti e precisi dove ci si aspettava qualche fallimento.

Gli autori consigliano, di fatto, che questo metodo di protezione molto popolare potrebbe fornire una falsa sensazione di sicurezza e che qualsiasi approccio di immunizzazione basato sulla perturbazione dovrebbe essere testato a fondo contro i metodi degli autori.

Metodo

Gli autori hanno eseguito esperimenti utilizzando tre metodi di protezione che applicano perturbazioni avversarie progettate con cura: PhotoGuard; Mist; e Glaze.

Glaze, uno dei framework testati dagli autori, che illustra esempi di protezione Glaze per tre artisti. Le prime due colonne mostrano le opere d’arte originali; la terza colonna mostra i risultati di mimicry senza protezione; la quarta, versioni di stile trasferito utilizzate per l’ottimizzazione del mantello, insieme al nome dello stile di destinazione. Le quinte e seste colonne mostrano i risultati di mimicry con il mantello applicato ai livelli di perturbazione p = 0,05 e p = 0,1. Tutti i risultati utilizzano modelli Stable Diffusion. https://arxiv.org/pdf/2302.04222

PhotoGuard è stato applicato a immagini di scena naturale, mentre Mist e Glaze sono stati utilizzati su opere d’arte (ad esempio, domini ‘stilistici’).

I test hanno coperto sia immagini naturali che artistiche per riflettere possibili utilizzi nel mondo reale. L’efficacia di ogni metodo è stata valutata verificando se un modello AI poteva ancora produrre editing realistici e pertinenti quando lavorava su immagini protette; se le immagini risultanti apparivano convincenti e corrispondevano ai prompt, la protezione è stata giudicata fallita.

Stable Diffusion v1.5 è stato utilizzato come generatore di immagini pre-addestrato per i compiti di editing dei ricercatori. Cinque semi sono stati selezionati per garantire la riproducibilità: 9222, 999, 123, 66 e 42. Tutti gli altri parametri di generazione, come la scala di guida, la forza e i passi totali, hanno seguito i valori predefiniti utilizzati negli esperimenti PhotoGuard.

PhotoGuard è stato testato su immagini di scena naturale utilizzando il dataset Flickr8k, che contiene oltre 8.000 immagini accoppiate con fino a cinque didascalie ciascuna.

Pensieri opposti

Due set di didascalie modificate sono stati creati dalla prima didascalia di ogni immagine con l’aiuto di Claude Sonnet 3.5. Un set conteneva prompt che erano contesto vicino alle didascalie originali; l’altro set conteneva prompt che erano contesto lontano.

Ad esempio, dalla didascalia originale ‘Una giovane ragazza in un abito rosa che entra in una capanna di legno’, un prompt vicino sarebbe ‘Un giovane ragazzo in una camicia blu che entra in una casa di mattoni’. Al contrario, un prompt lontano sarebbe ‘Due gatti che si rilassano sul divano’.

I prompt vicini sono stati costruiti sostituendo nomi e aggettivi con termini semanticamente simili; i prompt lontani sono stati generati istruendo il modello a creare didascalie che fossero contestualmente molto diverse.

Tutte le didascalie generate sono state controllate manualmente per qualità e rilevanza semantica. L’Universal Sentence Encoder di Google è stato utilizzato per calcolare i punteggi di similarità semantica tra le didascalie originali e quelle modificate:

Dai materiali supplementari, distribuzioni di similarità semantica per le didascalie modificate utilizzate nei test Flickr8k. Il grafico a sinistra mostra i punteggi di similarità per le didascalie modificate da vicino, con una media di circa 0,6. Il grafico a destra mostra le didascalie estensivamente modificate, con una media di circa 0,1, riflettendo una maggiore distanza semantica dalle didascalie originali. Fonte: https://sigport.org/sites/default/files/docs/IncompleteProtection_SM_0.pdf

Ogni immagine, insieme alla sua versione protetta, è stata modificata utilizzando sia i prompt vicini che quelli lontani. Il Blind/Referenceless Image Spatial Quality Evaluator (BRISQUE) è stato utilizzato per valutare la qualità dell’immagine:

Risultati di generazione di immagine-ai-immagine su fotografie naturali protette da PhotoGuard. Nonostante la presenza di perturbazioni, Stable Diffusion v1.5 ha seguito con successo sia piccoli che grandi cambiamenti semantici nei prompt di editing, producendo output realistici che corrispondevano alle nuove istruzioni.

Metriche

Per valutare quanto bene le protezioni abbiano interferito con l’editing AI, i ricercatori hanno misurato quanto da vicino le immagini finali abbiano corrisposto alle istruzioni che avevano ricevuto, utilizzando sistemi di punteggio che confrontavano il contenuto dell’immagine con il prompt di testo, per vedere quanto bene si allineavano:

Per questo scopo, la metrica CLIP-S utilizza un modello che può comprendere sia immagini che testo per verificare quanto siano simili, mentre PAC-S++ aggiunge campioni aggiuntivi creati da AI per allineare il suo confronto più da vicino a una stima umana.

Questi punteggi di allineamento immagine-testo (ITA) denotano quanto precisamente l’AI ha seguito le istruzioni quando modificava un’immagine protetta: se un’immagine protetta ha ancora prodotto un output allineato, significa che la protezione è stata giudicata fallita nel bloccare l’editing.

Effetto della protezione sul dataset Flickr8k in cinque semi, utilizzando sia prompt vicini che lontani. L’allineamento immagine-testo è stato misurato utilizzando punteggi CLIP-S e PAC-S++.

I ricercatori hanno confrontato quanto bene l’AI ha seguito i prompt quando modificava immagini protette rispetto a quelle non protette. Hanno prima valutato la differenza tra i due, chiamata Cambio effettivo. Quindi la differenza è stata scalata per creare un Cambio percentuale, rendendolo più facile da confrontare i risultati attraverso molti test.

Questo processo ha rivelato se le protezioni abbiano reso più difficile o più facile per l’AI corrispondere ai prompt. I test sono stati ripetuti cinque volte utilizzando semi casuali diversi, coprendo sia piccoli che grandi cambiamenti alle didascalie originali.

Attacco artistico

Per i test su fotografie naturali, è stato utilizzato il dataset Flickr1024, che contiene oltre mille immagini di alta qualità. Ogni immagine è stata modificata con prompt che seguivano il pattern: ‘cambia lo stile in [V]’, dove [V] rappresentava uno dei sette famosi stili artistici: Cubismo; Post-Impressionismo; Impressionismo; Surrealismo; Barocco; Fauvismo; e Rinascimento.

Il processo ha coinvolto l’applicazione di PhotoGuard alle immagini originali, la generazione di versioni protette e l’esecuzione di entrambe le immagini protette e non protette attraverso lo stesso set di editing di trasferimento di stile:

Immagini originali e protette di una scena naturale, ciascuna modificata per applicare stili Cubismo, Surrealismo e Fauvismo.

Per testare i metodi di protezione su opere d’arte, è stato eseguito il trasferimento di stile su immagini dal dataset WikiArt, che cura un’ampia gamma di stili artistici. I prompt di editing hanno seguito lo stesso formato di prima, istruendo l’AI a cambiare lo stile in uno stile casuale e non correlato selezionato dagli etichetti WikiArt.

Sia Glaze che Mist sono stati applicati alle immagini prima degli editing, permettendo ai ricercatori di osservare quanto bene ogni difesa potesse bloccare o distorcere i risultati del trasferimento di stile:

Esempi di come i metodi di protezione influenzano il trasferimento di stile su opere d’arte. L’immagine originale Barocca è mostrata accanto a versioni protette da Mist e Glaze. Dopo l’applicazione del trasferimento di stile Cubismo, si possono vedere le differenze in come ogni protezione altera l’output finale.

I ricercatori hanno testato i confronti in modo quantitativo:

Cambiamenti nei punteggi di allineamento immagine-testo dopo gli editing di trasferimento di stile.

Di questi risultati, gli autori commentano:

‘I risultati evidenziano una significativa limitazione delle perturbazioni avversarie per la protezione. Invece di ostacolare l’allineamento, le perturbazioni avversarie spesso migliorano la risposta del modello generativo ai prompt, consentendo involontariamente agli sfruttatori di produrre output che si allineano più strettamente con i loro obiettivi. Tale protezione non è disruptiva per il processo di editing dell’immagine e potrebbe non essere in grado di prevenire agenti malintenzionati dal copiare materiali non autorizzati.

‘Le conseguenze indesiderate dell’uso di perturbazioni avversarie rivelano vulnerabilità nei metodi esistenti e sottolineano l’urgente necessità di tecniche di protezione più efficaci.’

Gli autori spiegano che i risultati inaspettati possono essere attribuiti a come funzionano i modelli di diffusione: gli LDM editano le immagini convertendole prima in una versione compressa chiamata latente; il rumore viene poi aggiunto a questo latente attraverso molti passaggi, fino a quando i dati diventano quasi casuali.

Il modello inverte questo processo durante la generazione, rimuovendo il rumore passo dopo passo. In ogni fase di questo processo di inversione, il prompt di testo aiuta a guidare come il rumore dovrebbe essere pulito, plasmando gradualmente l’immagine per farla corrispondere al prompt:

Confronto tra generazioni da un’immagine non protetta e un’immagine protetta da PhotoGuard, con stati latenti intermedi convertiti nuovamente in immagini per la visualizzazione.

I metodi di protezione aggiungono piccole quantità di rumore extra all’immagine originale prima che entri in questo processo. Sebbene queste perturbazioni siano minori all’inizio, si accumulano mentre il modello applica i suoi strati di rumore.

Questo accumulo lascia più parti dell’immagine ‘incerte’ quando il modello inizia a rimuovere il rumore. Con maggiore incertezza, il modello si affida di più al prompt di testo per colmare i dettagli mancanti, dandogli ancora più influenza di quanta ne avrebbe normalmente.

In effetti, le protezioni rendono più facile per l’AI plasmare l’immagine per farla corrispondere al prompt, piuttosto che più difficile.

Infine, gli autori hanno condotto un test che sostituiva le perturbazioni progettate dal paper Raising the Cost of Malicious AI-Powered Image Editing con rumore gaussiano puro.

I risultati hanno seguito lo stesso pattern osservato in precedenza: in tutti i test, i valori di Cambio percentuale sono rimasti positivi. Anche questo rumore casuale e non strutturato ha portato a un allineamento più forte tra le immagini generate e i prompt.

Effetto della protezione simulata utilizzando rumore gaussiano sul dataset Flickr8k.

Ciò ha supportato la spiegazione sottostante che qualsiasi rumore aggiunto, indipendentemente dalla sua progettazione, crea maggiore incertezza per il modello durante la generazione, permettendo al prompt di testo di esercitare un controllo ancora maggiore sull’immagine finale.

Conclusione

La scena della ricerca ha spinto la perturbazione avversaria sul problema del copyright LDM per quasi tanto tempo quanto LDM è stato attorno; ma non sono emerse soluzioni resilienti da questo numero straordinario di articoli pubblicati su questo approccio.

Oppure le perturbazioni imposte abbassano eccessivamente la qualità dell’immagine, o i modelli si rivelano non resilienti alla manipolazione e ai processi trasformativi.

Tuttavia, è un sogno difficile da abbandonare, poiché l’alternativa sembrerebbe essere framework di monitoraggio e provenienza di terze parti come lo schema C2PA guidato da Adobe, che cerca di mantenere una catena di custodia per le immagini dal sensore della fotocamera in poi, ma che non ha alcun legame innato con il contenuto rappresentato.

In ogni caso, se la perturbazione avversaria sta effettivamente aggravando il problema, come indica il nuovo paper potrebbe essere vero in molti casi, si potrebbe pensare se la ricerca della protezione del copyright attraverso tali mezzi rientri nell’ ‘alchimia’.

Pubblicato per la prima volta lunedì 9 giugno 2025