Immagini autentiche attraverso la semplice compressione JPEG

Le preoccupazioni relative ai rischi posti dalle immagini manomesse sono emerse regolarmente nella ricerca negli ultimi due anni, in particolare alla luce di una nuova ondata di framework di editing di immagini basati sull’intelligenza artificiale in grado di modificare immagini esistenti, anziché crearle direttamente.

La maggior parte dei sistemi di rilevamento proposti per affrontare questo tipo di contenuto rientra in una delle due categorie: la prima è il watermarking – un approccio di fallback integrato nel framework di autenticità delle immagini ora promosso dalla Coalition for Content Provenance and Authenticity (C2PA).

La procedura di watermarking C2PA è un fallback, qualora il contenuto dell’immagine si separi dal suo manifesto originale e in corso. Fonte: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Questi “segnali segreti” devono essere successivamente robusti nei confronti delle procedure di ri-codifica/ottimizzazione automatiche che spesso si verificano quando un’immagine transita attraverso i social network e attraverso portali e piattaforme – ma spesso non sono resilienti al tipo di ri-codifica lossy applicata attraverso la compressione JPEG (e nonostante la concorrenza di pretendenti come webp, il formato JPEG è ancora utilizzato per circa il 74,5% di tutte le immagini dei siti web).

Il secondo approccio consiste nel rendere le immagini evidenti, come inizialmente proposto nel paper del 2013 Scheme di autenticazione dell’integrità dell’immagine basato sulla teoria del punto fisso. Invece di affidarsi a watermark o firme digitali, questo metodo utilizza una trasformazione matematica chiamata Convoluzione e deconvoluzione gaussiana (GCD) per spingere le immagini verso uno stato stabile che si rompe se alterato.

Risultati di localizzazione della manomissione utilizzando un’immagine a punto fisso con un PSNR di 59,7802 dB. I rettangoli bianchi indicano le aree soggette ad attacchi. Il pannello A (a sinistra) visualizza le modifiche applicate, tra cui rumore localizzato, filtraggio e attacchi basati sulla copia. Il pannello B (a destra) mostra l’output di rilevamento corrispondente, evidenziando le aree manomesse identificate dal processo di autenticazione. Fonte: https://arxiv.org/pdf/1308.0679

Il concetto è forse più facilmente comprensibile nel contesto della riparazione di un tessuto di lino delicato: non importa quanto fine sia l’artigianato utilizzato per riparare il filigrana, la sezione riparata sarà inevitabilmente distinguibile.

Questo tipo di trasformazione, quando applicata ripetutamente a un’immagine in scala di grigi, la spinge gradualmente verso uno stato in cui l’applicazione della trasformazione nuovamente non produce ulteriori cambiamenti.

Questa versione stabile dell’immagine è chiamata punto fisso. I punti fissi sono rari e altamente sensibili ai cambiamenti – anche piccole modifiche a un’immagine a punto fisso quasi certamente romperanno il suo stato fisso, rendendo facile rilevare la manomissione.

Come solito con tali approcci, gli artefatti della compressione JPEG possono minacciare l’integrità dello schema:

A sinistra, vediamo un watermark applicato al volto dell’iconica immagine ‘Lenna’ (Lena), che è chiaro sotto la compressione normale. A destra, con la compressione JPEG al 90%, possiamo vedere che la distinzione tra il watermark percepito e la crescita del rumore JPEG si sta abbassando. Dopo più risparmi, o alle impostazioni di compressione più elevate, la maggior parte degli schemi di watermarking affronta problemi con gli artefatti della compressione JPEG. Fonte: https://arxiv.org/pdf/2106.14150

E se, invece, gli artefatti della compressione JPEG potessero essere utilizzati come mezzo centrale per ottenere un punto fisso? In tal caso, non ci sarebbe bisogno di sistemi esterni aggiuntivi, poiché lo stesso meccanismo che di solito causa problemi per il watermarking e la rilevazione della manomissione sarebbe invece la base del framework di rilevamento della manomissione stesso.

La compressione JPEG come base di sicurezza

Un tale sistema è stato proposto in un nuovo paper di due ricercatori dell’Università di Buffalo presso la State University of New York. Intitolato Immagine evidente della manomissione utilizzando punti fissi JPEG, il nuovo lavoro si basa sul lavoro del 2013 e su lavori correlati, ufficializzando per la prima volta i suoi principi centrali, nonché sfruttando ingegnosamente la compressione JPEG stessa come metodo per potenzialmente produrre un’immagine “autenticata”.

‘Lo studio rivela che un’immagine rimane invariata dopo aver subito più round del processo di compressione e decompressione JPEG.

‘In altre parole, se un singolo ciclo di compressione e decompressione JPEG è considerato una trasformazione dell’immagine, chiamata trasformazione JPEG, allora questa trasformazione esibisce la proprietà di avere punti fissi, ovvero immagini che rimangono invariate quando si applica la trasformazione JPEG.’

Dall’articolo, un’illustrazione della convergenza dei punti fissi JPEG. Nella riga superiore vediamo un’immagine che subisce più compressioni JPEG, con ogni iterazione che mostra il numero e la posizione dei pixel che cambiano; nella riga inferiore, la distanza L2 tra le iterazioni consecutive è tracciata in funzione delle impostazioni di qualità della compressione. Ironia della sorte, non è disponibile una risoluzione migliore di questa immagine. Fonte: https://arxiv.org/pdf/2504.17594

Al posto di introdurre trasformazioni esterne o watermark, il nuovo articolo definisce il processo JPEG come un sistema dinamico. In questo modello, ogni ciclo di compressione e decompressione sposta l’immagine verso un punto fisso. Gli autori dimostrano che, dopo un numero finito di iterazioni, qualsiasi immagine raggiunge o approssima uno stato in cui ulteriori compressioni non produrranno alcun cambiamento.

Gli autori affermano*:

‘Qualsiasi alterazione dell’immagine causerà deviazioni dai punti fissi JPEG, che possono essere rilevate come cambiamenti nei blocchi JPEG dopo un singolo round di compressione e decompressione…

‘Le immagini evidenti della manomissione basate sui punti fissi JPEG hanno due vantaggi. In primo luogo, le immagini evidenti della manomissione eliminano la necessità di archiviazione esterna di caratteristiche verificabili, come richiesto dalle tecniche di fingerprinting delle immagini, o l’inserimento di tracce nascoste, come nei metodi di watermarking delle immagini. L’immagine stessa serve come prova della sua autenticità, rendendo lo schema intrinsecamente auto-evidente.

‘In secondo luogo, poiché JPEG è un formato ampiamente utilizzato e spesso l’ultimo passaggio nella pipeline di elaborazione delle immagini, il metodo proposto è resistente alle operazioni JPEG. Ciò si contrappone all’approccio originale che potrebbe perdere tracce di integrità a causa di JPEG.’

L’articolo rivela che la convergenza JPEG non è solo un sottoprodotto del suo design, ma un risultato matematicamente inevitabile delle sue operazioni. La trasformata del coseno discreto, la quantizzazione, l’arrotolamento e il troncamento insieme formano una trasformazione che (sotto le condizioni giuste) porta a un insieme prevedibile di punti fissi.

Schema per il processo di compressione/decompressione JPEG formulato per il nuovo lavoro.

A differenza del watermarking, questo metodo non richiede nessun segnale incorporato. L’unica referenza è la coerenza dell’immagine con ulteriori compressioni. Se la ricompressione non produce alcun cambiamento, l’immagine è presumibilmente autentica. Se lo fa, la manomissione è indicata dalla deviazione.

Test

Gli autori hanno validato questo comportamento utilizzando un milione di patch di immagini in scala di grigi generate casualmente di 8×8 bit. Applicando più compressioni JPEG e decompressioni a queste patch sintetiche, hanno osservato che la convergenza verso un punto fisso si verifica in un numero finito di passaggi. Questo processo è stato monitorato misurando la distanza L2 tra le iterazioni consecutive, con le differenze che diminuiscono fino a quando le patch si sono stabilizzate.

Differenza L2 tra le iterazioni consecutive per un milione di patch 8×8, misurata in funzione delle qualità di compressione JPEG. Ogni processo inizia con una singola patch compressa JPEG e traccia la riduzione della differenza attraverso le compressioni ripetute.

Per valutare la rilevazione della manomissione, gli autori hanno costruito immagini JPEG evidenti della manomissione e applicato quattro tipi di attacchi: rumore sale e pepe; operazioni di copia-sposta; incollaggio da fonti esterne; e compressione JPEG doppia utilizzando una tabella di quantizzazione diversa.

Esempio di immagini RGB a punto fisso con rilevamento e localizzazione della manomissione, inclusi i quattro metodi di interruzione utilizzati dagli autori. Nella riga inferiore, possiamo vedere che ogni stile di perturbazione tradisce se stesso in relazione all’immagine a punto fisso generata.

Dopo la manomissione, le immagini sono state ricompressate utilizzando la matrice di quantizzazione originale. Le deviazioni dal punto fisso sono state rilevate identificando i blocchi di immagine che presentavano differenze non zero dopo la ricompressione, consentendo sia la rilevazione che la localizzazione delle aree manomesse.

Dal momento che il metodo si basa interamente su operazioni JPEG standard, le immagini a punto fisso funzionano perfettamente con i visualizzatori e gli editor JPEG regolari; tuttavia, gli autori notano che se l’immagine viene ricompattata a un livello di qualità diverso, potrebbe perdere lo stato del punto fisso, il che potrebbe interrompere l’autenticazione e richiede di essere gestito con cura nell’uso reale.

Sebbene questo non sia solo uno strumento per l’analisi della produzione JPEG, non aggiunge nemmeno molta complessità. In linea di principio, potrebbe essere integrato in flussi di lavoro esistenti con un costo o un’interruzione minima.

Gli autori riconoscono che un avversario sofisticato potrebbe tentare di creare modifiche avversarie che preservino lo stato del punto fisso; tuttavia, sostengono che tali sforzi probabilmente introdurrebbero artefatti visibili, compromettendo l’attacco.

Sebbene gli autori non affermino che le immagini JPEG a punto fisso possano sostituire sistemi di provenienza più ampi come C2PA, suggeriscono che i metodi a punto fisso potrebbero complementare i framework di metadati esterni offrendo un ulteriore livello di prova della manomissione che persiste anche quando i metadati vengono rimossi o persi.

Conclusione

L’approccio dei punti fissi JPEG offre un’alternativa semplice e autocontenuta ai sistemi di autenticazione convenzionali, non richiedendo metadati incorporati, watermark o file di riferimento esterni, e derivando invece l’autenticità direttamente dal comportamento prevedibile del processo di compressione.

In questo modo, il metodo recupera la compressione JPEG – una fonte frequente di degrado dei dati – come meccanismo di verifica dell’integrità. In questo senso, il nuovo articolo è uno degli approcci più innovativi e inventivi al problema che ho incontrato negli ultimi anni.

Il nuovo lavoro indica un passaggio verso lontano da strati di aggiunta per la sicurezza e verso approcci che si basano sulle caratteristiche incorporate dei media stessi. Mentre i metodi di manomissione diventano più sofisticati, le tecniche che testano la struttura interna dell’immagine potrebbero iniziare ad avere più importanza.

Inoltre, molti sistemi alternativi proposti per affrontare questo problema introducono una notevole frizione richiedendo modifiche ai flussi di lavoro di elaborazione delle immagini stabiliti da tempo – alcuni dei quali hanno funzionato in modo affidabile per anni, o addirittura decenni, e che richiederebbero una giustificazione molto più forte per la riorganizzazione.

* La mia conversione delle citazioni in linea degli autori in collegamenti ipertestuali.

Pubblicato per la prima volta venerdì 25 aprile 2025