‘Imagens Protegidas’ São Mais Fáceis, Não Mais Difíceis, de Roubar Com IA

Pesquisas recentes sugerem que ferramentas de marca d’água destinadas a bloquear edições de imagens de IA podem ter efeito contrário. Em vez de impedir que modelos como o Stable Diffusion façam alterações, algumas proteções na verdade ajudam a IA a seguir os prompts de edição mais de perto, tornando manipulações indesejadas ainda mais fáceis.

Há uma corrente notável e robusta na literatura de visão computacional dedicada a proteger imagens com direitos autorais de serem treinadas em modelos de IA ou usadas em processos de imagem-para-imagem de IA. Sistemas desse tipo são geralmente direcionados a Modelos de Difusão Latente (LDMs) como Stable Diffusion e Flux, que usam procedimentos baseados em ruído para codificar e decodificar imagens.

Ao inserir ruído adversarial em imagens que de outra forma parecem normais, é possível causar que detectores de imagens guess a contento da imagem incorretamente, e impedir que sistemas de geração de imagens exploitem dados protegidos por direitos autorais:

Do artigo da MIT ‘Raising the Cost of Malicious AI-Powered Image Editing’, exemplos de uma imagem de origem ‘imunizada’ contra manipulação (linha inferior). Fonte: https://arxiv.org/pdf/2302.06588

Desde uma rejeição de artistas contra o uso liberal de imagens raspadas da web pelo Stable Diffusion em 2023, a cena de pesquisa produziu múltiplas variações do mesmo tema – a ideia de que as imagens podem ser invisivelmente ‘envenenadas’ contra serem treinadas em sistemas de IA ou sugadas em pipelines de IA geradora, sem afetar adversamente a qualidade da imagem, para o espectador médio.

Em todos os casos, há uma correlação direta entre a intensidade da perturbação imposta, a extensão com que a imagem é subsequentemente protegida e a extensão com que a imagem não parece tão boa quanto deveria:

Embora a qualidade do PDF da pesquisa não ilustre completamente o problema, maiores quantidades de perturbação adversarial sacrificam a qualidade pela segurança. Aqui vemos o espectro de distúrbios de qualidade no projeto ‘Fawkes’ de 2020, liderado pela Universidade de Chicago. Fonte: https://arxiv.org/pdf/2002.08327

De particular interesse para artistas que buscam proteger seus estilos contra apropriação não autorizada é a capacidade de tais sistemas não apenas ofuscar a identidade e outras informações, mas ‘convencer’ um processo de treinamento de IA de que está vendo algo diferente do que realmente está vendo, para que conexões não se formem entre domínios semânticos e visuais para dados de treinamento ‘protegidos’ (ou seja, um prompt como ‘No estilo de Paul Klee’).

Mist e Glaze são dois métodos de injeção populares capazes de prevenir, ou pelo menos severamente impedir, tentativas de usar estilos protegidos por direitos autorais em fluxos de trabalho e rotinas de treinamento de IA. Fonte: https://arxiv.org/pdf/2506.04394

Gol Contra

Agora, uma nova pesquisa nos EUA descobriu que não apenas as perturbações podem falhar em proteger uma imagem, mas que adicionar perturbação pode na verdade melhorar a capacidade de exploração da imagem em todos os processos de IA que a perturbação pretende imunizar.

O artigo afirma:

‘Em nossos experimentos com vários métodos de proteção de imagem baseados em perturbação em diferentes domínios (imagens de cena natural e obras de arte) e tarefas de edição (geração de imagem-para-imagem e edição de estilo), descobrimos que tal proteção não alcança completamente o objetivo.

‘Na maioria dos cenários, a edição de difusão de imagens protegidas gera uma imagem de saída desejável que adere precisamente ao prompt de orientação.

‘Nossas descobertas sugerem que adicionar ruído às imagens pode paradoxalmente aumentar sua associação com prompts de texto dados durante o processo de geração, levando a consequências não intencionais, como melhores edições resultantes.

‘Portanto, argumentamos que métodos baseados em perturbação podem não fornecer uma solução suficiente para proteção de imagem robusta contra edição baseada em difusão.’

Nos testes, as imagens protegidas foram expostas a dois cenários de edição de IA familiares: geração de imagem-para-imagem direta e transferência de estilo. Esses processos refletem as maneiras comuns pelas quais modelos de IA podem explorar conteúdo protegido, seja alterando diretamente uma imagem ou emprestando seus traços estilísticos para uso em outro lugar.

As imagens protegidas, extraídas de fontes padrão de fotografia e arte, foram executadas através desses pipelines para ver se as perturbações adicionadas poderiam bloquear ou degradar as edições.

No entanto, a presença de proteção frequentemente parecia afiar o alinhamento do modelo com os prompts, produzindo saídas limpas e precisas onde alguma falha havia sido esperada.

Os autores aconselham, em essência, que esse método popular de proteção pode estar fornecendo uma falsa sensação de segurança, e que qualquer abordagem de imunização baseada em perturbação deve ser testada minuciosamente contra os métodos dos autores.

Método

Os autores executaram experimentos usando três métodos de proteção que aplicam perturbações adversariais cuidadosamente projetadas: PhotoGuard; Mist; e Glaze.

Glaze, uma das estruturas testadas pelos autores, ilustrando exemplos de proteção Glaze para três artistas. As duas primeiras colunas mostram as obras de arte originais; a terceira coluna mostra resultados de imitação sem proteção; a quarta, versões transferidas de estilo usadas para otimização de capa, juntamente com o nome do estilo de destino. As quintas e sextas colunas mostram resultados de imitação com capa aplicada em níveis de perturbação p = 0,05 e p = 0,1. Todos os resultados usam modelos de difusão estável. https://arxiv.org/pdf/2302.04222

PhotoGuard foi aplicado a imagens de cena natural, enquanto Mist e Glaze foram usados em obras de arte (ou seja, domínios ‘estilizados artisticamente’).

Os testes abrangeram imagens naturais e artísticas para refletir possíveis usos do mundo real. A eficácia de cada método foi avaliada verificando se um modelo de IA ainda poderia produzir edições realistas e relevantes para os prompts quando trabalhando com imagens protegidas; se as imagens resultantes parecessem convincentes e corressem com os prompts, a proteção foi considerada como tendo falhado.

Stable Diffusion v1.5 foi usado como o gerador de imagem pré-treinado para as tarefas de edição dos pesquisadores. Cinco sementes foram selecionadas para garantir reprodutibilidade: 9222, 999, 123, 66 e 42. Todos os outros ajustes de geração, como escala de orientação, força e passos totais, seguiram os valores padrão usados nos experimentos PhotoGuard.

PhotoGuard foi testado em imagens de cena natural usando o conjunto de dados Flickr8k, que contém mais de 8.000 imagens emparelhadas com até cinco legendas cada.

Pensamentos Opostos

Dois conjuntos de legendas modificadas foram criados a partir da primeira legenda de cada imagem com a ajuda de Claude Sonnet 3.5. Um conjunto continha prompts que eram próximos contextualmente às legendas originais; o outro conjunto continha prompts que eram distantes contextualmente.

Por exemplo, a partir da legenda original ‘Uma menina jovem em um vestido rosa entrando em uma cabana de madeira’, um prompt próximo seria ‘Um menino jovem em uma camisa azul entrando em uma casa de tijolos’. Em contraste, um prompt distante seria ‘Dois gatos relaxando em um sofá’.

Os prompts próximos foram construídos substituindo substantivos e adjetivos por termos semanticamente semelhantes; os prompts distantes foram gerados instruindo o modelo a criar legendas que fossem contextualmente muito diferentes.

Todas as legendas geradas foram verificadas manualmente para qualidade e relevância semântica. O Universal Sentence Encoder do Google foi usado para calcular pontuações de similaridade semântica entre as legendas originais e as legendas modificadas:

Do material suplementar, distribuições de similaridade semântica para as legendas modificadas usadas nos testes do Flickr8k. O gráfico à esquerda mostra as pontuações de similaridade para legendas modificadas próximas, com média em torno de 0,6. O gráfico à direita mostra as legendas modificadas extensivamente, com média em torno de 0,1, refletindo uma maior distância semântica das legendas originais. Fonte: https://sigport.org/sites/default/files/docs/IncompleteProtection_SM_0.pdf

Cada imagem, junto com sua versão protegida, foi editada usando tanto os prompts próximos quanto os distantes. O Avaliador de Qualidade de Imagem Espacial Cego/Referencial (BRISQUE) foi usado para avaliar a qualidade da imagem:

Resultados de geração de imagem-para-imagem em fotografias naturais protegidas pelo PhotoGuard. Apesar da presença de perturbações, o Stable Diffusion v1.5 seguiu com sucesso tanto as pequenas quanto as grandes alterações semânticas nos prompts de edição, produzindo saídas realistas que correspondiam às novas instruções.

Métricas

Para julgar como bem as proteções interferiram com a edição de IA, os pesquisadores mediram como de perto as imagens finais correspondiam às instruções que receberam, usando sistemas de pontuação que comparavam o conteúdo da imagem com o prompt de texto, para ver como bem eles se alinham.

Para isso, a métrica CLIP-S usa um modelo que pode entender tanto imagens quanto texto para verificar como semelhantes eles são, enquanto PAC-S++ adiciona amostras extras criadas por IA para alinhar sua comparação mais de perto com uma estimativa humana.

Essas pontuações de Alinhamento de Imagem-Texto (ITA) denotam como precisamente a IA seguiu as instruções ao modificar uma imagem protegida: se uma imagem protegida ainda levou a uma saída altamente alinhada, significa que a proteção foi considerada como tendo falhado em bloquear a edição.

Efeito da proteção no conjunto de dados Flickr8k em cinco sementes, usando tanto prompts próximos quanto distantes. O alinhamento de imagem-texto foi medido usando pontuações CLIP-S e PAC-S++.

Os pesquisadores compararam como bem a IA seguiu os prompts ao editar imagens protegidas versus imagens não protegidas. Eles primeiro olharam para a diferença entre os dois, chamada de Mudança Real. Em seguida, a diferença foi escalonada para criar uma Mudança Percentual, tornando mais fácil comparar resultados em muitos testes.

Isso revelou se as proteções tornaram mais difícil ou mais fácil para a IA corresponder aos prompts. Os testes foram repetidos cinco vezes usando sementes aleatórias diferentes, cobrindo tanto alterações pequenas quanto grandes nas legendas originais.

Ataque de Arte

Para os testes em fotografias naturais, o conjunto de dados Flickr1024 foi usado, contendo mais de mil imagens de alta qualidade. Cada imagem foi editada com prompts que seguiram o padrão: ‘mudar o estilo para [V]’, onde [V] representava um dos sete estilos de arte famosos: Cubismo; Pós-Impressionismo; Impressionismo; Surrealismo; Barroco; Fauvismo; e Renascimento.

O processo envolveu aplicar o PhotoGuard às imagens originais, gerar versões protegidas e, em seguida, executar tanto as imagens protegidas quanto as não protegidas através do mesmo conjunto de edições de transferência de estilo:

Imagens originais e protegidas de uma cena natural, cada uma editada para aplicar estilos de Cubismo, Surrealismo e Fauvismo.

Para testar métodos de proteção em obras de arte, a transferência de estilo foi realizada em imagens do conjunto de dados WikiArt, que cura uma ampla gama de estilos artísticos. Os prompts de edição seguiram o mesmo formato anterior, instruindo a IA a mudar o estilo para um estilo aleatório e não relacionado, extraído das etiquetas WikiArt:

Os métodos de proteção Glaze e Mist foram aplicados às imagens antes das edições, permitindo que os pesquisadores observassem como bem cada defesa poderia bloquear ou distorcer os resultados de transferência de estilo:

Exemplos de como os métodos de proteção afetam a transferência de estilo em obras de arte. A imagem original Barroca é mostrada ao lado de versões protegidas por Mist e Glaze. Após aplicar a transferência de estilo de Cubismo, as diferenças em como cada proteção altera a saída final podem ser vistas.

Os pesquisadores testaram as comparações quantitativamente também:

Alterações nas pontuações de alinhamento de imagem-texto após edições de transferência de estilo.

Desses resultados, os autores comentam:

‘Os resultados destacam uma limitação significativa das perturbações adversariais para proteção. Em vez de impedir o alinhamento, as perturbações adversariais frequentemente melhoram a responsividade do modelo gerador aos prompts, permitindo inadvertidamente que os exploradores produzam saídas que se alinham mais de perto com seus objetivos. Tal proteção não é disruptiva para o processo de edição de imagem e pode não ser capaz de prevenir agentes mal-intencionados de copiar material não autorizado.

‘As consequências não intencionais do uso de perturbações adversariais revelam vulnerabilidades nos métodos existentes e destacam a necessidade urgente de técnicas de proteção mais eficazes.’

Os autores explicam que os resultados inesperados podem ser rastreados até como os modelos de difusão funcionam: os LDMs editam imagens convertendo-as primeiro em uma versão comprimida chamada de latente; ruído é então adicionado a esse latente por muitas etapas, até que os dados se tornem quase aleatórios.

O modelo reverte esse processo durante a geração, removendo o ruído passo a passo. Em cada estágio desse processo reverso, o prompt de texto ajuda a guiar como o ruído deve ser limpo, moldando gradualmente a imagem para corresponder ao prompt:

Comparações entre gerações de uma imagem não protegida e uma imagem protegida pelo PhotoGuard, com estados latentes intermediários convertidos de volta em imagens para visualização.

Métodos de proteção adicionam pequenas quantidades de ruído extra à imagem original antes que ela entre nesse processo. Embora essas perturbações sejam menores no início, elas se acumulam à medida que o modelo aplica suas próprias camadas de ruído.

Esse acúmulo deixa mais partes da imagem ‘incertas’ quando o modelo começa a remover o ruído. Com maior incerteza, o modelo se apoia mais pesadamente no prompt de texto para preencher os detalhes ausentes, dando ao prompt ainda mais influência do que normalmente teria.

Em essência, as proteções tornam mais fácil para a IA remodelar a imagem para corresponder ao prompt, em vez de mais difícil.

Finalmente, os autores conduziram um teste que substituiu perturbações projetadas do artigo ‘Raising the Cost of Malicious AI-Powered Image Editing’ por ruído gaussiano puro.

Os resultados seguiram o mesmo padrão observado anteriormente: em todos os testes, os valores de Mudança Percentual permaneceram positivos. Até mesmo esse ruído aleatório e não estruturado levou a um alinhamento mais forte entre as imagens geradas e os prompts.

Efeito da proteção simulada usando ruído gaussiano no conjunto de dados Flickr8k.

Isso apoiou a explicação subjacente de que qualquer ruído adicionado, independentemente de seu design, cria maior incerteza para o modelo durante a geração, permitindo que o prompt de texto exerça ainda mais controle sobre a imagem final.

Conclusão

A cena de pesquisa tem empurrado a perturbação adversarial no problema de direitos autorais de LDM por quase tanto tempo quanto os LDMs existem; mas nenhuma solução resiliente emergiu do número extraordinário de artigos publicados sobre essa abordagem.

Ou as perturbações impostas reduzem excessivamente a qualidade da imagem, ou os padrões provam não ser resilientes a manipulação e processos transformacionais.

No entanto, é um sonho difícil de abandonar, desde que a alternativa pareceria ser frameworks de monitoramento e proveniência de terceiros, como o esquema C2PA liderado pela Adobe, que busca manter uma cadeia de custódia para imagens desde o sensor da câmera, mas que não tem nenhuma conexão inerente com o conteúdo representado.

Em qualquer caso, se a perturbação adversarial está realmente tornando o problema pior, como o novo artigo indica que pode ser verdade em muitos casos, alguém se pergunta se a busca por proteção de direitos autorais por meio de tais meios cai sob ‘alquimia’.

Publicado pela primeira vez na segunda-feira, 9 de junho de 2025