Selvautentiserende bilder gjennom enkel JPEG-komprimering

Bekymringer om risikoen for manipulerte bilder har vært et gjennomgående tema i forskningen de siste årene, særlig i lys av en ny bølge av AI-baserte bildeforbedringsrammeverk som kan endre eksisterende bilder, i stedet for å lage nye.

De fleste av de foreslåtte detekteringssystemene for denne type innhold faller inn i en av to kategorier: den første er vannmerking – en fallback-tilnærming bygget inn i bildets ærlighet-rammeverk som nå fremmes av Coalition for Content Provenance and Authenticity (C2PA).

C2PA-vannmerkingsprosessen er en fallback, hvis bildets innhold blir skilt fra sin opprinnelige og pågående proveniens ‘manifest’. Kilde: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Disse ‘hemmelige signalene’ må deretter være robuste mot de automatiske omkodings-/optimeringsprosessene som ofte skjer når et bilde går gjennom sosiale nettverk og over porter og plattformer – men de er ofte ikke motstandsdyktige mot den type tapende omkodning som brukes gjennom JPEG-komprimering (og til tross for konkurranse fra pretendentene som webp, er JPEG-formatet fremdeles brukt for anslagsvis 74,5% av alle nettstedbilder).

Den andre tilnærmingen er å gjøre bildene manipulasjons-beviselige, som først forslagt i 2013-papiret Bildeintegritetsautentiseringssystem basert på fast punkt-teori. I stedet for å bruke vannmerking eller digitale signaturer, brukte denne metoden en matematisk transformasjon kalt Gaussisk konvolusjon og dekonvolusjon (GCD) for å skyve bildene mot en stabil tilstand som ville bryte hvis de ble endret.

Fra papiret ‘Bildeintegritetsautentiseringssystem basert på fast punkt-teori’: resultater fra lokaliseringsprøver for manipulering med et fast punkt-bilde med en Peak Signal-to-Noise (PSNR) på 59,7802 dB. Hvite rektangler indikerer områdene som ble utsatt for angrep. Panel A (venstre) viser de utførte modifikasjonene, inkludert lokal støy, filtering og kopibaserte angrep. Panel B (høyre) viser den tilsvarende deteksjonsutdataen, som høydepunkter de manipulerte områdene som ble identifisert av autentiseringsprosessen. Kilde: https://arxiv.org/pdf/1308.0679

Begrepet er kanskje best forstått i sammenheng med å reparere en ømfintlig lace-duk: uansett hvor finessen i håndverket som brukes til å lage dukken, vil den reparerte delen alltid være synlig.

Denne type transformasjon, når den brukes gjentakende på et gråskala-bilde, skyver det langsomt mot en tilstand hvor å bruke transformasjonen igjen produserer ingen ytterligere endring.

Denne stabile versjonen av bildet kalles en fast punkt. Fast punkter er sjeldne og svært følsomme for endringer – enhver liten modifikasjon av et fast punkt-bilde vil nesten garantert bryte dens fast status, og gjøre det lett å detektere manipulering.

Som vanlig med slike tilnærminger, kan artefaktene fra JPEG-komprimering true integriteten til skjemaet:

Til venstre ser vi en vannmerking som er brukt på ansiktet til det ikoniske ‘Lenna’ (Lena)-bildet, som er tydelig under normal komprimering. Til høyre, med 90% JPEG-komprimering, kan vi se at skillet mellom den oppfattede vannmerkingen og veksten av JPEG-støy er lavere. Etter flere lagringsoperasjoner eller ved de høyeste komprimeringsinnstillingene, møter de fleste vannmerkings-skjemaer problemer med JPEG-komprimeringsartefakter. Kilde: https://arxiv.org/pdf/2106.14150

Hva hvis, i stedet, JPEG-komprimeringsartefaktene kunne brukes som det sentrale middel for å oppnå en fast punkt? I et slikt tilfelle ville det ikke være noen behov for eksterne systemer, siden den samme mekanismen som vanligvis forårsaker problemer for vannmerking og manipulasjonsdeteksjon ville i stedet danne grunnlaget for manipulasjonsdeteksjonsrammeverket selv.

JPEG-komprimering som en sikkerhetsbaselinje

Slik et system er fremmet i en ny papir fra to forskere ved University of Buffalo ved State University of New York. Tittelen Manipulasjons-beviselig bilde ved hjelp av JPEG-fastpunkter, bygger på 2013-arbeidet og relatert arbeid, ved å offisielt formulere sine sentrale prinsipper for første gang, samt ved å genialt utnytte JPEG-komprimeringen selv som en metode for å potensielt produsere et ‘selvautentiserende’ bilde.

Forfatterne utvider:

‘Studien viser at et bilde blir uendret etter å ha gjennomgått flere runder av samme JPEG-komprimerings- og dekomprimeringsprosess.

‘Med andre ord, hvis en enkelt syklus av JPEG-komprimering og dekomprimering betraktes som en transformasjon av bildet, betegnet som en JPEG-transform, så viser denne transformasjonen egenskapen å ha faste punkter, dvs. bilder som forblir uendret når JPEG-transformasjonen brukes.’

Fra det nye papiret, en illustrasjon av JPEG-fastpunktkonvergens. I øvre rad ser vi et eksempel på et bilde som gjennomgår gjentakende JPEG-komprimering, med hver iterasjon som viser antall og plassering av endrede piksler; i nedre rad er pikselvis L2-avstand mellom påfølgende iterasjoner plottet over forskjellige komprimeringskvalitetsinnstillinger. Kilde: https://arxiv.org/pdf/2504.17594

I stedet for å introdusere eksterne transformasjoner eller vannmerking, definerer det nye papiret JPEG-prosessen selv som et dynamisk system. I denne modellen flytter hver komprimerings- og dekomprimeringscyklus bildet mot en fast punkt. Forfatterne beviser at, etter en endelig mengde iterasjoner, nådde eller approksimerte ethvert bilde en tilstand hvor videre komprimering ville produsere ingen endring.

Forskerne uttaler*:

‘Enhver endring av bildet vil forårsake avvik fra JPEG-fastpunkter, som kan detekteres som endringer i JPEG-blokkene etter en enkelt runde av JPEG-komprimering og dekomprimering…

‘De foreslåtte manipulasjons-beviselige bildene basert på JPEG-fastpunkter har to fordeler. Først eliminerer de behovet for ekstern lagring av verifiserbare funksjoner, som kreves av bildefingeravtrykk [skjema], eller innkapsling av skjulte spor, som i bildevannmerkingsmetoder. Bildet selv fungerer som sin egen bevis på ærlighet, og gjør skjemaet til en selv-evident.

‘For det andre, siden JPEG er et vidt brukt format og ofte det siste steget i bildebehandlingspipelinen, er den foreslåtte metoden motstandsdyktig mot JPEG-operasjoner. Dette kontrasterer med den opprinnelige [tilnærmingen] som kan tape integritetspor på grunn av JPEG.’

Papirets nøkkelinnsikt er at JPEG-konvergens ikke bare er et biprodukt av dets design, men et matematisk uunngåelig resultat av dets operasjoner. Den diskrete kosinustransformasjonen, kvantiseringen, runding og truncering sammen danner en transformasjon som (under riktige betingelser) fører til en forutsigbar mengde faste punkter.

Skjema for JPEG-komprimerings-/dekomprimeringsprosessen formulert for det nye arbeidet.

I motsetning til vannmerking, krever denne metoden ingen innkapslet signal. Den eneste referansen er bildets egen konsistens under videre komprimering. Hvis rekompresjon produserer ingen endring, antas bildet å være ekte. Hvis det gjør, indikerer det manipulering ved avvik fra fast punkt-status.

Tester

Forfatterne validerer dette oppførslet ved å bruke en million tilfeldig genererte åtte-åtte-piksler av åtte-bits gråskala-bildata. Ved å bruke gjentakende JPEG-komprimering og dekomprimering på disse syntetiske pikslene, observerte de at konvergens til en fast punkt skjer innen en endelig mengde steg. Denne prosessen ble overvåket ved å måle pikselvis L2-avstand mellom påfølgende iterasjoner, med forskjellene som ble mindre til pikslene stabiliserte.

L2-forskjell mellom påfølgende iterasjoner for en million 8×8-piksler, målt under forskjellige JPEG-komprimeringskvaliteter.

For å evaluere manipulasjonsdeteksjon, konstruerte forfatterne manipulasjons-beviselige JPEG-bilder og anvendte fire typer angrep: salt og pepper-støy; kopi-flytt-operasjoner; innføring fra eksterne kilder; og dobbelt JPEG-komprimering ved å bruke en annen kvantiseringstabell.

Eksempel på fast punkt-RGB-bilder med deteksjon og lokaliseringsmanipulering, inkludert de fire forstyrrelsesmetodene som forfatterne brukte.

Efter manipulering, ble bildene rekompimerte ved å bruke den opprinnelige kvantiseringstabellen. Avvik fra fast punkt ble detektert ved å identifisere bildeblokker som viste ikke-null-forskjeller etter rekompresjon, og muliggjorde både deteksjon og lokaliseringsmanipulering av manipulerte områder.

Siden metoden er basert helt på standard JPEG-operasjoner, fungerer fast punkt-bilder helt fint med vanlige JPEG-visninger og redigeringer; men forfatterne merker seg at hvis bildet rekompimeres i en annen kvalitetsnivå, kan det tape sin fast punkt-status, som kan bryte autentiseringen og må håndteres forsiktig i virkelige anvendelser.

Metoden legger ikke til noen ekstra kompleksitet. I prinsippet kan den innføres i eksisterende arbeidsflyter med minimal kostnad eller forstyrrelse.

Papiret erkjenner at en sofistisert motpart kan forsøke å lage motstridende endringer som bevare fast punkt-status; men forskerne hevder at slike forsøk sannsynligvis ville introdusere synlige artefakter, og undergrave angrepet.

Selv om forfatterne ikke hevder at fast punkt-JPEG-er kan erstatte bredere provenienssystemer som C2PA, foreslår de at fast punkt-metoder kan komplementere eksterne metadata-rammeverk ved å tilby en ekstra lag med manipulasjonsbevis som består selv når metadata fjernes eller tapes.

Konklusjon

JPEG-fastpunktsmetoden tilbyr en enkel og selv-innesluttet alternativ til konvensjonelle autentiseringssystemer, som krever ingen innkapslet metadata, vannmerking eller eksterne referansefiler, og i stedet tar utgangspunkt i det forutsigbare oppførslet til komprimeringsprosessen.

På denne måten gjenvinner metoden JPEG-komprimering – en hyppig kilde til data-degradering – som et mekanisme for integritetsverifisering. I denne sammenhengen er det nye papiret ett av de mest innovative og oppfinnsomme tilnærmingene til problemet som jeg har kommet over de siste årene.

Det nye arbeidet peker mot en skifte bort fra lagrede tillegg for sikkerhet, og mot tilnærmingene som trekker på de innebygde egenskapene til mediene selv. Etterhvert som manipulasjonsmetodene blir mer sofistikerte, kan teknikker som tester bildets egen interne struktur begynne å bli viktigere.

Flere alternative systemer som er foreslått for å løse dette problemet, introduserer betydelig friction ved å kreve endringer i etablerte bildebehandlingsarbeidsflyter – noen av disse har vært i drift pålitelig i år, eller til og med tiår, og ville kreve en mye sterkere begrunnelse for å omstrukturere.

* Min konvertering av forfatternes inline-citater til lenker.

Først publisert fredag, 25. april 2025