Samoautentyczne obrazy za pomocą prostej kompresji JPEG

Obsesja ryzyka związanego z fałszowanymi obrazami pojawia się regularnie w badaniach w ciągu ostatnich kilku lat, szczególnie w związku z nową falą frameworków edycji obrazu opartych na sztucznej inteligencji, które mogą modyfikować istniejące obrazy, a nie tworzyć nowe.

Większość proponowanych systemów wykrywania tego rodzaju treści należy do jednej z dwóch kategorii: pierwsza to znakowanie wodne – podejście awaryjne zaimplementowane w ramach struktury wiarygodności obrazu, promowanej przez Koalicję na rzecz Pochodzenia i Autentyczności Treści (C2PA).

Procedura znakowania wodnego C2PA jest rozwiązaniem awaryjnym, w przypadku gdy treść obrazu zostanie oddzielona od jej oryginalnej i bieżącej manifestacji. Źródło: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Te “tajne sygnały” muszą następnie być odporne na automatyczne procedury ponownego kodowania/optymalizacji, które często występują, gdy obraz przechodzi przez sieci społeczne i portale – ale często nie są odporne na rodzaj stratnej ponownej kodowania stosowanego w przypadku kompresji JPEG (i pomimo konkurencji ze strony pretendentów, takich jak webp, format JPEG jest nadal używany w przypadku szacunkowo 74,5% wszystkich obrazów na stronach internetowych).

Druga podejście polega na tym, aby obrazy były odporne na fałszerstwa, jak to zostało po raz pierwszy zaproponowane w pracy z 2013 roku zatytułowanej “Scheme autoryzacji integralności obrazu opartej na teorii punktu stałego”. Zamiast polegać na znakowaniu wodnym lub podpisach cyfrowych, metoda ta wykorzystywała matematyczną transformację zwana transformacją Gaussa i dekonwolucją (GCD), aby przesunąć obrazy w kierunku stanu stabilnego, który zostanie przerwany, jeśli obraz zostanie zmieniony.

Wyniki lokalizacji fałszerstw z wykorzystaniem obrazu punktu stałego o PSNR 59,7802 dB. Białe prostokąty wskazują obszary, które zostały poddane atakom. Panel A (po lewej) przedstawia zastosowane modyfikacje, w tym szum, filtrowanie i ataki oparte na kopiowaniu. Panel B (po prawej) przedstawia wyniki wykrywania, wskazując obszary, które zostały sfałszowane i zidentyfikowane przez proces autoryzacji. Źródło: https://arxiv.org/pdf/1308.0679

Pojęcie to można najlepiej zrozumieć w kontekście naprawy delikatnej koronki: niezależnie od tego, jak finezyjne są techniki wykorzystywane do łatania koronki, naprawiony obszar będzie zawsze rozpoznawalny.

Ten rodzaj transformacji, gdy jest stosowany wielokrotnie do obrazu w odcieniach szarości, stopniowo przesuwa go w kierunku stanu, w którym ponowne zastosowanie transformacji nie powoduje żadnych dalszych zmian.

Stabilna wersja obrazu nazywana jest punktem stałym. Punkty stałe są rzadkie i bardzo wrażliwe na zmiany – każda niewielka modyfikacja punktu stałego prawie na pewno spowoduje utratę jego statusu punktu stałego, co ułatwia wykrywanie fałszerstw.

Jak zwykle w przypadku takich podejść, artefakty kompresji JPEG mogą zagrażać integralności schematu:

Po lewej stronie widzimy znak wodny na twarzy ikonicznego obrazu Lenny, który jest wyraźny podczas normalnej kompresji. Po prawej stronie, z kompresją JPEG na poziomie 90%, widać, że różnica między postrzeganym znakiem wodnym a wzrostem szumu JPEG jest mniejsza. Po wielokrotnym zapisie lub przy najwyższych ustawieniach kompresji większość schematów znakowania wodnego ma problemy z artefaktami kompresji JPEG. Źródło: https://arxiv.org/pdf/2106.14150

Co, jeśli zamiast tego artefakty kompresji JPEG mogłyby być wykorzystane jako centralny środek do uzyskania punktu stałego? W takim przypadku nie byłoby potrzeby dodatkowych systemów, ponieważ ten sam mechanizm, który zwykle powoduje problemy z wykrywaniem fałszerstw, stanowiłby podstawę samego systemu wykrywania fałszerstw.

Kompresja JPEG jako podstawa bezpieczeństwa

Taki system został przedstawiony w nowej pracy dwóch badaczy z Uniwersytetu w Buffalo w stanie Nowy Jork. Tytuł pracy to “Obrazy odporne na fałszerstwa z wykorzystaniem punktów stałych JPEG”, a nowa propozycja opiera się na pracy z 2013 roku i pokrewnych pracach, oficjalnie formułując jej centralne zasady po raz pierwszy, a także wykorzystując w sposób genialny samą kompresję JPEG jako metodę potencjalnego uzyskania “samoautentycznych” obrazów.

Autorzy wyjaśniają:

‘Badanie ujawnia, że obraz pozostaje niezmieniony po przejściu przez kilka rund procesu kompresji i dekompresji JPEG.

‘Innymi słowy, jeśli jeden cykl kompresji i dekompresji JPEG jest traktowany jako transformacja obrazu, określana jako transformacja JPEG, to ta transformacja wykazuje właściwość posiadania punktów stałych, tj. obrazów, które pozostają niezmienione, gdy transformacja JPEG jest zastosowana.’

Ilustracja zbieżności punktów stałych JPEG z nowej pracy. W górnym rzędzie widzimy przykładowy obraz, który przechodzi przez powtarzające się kompresje JPEG, z każdą iteracją pokazującą liczbę i położenie zmieniających się pikseli; w dolnym rzędzie wykreślona jest odległość pikseli między kolejnymi iteracjami w różnych ustawieniach jakości kompresji. Ironicznie, nie ma lepszej rozdzielczości tego obrazu. Źródło: https://arxiv.org/pdf/2504.17594

Zamiast wprowadzać zewnętrzne transformacje lub znaki wodne, nowa praca definiuje sam proces JPEG jako dynamiczny system. W tym modelu każdy cykl kompresji i dekompresji przesuwa obraz w kierunku punktu stałego. Autorzy udowodnili, że po skończonej liczbie iteracji każdy obraz albo osiąga, albo przybliża stan, w którym dalsza kompresja nie spowoduje żadnych zmian.

Badacze stwierdzają*:

‘Wszelkie modyfikacje obrazu spowodują odchylenia od punktów stałych JPEG, które mogą być wykryte jako zmiany w blokach JPEG po jednej rundzie kompresji i dekompresji…

‘Proponowane obrazy odporne na fałszerstwa oparte na punktach stałych JPEG mają dwie zalety. Po pierwsze, obrazy odporne na fałszerstwa eliminują potrzebę zewnętrznego przechowywania weryfikowalnych cech, takich jak wymagane przez odciski obrazu [schematy], lub osadzanie ukrytych śladów, takich jak metody znakowania wodnego. Sam obraz służy jako dowód jego autentyczności, co czyni schemat wewnętrznie samowystarczalnym.

‘Po drugie, ponieważ JPEG jest powszechnie używanym formatem i często ostatnim krokiem w potoku przetwarzania obrazu, proponowana metoda jest odporna na operacje JPEG. To różni się od oryginalnego [podejścia], które może stracić ślady integralności z powodu JPEG.’

Kluczowym spostrzeżeniem pracy jest to, że zbieżność JPEG nie jest tylko produktem ubocznym jej konstrukcji, ale matematycznie nieuniknionym wynikiem jej operacji. Dyskretna transformacja cosinusowa, kwantyzacja, zaokrąglanie i przycinanie razem tworzą transformację, która (w odpowiednich warunkach) prowadzi do przewidywalnego zestawu punktów stałych.

Schemat procesu kompresji/dekompresji JPEG sformułowany dla nowej pracy.

W przeciwieństwie do znakowania wodnego, ta metoda nie wymaga ukrytego sygnału. Jedyną odniesieniem jest własna spójność obrazu podczas dalszej kompresji. Jeśli rekompresja nie powoduje żadnych zmian, obraz jest uważany za autentyczny. Jeśli tak, fałszerstwo jest wskazywane przez odchylenie.

Testy

Autorzy potwierdzili to zachowanie, używając jednego miliona losowo wygenerowanych fragmentów obrazu o wymiarach 8×8 pikseli i 8-bitowej skali szarości. Stosując powtarzające się kompresje i dekompresje JPEG do tych syntetycznych fragmentów, zaobserwowali, że zbieżność do punktu stałego występuje w skończonej liczbie kroków. Proces ten był monitorowany przez pomiar odległości pikseli między kolejnymi iteracjami, z malejącymi różnicami, aż fragmenty ustabilizowały się.

Różnica L2 między kolejnymi iteracjami dla jednego miliona fragmentów 8×8, zmierzona w różnych jakościach kompresji JPEG. Każdy proces zaczyna się od jednego fragmentu skompresowanego JPEG i śledzi zmniejszanie się różnicy w trakcie powtarzających się kompresji.

Aby ocenić wykrywanie fałszerstw, autorzy skonstruowali obrazy odporne na fałszerstwa JPEG i zastosowali cztery rodzaje ataków: szum soli i pieprzu; operacje kopiowania; wklejanie z zewnętrznych źródeł; oraz podwójną kompresję JPEG z wykorzystaniem innej tabeli kwantyzacji.

Przykład obrazu punktu stałego RGB z wykrywaniem i lokalizacją fałszerstw, w tym czterech metod zakłóceń użytych przez autorów. W dolnym rzędzie widać, że każdy styl perturbacji zdradza się względem wygenerowanego obrazu punktu stałego.

Po fałszerstwie obrazy były rekompresowane z wykorzystaniem oryginalnej macierzy kwantyzacji. Odchylenia od punktu stałego były wykrywane przez identyfikację bloków obrazu, które wykazywały niezerowe różnice po rekompresji, umożliwiając zarówno wykrywanie, jak i lokalizację sfałszowanych obszarów.

Ponieważ metoda ta opiera się całkowicie na standardowych operacjach JPEG, obrazy punktu stałego działają dobrze z zwykłymi przeglądarkami i edytorami JPEG; jednak autorzy zauważają, że jeśli obraz jest rekompresowany w innym poziomie jakości, może utracić swój status punktu stałego, co mogłoby złamać uwierzytelnienie i wymaga starannej obsługi w przypadku użycia w środowisku rzeczywistym.

Chociaż nie jest to tylko narzędzie do analizy danych wyjściowych JPEG, nie dodaje również znacznej złożoności. W zasadzie mogłoby być włączone do istniejących przepływów pracy z minimalnym kosztem lub zakłóceniem.

Praca przyznaje, że wyrafinowany przeciwnik może spróbować wykonać zmiany, które zachowają status punktu stałego; jednak badacze twierdzą, że takie wysiłki prawdopodobnie wprowadziłyby widoczne artefakty, podważając atak.

Chociaż autorzy nie twierdzą, że obrazy punktu stałego JPEG mogą zastąpić szersze systemy pochodzenia, takie jak C2PA, sugerują, że metody punktu stałego mogą uzupełniać zewnętrzne ramy metadanych, oferując dodatkową warstwę dowodów fałszerstw, które utrzymują się nawet wtedy, gdy metadane są usunięte lub utracone.

Wnioski

Podejście punktu stałego JPEG oferuje prostą i samowystarczalną alternatywę dla konwencjonalnych systemów uwierzytelniania, nie wymagającą osadzonych metadanych, znaków wodnych ani zewnętrznych plików odniesienia, a zamiast tego czerpiącą autentyczność bezpośrednio z przewidywalnego zachowania procesu kompresji.

W ten sposób metoda odzyskuje kompresję JPEG – częste źródło degradacji danych – jako mechanizm weryfikacji integralności. W tym zakresie nowa praca jest jednym z najbardziej innowacyjnych i wynalazczych podejść do tego problemu, jakie spotkałem w ciągu ostatnich kilku lat.

Nowa praca wskazuje na odejście od warstw dodatkowych dla bezpieczeństwa i w kierunku podejść, które wykorzystują wbudowane cechy samej treści. W miarę jak metody fałszerstw stają się bardziej wyrafinowane, techniki, które testują wewnętrzną strukturę obrazu, mogą zacząć mieć większe znaczenie.

Dalej, wiele alternatywnych systemów proponowanych w celu rozwiązania tego problemu wprowadza znaczne tarcie, wymagając zmian w dobrze ustalonych przepływach pracy z obrazami – niektóre z nich funkcjonują niezawodnie od lat, a nawet dekad, i wymagałyby znacznie silniejszego uzasadnienia dla przebudowy.

* Moja konwersja cytatów autorów do linków.

Pierwotnie opublikowane w piątek, 25 kwietnia 2025