„Chronione” obrazy są łatwiejsze, a nie trudniejsze do kradzieży z użyciem sztucznej inteligencji

Nowe badania sugerują, że narzędzia do znakowania wodnego, mające na celu zablokowanie edycji obrazów sztucznej inteligencji, mogą nie działać. Zamiast zapobiegać modelom takim jak Stable Diffusion w dokonywaniu zmian, niektóre ochrony naprawdę pomagają sztucznej inteligencji w dokładniejszym przestrzeganiu poleceń edycyjnych, co sprawia, że niepożądane manipulacje stają się jeszcze łatwiejsze.

Istnieje znaczący i solidny nurt w literaturze związanej z widzeniem komputerowym, poświęcony ochronie obrazów objętych prawem autorskim przed ich wykorzystaniem w modelach sztucznej inteligencji lub w procesach bezpośredniej edycji obrazu. Systemy tego rodzaju są geralnie skierowane do modeli dyfuzyjnych (LDM), takich jak Stable Diffusion i Flux, które wykorzystują procedury oparte na szumie do kodowania i dekodowania obrazów.

Poprzez wprowadzanie szumu przeciwnego do inaczej normalnie wyglądających obrazów, można sprawić, że detektory obrazu błędnie określą zawartość obrazu, i uniemożliwią systemom generującym obrazy wykorzystywanie danych objętych prawem autorskim:

Z artykułu MIT ‘Raising the Cost of Malicious AI-Powered Image Editing’, przykłady obrazu źródłowego ‘immunizowanego’ przeciwko manipulacji (dolny rząd). Źródło: https://arxiv.org/pdf/2302.06588

Od czasu reakcji artystów przeciwko swobodnemu wykorzystywaniu przez Stable Diffusion obrazów zebrane z Internetu (w tym objętych prawem autorskim) w 2023 roku, środowisko badawcze wypracowało wiele wariacji na ten sam temat – ideę, że obrazy mogą być niewidocznie „zatruwane” przeciwko ich wykorzystaniu w systemach sztucznej inteligencji lub w procesach generatywnych, bez negatywnego wpływu na jakość obrazu dla przeciętnego widza.

We wszystkich przypadkach istnieje bezpośrednia korelacja pomiędzy intensywnością nałożonego zaburzenia, stopniem, w jakim obraz jest następnie chroniony, a stopniem, w jakim obraz nie wygląda całkiem tak dobrze, jak powinien:

Chociaż jakość PDF z badania nie w pełni ilustruje problem, większe ilości zaburzeń szumowych poświęcają jakość na rzecz bezpieczeństwa. Tutaj widzimy gamę zakłóceń jakości w projekcie ‘Fawkes’ z 2020 roku, prowadzonym przez Uniwersytet w Chicago. Źródło: https://arxiv.org/pdf/2002.08327

Szczególnie interesujące dla artystów, którzy szukają ochrony swoich stylów przed nieautoryzowanym wykorzystaniem, jest zdolność takich systemów nie tylko do zaciemnienia tożsamości i innych informacji, ale także do „przekonania” procesu szkolenia sztucznej inteligencji, że widzi coś innego, niż to, co widzi naprawdę, tak aby połączenia nie tworzyły się pomiędzy domeną semantyczną a wizualną dla chronionych danych szkoleniowych (tj. polecenia takiego jak ‘W stylu Paula Klee’).

Mist i Glaze to dwie popularne metody wstrzyknięcia, które mogą zapobiec lub poważnie utrudnić próby wykorzystania chronionych stylów w procesach sztucznej inteligencji i rutynach szkoleniowych. Źródło: https://arxiv.org/pdf/2506.04394

Własna bramka

Teraz nowe badania z USA wykazały, że nie tylko zaburzenia mogą nie chronić obrazu, ale także, że dodanie zaburzeń może poprawić możliwość wykorzystania obrazu w procesach sztucznej inteligencji, których zaburzenia mają chronić.

Artykuł stwierdza:

‘W naszych eksperymentach z różnymi metodami ochrony opartymi na zaburzeniach w wielu dziedzinach (obrazy scen naturalnych i dzieła sztuki) oraz zadań edycyjnych (generacja obrazu z obrazu i edycja stylu), odkryliśmy, że taka ochrona nie osiąga tego celu w pełni.

‘W większości scenariuszy edycja dyfuzyjna chronionych obrazów generuje pożądany obraz wyjściowy, który ściśle przestrzega polecenia prowadzącego.

‘Nasze wyniki sugerują, że dodanie szumu do obrazów może paradoksalnie zwiększyć ich powiązanie z danymi tekstowymi podczas generacji, prowadząc do niezamierzonych konsekwencji, takich jak lepsze wyniki edycyjne.

‘Stąd argumentujemy, że metody oparte na zaburzeniach mogą nie zapewniać wystarczającego rozwiązania dla solidnej ochrony obrazów przed edycją opartą na dyfuzji.’

W testach chronione obrazy były narażone na dwa znane scenariusze edycji sztucznej inteligencji: proste generowanie obrazu z obrazu i przenoszenie stylu. Te procesy odzwierciedlają powszechne sposoby, w jakie modele sztucznej inteligencji mogą wykorzystywać chronione treści, albo przez bezpośrednią modyfikację obrazu, albo przez zaadoptowanie jego cech stylistycznych do użycia gdzie indziej.

Chronione obrazy, pochodzące ze standardowych źródeł fotografii i dzieł sztuki, były przetwarzane przez te potoki, aby sprawdzić, czy dodane zaburzenia mogą zablokować lub pogorszyć edycje.

Zamiast tego, obecność ochrony często wydawała się zwiększać wyrównanie modelu z poleceniami, wytwarzając czyste, dokładne dane wyjściowe, gdzie oczekiwano niepowodzenia.

Autorzy radzą, w istocie, że taka bardzo popularna metoda ochrony może dostarczać fałszywe poczucie bezpieczeństwa i że wszelkie podejścia immunizujące oparte na zaburzeniach powinny być starannie przetestowane przeciwko własnym metodom autorów.

Metoda

Autorzy przeprowadzili eksperymenty, wykorzystując trzy metody ochrony, które stosują starannie zaprojektowane zaburzenia przeciwnego: PhotoGuard; Mist; i Glaze.

Glaze, jeden z ram, przetestowanych przez autorów, przedstawiający przykłady ochrony Glaze dla trzech artystów. Pierwsze dwie kolumny pokazują oryginalne dzieła sztuki; trzecia kolumna pokazuje wyniki naśladownictwa bez ochrony; czwarta, wersje przeniesienia stylu użyte do optymalizacji peleryny, wraz z nazwą stylu docelowego. Piąta i szósta kolumna pokazują wyniki naśladownictwa z zastosowaną peleryną na poziomach p = 0,05 i p = 0,1. Wszystkie wyniki wykorzystują modele Stable Diffusion. https://arxiv.org/pdf/2302.04222

PhotoGuard został zastosowany do obrazów scen naturalnych, podczas gdy Mist i Glaze zostały użyte na dziełach sztuki (tj. „domenach stylistycznych”).

Testy objęły zarówno obrazy naturalne, jak i artystyczne, aby odzwierciedlić możliwe zastosowania w świecie rzeczywistym. Skuteczność każdej metody została oceniona, sprawdzając, czy model sztucznej inteligencji mógł nadal wytwarzać realistyczne i zgodne z poleceniem edycje, gdy pracował na chronionych obrazach; jeśli wynikowe obrazy wyglądały przekonywająco i odpowiadały poleceniom, ochrona została uznana za nieudaną.

Stable Diffusion v1.5 został użyty jako wstępnie wytrenowany generator obrazu do zadań edycyjnych badaczy. Pięć nasion zostało wybranych, aby zapewnić powtarzalność: 9222, 999, 123, 66 i 42. Wszystkie inne ustawienia generowania, takie jak skala prowadzenia, siła i całkowita liczba kroków, podążały za wartościami domyślnymi używanymi w eksperymentach PhotoGuard.

PhotoGuard został przetestowany na obrazach scen naturalnych przy użyciu zbioru danych Flickr8k, który zawiera ponad 8 000 obrazów sparowanych z maksymalnie pięcioma podpisami każdy.

Myśli przeciwne

Dwa zestawy zmodyfikowanych podpisów zostały utworzone z pierwszego podpisu każdego obrazu przy pomocy Claude Sonnet 3.5. Jeden zestaw zawierał polecenia, które były kontekstowo bliskie oryginalnym podpisom; drugi zestaw zawierał polecenia, które były kontekstowo odległe.

Na przykład, z oryginalnego podpisu ‘Młoda dziewczyna w różowej sukni wchodzi do drewnianej chaty’, bliskie polecenie to ‘Młody chłopak w niebieskiej koszuli wchodzi do ceglanego domu’. Z drugiej strony, odległe polecenie to ‘Dwa koty leniuchujące na kanapie’.

Bliskie polecenia były konstruowane przez zastępowanie rzeczowników i przymiotników terminami semantycznie podobnymi; polecenia odległe były generowane przez polecenie modelowi, aby utworzyć podpis, który był kontekstowo bardzo różny.

Wszystkie wygenerowane podpisy były ręcznie sprawdzane pod kątem jakości i znaczenia semantycznego. Universal Sentence Encoder Google został użyty do obliczania wyników podobieństwa semantycznego pomiędzy oryginalnymi a zmodyfikowanymi podpisami:

<img class=" wp-image-218995" src="https://www.unite.ai/wp-content/uploads/2025/06/graphs.jpg" alt="Z materiału uzupełniającego, rozkłady podobieństwa semantycznego dla zmodyfikowanych podpisów użytych w testach Flickr8k. Graf po lewej stronie pokazuje wyniki podobieństwa dla bliskich podpisów, średnio około 0,6. Graf po prawej stronie pokazuje rozkład dla podpisów znacznie zmodyfikowanych, średnio około 0,1, co odzwierciedla większą odległość semantyczną od oryginalnych podpisów. Wartości zostały obliczone przy użyciu Universal Sentence Encoder Google. Źródło: https://sigport.org/sites/default/files/docs/IncompleteProtection_SM_0.pdf

Każdy obraz, wraz ze swoją chronioną wersją, był edytowany przy użyciu zarówno bliskich, jak i odległych poleceń. Ocena jakości obrazu była przeprowadzana za pomocą BRISQUE:

Wyniki generowania obrazu z obrazu na naturalnych fotografiach chronionych przez PhotoGuard. Pomimo obecności zaburzeń, Stable Diffusion v1.5 pomyślnie przestrzegał zarówno małych, jak i dużych zmian semantycznych w poleceniach edycyjnych, wytwarzając realistyczne dane wyjściowe, które odpowiadały nowym instrukcjom.

Wygenerowane obrazy uzyskały wynik 17,88 w teście BRISQUE, przy czym 17,82 dla bliskich poleceń i 17,94 dla odległych, podczas gdy oryginalne obrazy uzyskały wynik 22,27. To pokazuje, że edytowane obrazy utrzymywały jakość zbliżoną do oryginałów.

Metryki

Aby ocenić, jak dobrze ochrona przeszkadzała w edycji sztucznej inteligencji, badacze zmierzyli, jak ściśle końcowe obrazy odpowiadały poleceniom, które otrzymały, używając systemów oceny, które porównywały zawartość obrazu z tekstem polecenia, aby sprawdzić, jak dobrze one się wyrównują.

W tym celu CLIP-S wykorzystuje model, który może zrozumieć zarówno obrazy, jak i tekst, aby sprawdzić, jak podobne są one do siebie, podczas gdy PAC-S++ dodaje dodatkowe próbki utworzone przez sztuczną inteligencję, aby jeszcze bardziej wyrównać porównanie do oceny ludzkiej.

Te wyniki wyrównania obrazu i tekstu (ITA) oznaczają, jak dokładnie sztuczna inteligencja przestrzegała poleceń podczas modyfikacji chronionego obrazu: jeśli chroniony obraz nadal prowadził do bardzo wyrównanego wyniku, oznacza to, że ochrona nie powiodła się w zablokowaniu edycji.

Wpływ ochrony na zestaw danych Flickr8k w pięciu nasionach, przy użyciu bliskich i odległych poleceń. Wyrównanie obrazu i tekstu zostało zmierzone za pomocą wyników CLIP-S i PAC-S++.

Badacze porównali, jak dobrze sztuczna inteligencja przestrzegała poleceń podczas edycji chronionych obrazów w porównaniu z niechronionymi. Najpierw sprawdzili różnicę pomiędzy nimi, zwaną Rzeczywistą Zmianą. Następnie tę różnicę przeskalowali, aby utworzyć Zmianę Procentową, co ułatwiło porównywanie wyników w wielu testach.

Ten proces ujawnił, czy ochrona utrudniała, czy ułatwiała sztucznej inteligencji dopasowanie do poleceń. Testy zostały powtórzone pięć razy przy użyciu różnych losowych nasion, obejmując zarówno małe, jak i duże zmiany oryginalnych podpisów.

Atak sztuki

Do testów na naturalnych fotografiach wykorzystano zestaw danych Flickr1024, zawierający ponad tysiąc wysokiej jakości obrazów. Każdy obraz został edytowany przy użyciu poleceń, które następowały wzorcem: ‘Zmień styl na [V]’, gdzie [V] reprezentował jeden z siedmiu słynnych stylów artystycznych: Kubizm; Postimpresjonizm; Impresjonizm; Surrealizm; Barok; Fauwizm; i Renesans.

Proces obejmował zastosowanie PhotoGuard do oryginalnych obrazów, generowanie chronionych wersji, a następnie przepuszczanie zarówno chronionych, jak i niechronionych obrazów przez te same edycje przenoszenia stylu:

Oryginalne i chronione wersje naturalnego obrazu, każdy edytowany, aby zastosować style Kubizmu, Surrealizmu i Fauwizmu.

Aby przetestować metody ochrony na dziełach sztuki, przenoszenie stylu zostało wykonane na obrazach z zestawu WikiArt, który gromadzi szeroki zakres stylów artystycznych. Polecenia edycyjne następowały tym samym formatem co poprzednio, nakazując sztucznej inteligencji zmianę stylu na losowo wybrany, niezwiązany styl z etykiet WikiArt.

Obydwie metody ochrony, Glaze i Mist, zostały zastosowane do obrazów przed edycjami, pozwalając badaczom obserwować, jak dobrze każda obrona może zablokować lub zniekształcić wyniki przenoszenia stylu:

Przykłady wpływu metod ochrony na przenoszenie stylu w dziełach sztuki. Oryginalny obraz w stylu Baroku jest pokazany obok wersji chronionych przez Mist i Glaze. Po zastosowaniu przenoszenia stylu Kubizmu różnice w tym, jak każda ochrona zmienia końcowy wynik, są widoczne.

Badacze przetestowali porównania ilościowo:

Zmiany w wynikach wyrównania obrazu i tekstu po edycjach przenoszenia stylu.

Z tych wyników autorzy komentują:

‘Wyniki podkreślają znaczącą ograniczenie zaburzeń przeciwnych w ochronie. Zamiast utrudniać wyrównanie, zaburzenia przeciwne często zwiększają odpowiedź modelu generatywnego na polecenia, nieumyślnie umożliwiając osobom atakującym wytwarzanie wyników, które lepiej odpowiadają ich celom. Taka ochrona nie jest szkodliwa dla procesu edycji obrazu i może nie być w stanie powstrzymać osób atakujących od kopiowania nieautoryzowanych materiałów.

‘Nieoczekiwane konsekwencje korzystania z zaburzeń przeciwnych ujawniają słabości istniejących metod i podkreślają pilną potrzebę bardziej skutecznych technik ochrony.’

Autorzy wyjaśniają, że nieoczekiwane wyniki mogą być spowodowane tym, jak modele dyfuzyjne działają: LDM edytują obrazy, najpierw konwertując je na wersję skompresowaną zwaną latentną; szum jest następnie dodawany do tej latentnej przez wiele kroków, aż dane stają się prawie losowe.

Model odwraca ten proces podczas generowania, usuwając szum stopniowo. Na każdym etapie tego odwrócenia, tekstowe polecenie pomaga kierować, jak szum powinien być oczyszczany, stopniowo kształtując obraz, aby dopasować go do polecenia:

Porównanie generacji z niechronionego obrazu i obrazu chronionego przez PhotoGuard, ze stanami latentnymi przekonwertowanymi z powrotem w obrazy do wizualizacji.

Metody ochrony dodają niewielkie ilości dodatkowego szumu do oryginalnego obrazu przed wejściem do tego procesu. Chociaż te zaburzenia są nieznaczne na początku, gromadzą się, gdy model stosuje swoje warstwy szumu.

Ten przyrost pozostawia więcej części obrazu „niepewnych”, gdy model zaczyna usuwać szum. Z większą niepewnością, model opiera się bardziej na tekście polecenia, aby uzupełnić brakujące szczegóły, dając poleceniu jeszcze większy wpływ, niż normalnie miałby.

W efekcie, ochrona sprawia, że łatwiej sztucznej inteligencji przekształcić obraz, aby dopasować go do polecenia, zamiast utrudnić to.

W końcu, autorzy przeprowadzili test, który zastąpił zaburzenia sztuczne z podniesienia kosztu nieuczciwej edycji obrazu sztucznej inteligencji paperem czystym szumem Gaussa.

Wyniki podążały za tym samym wzorcem, jaki zaobserwowano wcześniej: we wszystkich testach wartości Zmiany Procentowej pozostały dodatnie. Nawet ten losowy, nieustrukturyzowany szum prowadził do silniejszego wyrównania pomiędzy wygenerowanymi obrazami a poleceniami.

Wpływ symulowanej ochrony przy użyciu szumu Gaussa na zestawie danych Flickr8k.

To potwierdziło podstawowe wyjaśnienie, że każdy dodany szum, niezależnie od jego projektu, tworzy większą niepewność dla modelu podczas generowania, pozwalając poleceniu tekstu wywierać jeszcze większy wpływ na końcowy obraz.

Podsumowanie

Scena badawcza od dawna stara się rozwiązać problem praw autorskich w modelach dyfuzyjnych; jednak nie wyłoniły się jeszcze rozwiązania, które byłyby solidne. Albo nałożone zaburzenia znacznie obniżają jakość obrazu, albo wzorce okazują się nieodporne na manipulację i procesy transformacyjne.

Jednak jest to trudny sen do porzucenia, ponieważ alternatywą wydają się być ramy monitorowania i pochodzenia prowadzone przez strony trzecie, takie jak schema C2PA, które mają na celu utrzymanie łańcucha posiadania obrazów od momentu ich utworzenia, ale nie mają żadnego związku z zawartością, którą przedstawiają.

W każdym przypadku, jeśli zaburzenia przeciwne naprawdę sprawiają, że problem staje się gorszy, jak wskazuje nowy artykuł, można się zastanawiać, czy poszukiwanie ochrony praw autorskich za pomocą takich środków nie jest „alchemią”.

Pierwotnie opublikowane w poniedziałek, 9 czerwca 2025