「保護された」画像は、AIによってより簡単に盗まれる可能性がある

新しい研究によると、AIによる画像編集をブロックすることを目的としたウォーターマークツールは、実際には効果がない可能性がある。Stable Diffusionなどのモデルが編集を行うのを阻止するのではなく、保護された画像は編集プロンプトに従って編集される可能性が高くなる。

コンピュータビジョンの分野には、画像をAIモデルにトレーニングさせたり、直接画像を画像へのAIプロセスに使用したりすることを防ぐための研究が存在する。こうしたシステムは、一般的に、Latent Diffusion Models（LDMs）と呼ばれるものに対して機能するように設計されており、Stable DiffusionやFluxなどのモデルが含まれる。こうしたモデルは、ノイズベースの手法を使用して画像をエンコードおよびデコードする。

画像にアドバーサリアルノイズを挿入することで、画像検出器が画像の内容を誤って推定したり、画像生成システムが著作権保護されたデータを利用できないようにすることができる。

MITの論文「悪意のあるAI画像編集のコストを高める」から、操作に対して「免疫化」されたソース画像の例。 Source: https://arxiv.org/pdf/2302.06588

2023年にStable DiffusionがWebからスクラップした画像（著作権保護された画像を含む）を自由に使用したことに対するアーティストからの反発以来、研究者は同様のテーマに基づいたさまざまなバリエーションを生み出してきた。画像をAIシステムにトレーニングさせたり、生成的なAIパイプラインに取り込ませないように、画像を「毒」にできるという考えである。

すべてのケースで、適用されるペルターブレーションの強度と画像が保護される程度との間には直接的な相関関係がある。画像の質が低下するほど、保護の度合いが高くなる。

研究論文の質が完全には問題を示していないが、より多くのアドバーサリアルペルターブレーションは質を犠牲にしてセキュリティを提供する。ここでは、シカゴ大学が主導する2020年の「Fawkes」プロジェクトにおける質の低下の範囲が示されている。 Source: https://arxiv.org/pdf/2002.08327

アーティストが自分のスタイルを無許可での利用から保護しようとしている場合、こうしたシステムの能力は特に重要である。システムはアイデンティティやその他の情報を隠蔽するだけでなく、AIトレーニングプロセスを欺くことができる。つまり、セマンティックドメインとビジュアルドメインの間で「保護された」トレーニングデータに対して接続が形成されないようにすることができる。

MistとGlazeは、AIワークフローとトレーニングルーチンで著作権保護されたスタイルを使用することを防ぐことができる2つの注入方法である。 Source: https://arxiv.org/pdf/2506.04394

オウンゴール

新しい研究から、ペルターブレーションが画像を保護するのではなく、実際にはAIプロセスに対する画像の悪用を改善する可能性があることがわかった。

論文では次のように述べられている。

「私たちの実験では、さまざまなペルターブレーションベースの画像保護方法が、複数のドメイン（自然シーン画像とアート作品）と編集タスク（画像から画像への生成とスタイル編集）で効果がないことがわかった。」

「ほとんどのシナリオで、保護された画像に対する拡散ベースの編集は、ガイダンスプロンプトに従って望ましい出力画像を生成する。」

「私たちの研究結果は、画像にノイズを追加すると、生成プロセス中に与えられたテキストプロンプトとの関連性が高まる可能性があることを示唆している。」

「したがって、ペルターブレーションベースの方法は、拡散ベースの編集に対する画像の保護に十分な解決策を提供しない可能性があると主張する。」

テストでは、保護された画像が2つの一般的なAI編集シナリオ、すなわち画像から画像への生成とスタイル転送、にさらされることが行われた。

保護された画像は、標準的な写真とアート作品のソースから取得され、AIモデルが保護されたコンテンツを悪用する可能性のある一般的な方法を反映するように、これらのパイプラインを通して実行されました。

保護が存在することが、モデルのプロンプトへの一致を鋭敏にしたように見えた。予想とは反対に、保護は編集を妨げるのではなく、クリーンで正確な出力を生み出すことになった。

著者は、実際には保護が提供するのは誤った安心感であると述べており、こうしたペルターブレーションベースのアプローチは、著者自身の方法で徹底的にテストされるべきであると述べている。

方法

著者は、PhotoGuard、Mist、Glazeの3つの保護方法を使用して実験を行った。これらの方法は、慎重に設計されたアドバーサリアルペルターブレーションを適用する。

著者がテストしたフレームワークの1つであるGlaze。3人のアーティストのGlaze保護例。最初の2列はオリジナルのアート作品を示し、3列目は保護なしでのミミックリ結果を示し、4列目はスタイル転送のためのターゲットスタイル名とともにクローク最適化のために使用されたスタイル転送バージョンを示し、5列目と6列目はそれぞれp = 0.05とp = 0.1のペルターブレーションレベルでクロークが適用されたミミックリ結果を示している。すべての結果はStable Diffusionモデルを使用している。 Source: https://arxiv.org/pdf/2302.04222

PhotoGuardは自然シーン画像に適用され、MistとGlazeはアート作品（「アーティスティックにスタイリングされた」ドメイン）に適用された。

テストは、自然シーン画像とアート作品の両方で行われた。保護方法の有効性は、AIモデルが保護された画像でリアリスティックでプロンプトに従った編集結果を生成できるかどうかで評価された。生成された画像がプロンプトに一致し、リアリスティックであれば、保護は失敗したと判断された。

Stable Diffusion v1.5は、事前トレーニング済みの画像ジェネレータとして使用された。再現性を確保するために、5つのシード（9222、999、123、66、42）が選択された。生成の他のすべての設定（ガイダンススケール、ストレングス、ステップ数など）は、PhotoGuardの実験で使用されたデフォルト値に従った。

PhotoGuardは、Flickr8kデータセットを使用して自然シーン画像にテストされた。このデータセットには、5つのキャプションが付与された8,000以上の画像が含まれている。

反対の考え

2つの修正キャプションセットが、各画像の最初のキャプションからClaude Sonnet 3.5を使用して作成された。1つのセットには、元のキャプションに「コンテキストが近い」プロンプトが含まれ、もう1つのセットには「コンテキストが遠い」プロンプトが含まれた。

たとえば、元のキャプション「ピンクのドレスを着た少女が木の小屋に入る」から、近いプロンプトは「青いシャツを着た少年がレンガの家に入る」である。一方、遠いプロンプトは「2匹の猫がソファに寝ている」である。

近いプロンプトは、名詞と形容詞を意味的に似た用語に置き換えることで作成された。遠いプロンプトは、モデルにコンテキストが非常に異なるキャプションを作成するように指示することで生成された。

すべての生成されたキャプションは、品質と意味的関連性の両方で手動でチェックされた。GoogleのUniversal Sentence Encoderを使用して、元のキャプションと修正キャプションの間の意味的類似性スコアを計算した。

補足資料から、Flickr8kテストで使用された修正キャプションの意味的類似性分布。左のグラフは、平均約0.6の類似性スコアを持つ近い修正キャプションを示し、右のグラフは、平均約0.1の類似性スコアを持つ遠い修正キャプションを示し、元のキャプションからの意味的距離を反映している。値はGoogleのUniversal Sentence Encoderを使用して計算された。 Source: https://sigport.org/sites/default/files/docs/IncompleteProtection_SM_0.pdf

各画像とその保護バージョンは、近いプロンプトと遠いプロンプトの両方で編集された。Blind/Referenceless Image Spatial Quality Evaluator（BRISQUE）を使用して画像の品質を評価した。

PhotoGuardで保護された自然写真の画像から画像への生成結果。ペルターブレーションの存在にもかかわらず、Stable Diffusion v1.5は編集プロンプトの小さなおよび大きな意味的変更に成功して、リアリスティックな出力が生成された。

メトリック

研究者は、画像が編集された後、生成された画像が与えられたプロンプトにどれだけ一致するかを判断するために、メトリックを使用した。CLIP-SとPAC-S++スコアを使用して、画像コンテンツとテキストプロンプトの間の類似性を評価した。

これらのImage-Text Alignment（ITA）スコアは、AIが保護された画像を編集する際にどれだけプロンプトに従ったかを示す。ITAスコアが高い場合、保護は編集をブロックすることに失敗したと判断される。

5つのシードと近いおよび遠いプロンプトを使用して、Flickr8kデータセットでの保護の影響。CLIP-SとPAC-S++スコアを使用して画像テキストの整列を測定した。

研究者は、保護された画像と保護されていない画像を編集したときのAIのプロンプトへの従順性の違いを調べた。差を計算し、スケールを適用して、結果を比較しやすくした。

このプロセスにより、保護がAIのプロンプトへの従順性を高めたか低めたかが明らかになった。

アートアタック

自然写真のテストでは、Flickr1024データセットを使用した。これには、1,000以上の高品質画像が含まれている。各画像は、7つの有名なアートスタイル（キュビズム、後期印象派、印象派、シュルレアリスム、バロック、ファウヴ、ルネサンス）を変更するプロンプトで編集された。

プロセスには、PhotoGuardを適用して保護されたバージョンを生成し、保護された画像と保護されていない画像の両方を同じスタイル転送編集に通すことが含まれた。

キュビズム、シュルレアリスム、ファウヴのスタイルを適用した、元の画像と保護された画像。

保護方法をアート作品にテストするには、様々なアートスタイルをキュレーションしたWikiArtデータセットを使用した。編集プロンプトは、前のものと同じ形式で、AIにランダムに選択された無関係なスタイルに変更するように指示した。

GlazeとMistの保護方法は、編集前に画像に適用され、各防御がスタイル転送結果をブロックまたは歪める能力を観察することができた。

保護方法がアート作品のスタイル転送に与える影響の例。オリジナルのバロック画像と、MistとGlazeで保護されたバージョンが示されている。キュビズムスタイルを適用した後、各保護が最終出力に与える影響の違いが見られる。

研究者は、画像テキストの整列スコアの変化を量的に評価した。

スタイル転送編集後の画像テキストの整列スコアの変化。

これらの結果について、著者は次のように述べている。

「結果は、敵対的ペルターブレーションを保護に使用することの重大な限界を強調している。敵対的ペルターブレーションは、生成モデルがプロンプトに反応するのを妨げるのではなく、実際にはそれを促進することが多い。こうした保護は、画像編集プロセスを妨げるものではなく、悪意のあるエージェントが許可されていないコンテンツをコピーするのを防ぐことができない可能性がある。」

「敵対的ペルターブレーションを使用することの意図しない結果は、既存の方法の脆弱性を暴き、より効果的な保護技術の必要性を強調している。」

著者は、これらの予想外の結果が、LDMがどのように機能するかによって引き起こされることを説明している。LDMは、画像を編集するために、画像を圧縮されたバージョンの「潜在的な」表現に変換し、多くのステップでノイズを追加して、データをほぼランダムなものにする。生成の際に、このプロセスは逆になり、テキストプロンプトが画像をプロンプトに合わせて形成するのに役立つ。

保護されていない画像とPhotoGuardで保護された画像からの生成の比較。中間の潜在的な状態を画像に変換して視覚化した。

保護方法は、画像に少量のノイズを追加する。ただし、モデルがそのプロセスを適用するにつれて、ノイズは蓄積する。

このノイズの蓄積により、画像のより多くの部分が「不確実」になり、モデルはプロンプトに従って詳細を補完するためにより多くの依存するようになる。結果として、保護は、画像をプロンプトに合わせて編集するのをより容易にするのではなく、より困難にすることになる。

最後に、著者は、Raising the Cost of Malicious AI-Powered Image Editing論文から作成されたペルターブレーションを、純粋なガウシアンノイズに置き換えるテストを実施した。

結果は、以前と同じパターンを示した。すべてのテストで、パーセント変化の値は正のままだった。ランダムで構造化されていないノイズでも、生成された画像とプロンプトの間の整列性が高まった。

Flickr8kデータセットでの保護の影響を、ガウシアンノイズを使用してシミュレートした。

これは、追加されたノイズが、生成中のモデルに不確実性を生み出し、テキストプロンプトが最終的な画像に与える影響を強めることを示唆している。

結論

LDMの著作権問題に対するアプローチとして、敵対的ペルターブレーションが推進されてきたが、依然として強力な解決策は現れていない。

問題は、適用される妨害が画像の品質を著しく低下させるか、または変換と編集プロセスに対して非耐性であることである。

しかし、これは放棄するのが難しい夢である。代替案は、Adobeが主導するC2PAスキームのような、画像の生成元から監視と所有権の追跡を行うものであるが、これには画像の内容とは無関係な接続が必要である。

敵対的ペルターブレーションが実際に問題を悪化させている場合、新しい論文が示唆するように、著作権保護をこの方法で探求することは「錬金術」に相当するのではないかと疑問に思う。

2025年6月9日月曜日に初めて公開された