Imaginile „Protejate” Sunt Mai Ușor de Furat Cu Ajutorul Inteligenței Artificiale

Cercetările recente sugerează că instrumentele de marcare a imaginilor destinate să blocheze editarea cu ajutorul inteligenței artificiale pot avea efect invers. În loc să oprească modele precum Stable Diffusion să facă modificări, unele protecții pot chiar să ajute inteligența artificială să urmeze prompturile de editare mai îndeaproape, făcând manipulările nedorite și mai ușoare.

Există o direcție notabilă și robustă în literatura de specialitate a viziunii calculate dedicate protejării imaginilor cu drepturi de autor împotriva antrenării în modele de inteligență artificială sau utilizării în procese directe de imagine-la-imagine cu ajutorul inteligenței artificiale. Sistemele de acest tip sunt în general destinate modelelor de difuzie latente (LDM), cum ar fi Stable Diffusion și Flux, care utilizează proceduri bazate pe zgomot pentru a codifica și decodifica imagini.

Prin inserarea de zgomot adversarial în imagini care altfel arată normal, poate fi posibil să se determine ca detectoarele de imagini să ghicească conținutul imaginii în mod incorect și să împiedice sistemele de generare de imagini să exploateze datele cu drepturi de autor:

Din lucrarea MIT ‘Raising the Cost of Malicious AI-Powered Image Editing’, exemple de o imagine sursă ‘imunizată’ împotriva manipulării (rândul inferior). Sursă: https://arxiv.org/pdf/2302.06588

De la reacția artiștilor împotriva utilizării liberale a imaginilor de pe web de către Stable Diffusion în 2023, scena de cercetare a produs multiple variații pe aceeași temă – ideea că imaginile pot fi „otrăvite” în mod invizibil împotriva antrenării în sisteme de inteligență artificială sau a utilizării în fluxuri de generare de imagini cu inteligență artificială, fără a afecta negativ calitatea imaginii pentru spectatorul obișnuit.

În toate cazurile, există o corelație directă între intensitatea perturbației impuse și gradul în care imaginea este ulterior protejată, precum și gradul în care imaginea nu arată chiar atât de bine pe cât ar trebui:

Deși calitatea PDF-ului de cercetare nu ilustrează pe deplin problema, cantități mai mari de perturbație adversarială sacrifică calitatea pentru securitate. Sursă: https://arxiv.org/pdf/2002.08327

În special pentru artiștii care caută să-și protejeze stilurile împotriva utilizării neautorizate, capacitatea unor astfel de sisteme de a ascunde identitatea și alte informații, dar și de a „convinge” un proces de antrenare cu inteligență artificială că vede ceva diferit de ceea ce vede cu adevărat, astfel încât conexiunile să nu se formeze între domeniile semantică și vizuală pentru datele de antrenare „protejate” (de exemplu, un prompt precum ‘În stilul lui Paul Klee’).

Mist și Glaze sunt două metode populare de injecție capabile să prevină sau să împiedice serios încercările de a utiliza stiluri cu drepturi de autor în fluxurile de lucru și rutinele de antrenare cu inteligență artificială. Sursă: https://arxiv.org/pdf/2506.04394

Autogol

Acum, o nouă cercetare din Statele Unite a descoperit că nu numai că perturbațiile pot eșua în a proteja o imagine, dar că adăugarea de perturbații poate chiar să îmbunătățească posibilitatea de exploatare a imaginii în toate procesele de inteligență artificială pe care perturbația este menită să le imunizeze.

Articolul afirmă:

‘În experimentele noastre cu diverse metode de protecție a imaginilor bazate pe perturbații, pe multiple domenii (imagini de scene naturale și opere de artă) și sarcini de editare (generare de imagine-la-imagine și editare de stil), am descoperit că o astfel de protecție nu atinge complet scopul.

‘În majoritatea scenariilor, editarea difuzivă a imaginilor protejate generează o imagine de ieșire dorită care respectă cu strictețe promptul de ghidare.

‘Rezultatele noastre sugerează că adăugarea de zgomot la imagini poate paradoxal crește asocierea lor cu prompturile de text date în timpul procesului de generare, conducând la consecințe nedorite, cum ar fi editări rezultate mai bune.’

‘Prin urmare, argumentăm că metodele bazate pe perturbații nu pot oferi o soluție suficient de robustă pentru protecția imaginilor împotriva editării bazate pe difuzie.’

În testele efectuate, imaginile protejate au fost expuse la două scenarii familiare de editare cu inteligență artificială: generare directă de imagine-la-imagine și transfer de stil. Aceste procese reflectă modurile comune în care modelele de inteligență artificială ar putea exploata conținut protejat, fie prin modificarea directă a unei imagini, fie prin împrumutarea trăsăturilor sale stilistice pentru a le utiliza în altă parte.

Imaginile protejate, extrase din surse standard de fotografie și artă, au fost rulate prin aceste fluxuri pentru a vedea dacă perturbațiile adăugate ar putea bloca sau degrada editările.

În schimb, prezența protecției a părut adesea să îmbunătățească alinierea modelului cu prompturile, producând ieșiri clare și precise acolo unde se așteptau eșecuri.

Autorii sfătuiesc, în esență, că această metodă foarte populară de protecție poate oferi o falsă senzație de securitate și că orice abordare de imunizare bazată pe perturbații ar trebui testată temeinic împotriva metodelor autorilor.

Metodă

Autorii au efectuat experimente utilizând trei metode de protecție care aplică perturbații adverse proiectate cu atenție: PhotoGuard; Mist; și Glaze.

Glaze, una dintre cadrele testate de autori, ilustrând exemple de protecție Glaze pentru trei artiști. https://arxiv.org/pdf/2302.04222

PhotoGuard a fost aplicat pe imagini de scene naturale, în timp ce Mist și Glaze au fost utilizate pe opere de artă (adică domenii „stilistice” artistice).

Testele au acoperit atât imagini naturale, cât și artistice, pentru a reflecta utilizări posibile din lumea reală. Eficacitatea fiecărei metode a fost evaluată prin verificarea dacă un model de inteligență artificială putea încă produce editări realiste și relevante pentru prompt, atunci când lucra cu imagini protejate; dacă imaginile rezultate păreau convingătoare și corespundeau prompturilor, protecția a fost considerată a fi eșuată.

Stable Diffusion v1.5 a fost utilizat ca generator de imagini preantrenat pentru sarcinile de editare ale cercetătorilor. Cinci semințe au fost selectate pentru a asigura reproductibilitatea: 9222, 999, 123, 66 și 42. Toate celelalte setări de generare, cum ar fi scala de ghidare, puterea și numărul total de pași, au urmat valorile implicite utilizate în experimentele PhotoGuard.

PhotoGuard a fost testat pe imagini de scene naturale utilizând setul de date Flickr8k, care conține peste 8.000 de imagini asociate cu până la cinci subtitrări fiecare.

Gânduri Opozite

Două seturi de subtitrări modificate au fost create din prima subtitrare a fiecărei imagini cu ajutorul Claude Sonnet 3.5. Un set conținea prompturi care erau contextual apropiate de subtitrările originale; celălalt set conținea prompturi care erau contextual îndepărtate.

De exemplu, de la subtitrarea originală ‘O fată tânără într-o rochie roz intrând într-o cabană de lemn’, un prompt apropiat ar fi ‘Un băiat tânăr într-o cămașă albastră intrând într-o casă de cărămidă’. În schimb, un prompt îndepărtat ar fi ‘Două pisici relaxându-se pe un canapea’.

Prompturile apropiate au fost create prin înlocuirea substantivelor și a adjectivelor cu termeni semantic asemănători; prompturile îndepărtate au fost generate prin instruirea modelului să creeze subtitrări care erau contextual foarte diferite.

Toate subtitrările generate au fost verificate manual pentru calitate și relevanță semantică. Encoderul de propoziții universal al Google a fost utilizat pentru a calcula scorurile de similaritate semantică între subtitrările originale și cele modificate:

Din materialul suplimentar, distribuțiile de similaritate semantică pentru subtitrările modificate utilizate în testele Flickr8k. Sursă: https://sigport.org/sites/default/files/docs/IncompleteProtection_SM_0.pdf

Fiecare imagine, împreună cu versiunea sa protejată, a fost editată utilizând atât prompturile apropiate, cât și cele îndepărtate. Evaluatorul de calitate a imaginilor Blind/Referenceless Image Spatial Quality (BRISQUE) a fost utilizat pentru a evalua calitatea imaginilor:

Rezultatele generării de imagine-la-imagine pe fotografii naturale protejate de PhotoGuard.

Imaginile generate au obținut un scor de 17,88 la BRISQUE, cu 17,82 pentru prompturile apropiate și 17,94 pentru prompturile îndepărtate, în timp ce imaginile originale au obținut un scor de 22,27. Acest lucru arată că imaginile editate au rămas aproape de calitatea originală.

Metrice

Pentru a evalua cât de bine protecțiile interferează cu editarea cu inteligență artificială, cercetătorii au măsurat cât de strâns imaginile finale corespund instrucțiunilor primite, utilizând sisteme de scorare care compară conținutul imaginii cu promptul de text, pentru a vedea cât de bine se aliniază:

Pentru acest scop, metrica CLIP-S utilizează un model care poate înțelege atât imagini, cât și text pentru a verifica cât de similare sunt, în timp ce PAC-S++ adaugă mostre suplimentare create de inteligență artificială pentru a alinia comparația mai strâns cu o estimare umană.

Aceste scoruri de aliniere imagine-text (ITA) denotă cât de precis inteligența artificială a urmat instrucțiunile atunci când modifica o imagine protejată: dacă o imagine protejată a condus totuși la o ieșire aliniată, înseamnă că protecția a eșuat în a bloca editarea.

Efectul protecției asupra setului de date Flickr8k, pe cinci semințe, utilizând atât prompturi apropiate, cât și îndepărtate.

Cercetătorii au comparat cât de bine inteligența artificială a urmat prompturile atunci când edita imagini protejate versus imagini ne-protejate. Ei au examinat mai întâi diferența dintre cele două, numită Schimbarea Reală. Apoi, diferența a fost scalată pentru a crea un Schimbare Procentuală, făcându-le mai ușor de comparat rezultatele.

Acest proces a arătat dacă protecțiile au făcut ca inteligența artificială să urmeze prompturile mai greu sau mai ușor. Testele au fost repetate de cinci ori, utilizând semințe aleatorii diferite, acoperind atât schimbări mici, cât și mari ale subtitrărilor originale.

Atacul Artistic

Pentru testele pe fotografii naturale, a fost utilizat setul de date Flickr1024, care conține peste o mie de imagini de înaltă calitate. Fiecare imagine a fost editată cu prompturi care urmau modelul: ‘Schimbă stilul în [V]’, unde [V] reprezenta unul dintre cele șapte stiluri artistice celebre: Cubism; Postimpresionism; Impresionism; Surrealism; Baroc; Fauvism; și Renaștere.

Procesul a implicat aplicarea PhotoGuard asupra imaginilor originale, generarea de versiuni protejate și apoi rularea atât a imaginilor protejate, cât și a celor ne-protejate prin același set de editări de transfer de stil:

Imagini originale și protejate ale unei scene naturale, fiecare editată pentru a aplica stilurile Cubism, Surrealism și Fauvism.

Pentru a testa metodele de protecție pe opere de artă, a fost efectuat un transfer de stil pe imagini din setul de date WikiArt, care curatează o gamă largă de stiluri artistice. Prompturile de editare au urmat același format ca și înainte, instruind inteligența artificială să schimbe stilul într-un stil aleatoriu, neînrudit, selectat din etichetele WikiArt.

Ambele metode de protecție, Glaze și Mist, au fost aplicate asupra imaginilor înainte de editări, permițând cercetătorilor să observe cât de bine fiecare apărare ar putea bloca sau distorsiona rezultatele transferului de stil:

Exemple de modul în care metodele de protecție afectează transferul de stil pe opere de artă.

Cercetătorii au testat și comparările în mod cantitativ:

Schimbări în scorurile de aliniere imagine-text după editări de transfer de stil.

Dintre aceste rezultate, autorii comentează:

‘Rezultatele subliniază o limitare semnificativă a perturbațiilor adverse pentru protecție. În loc să împiedice alinierea, perturbațiile adverse adesea îmbunătățesc răspunsul modelului generativ la prompturi, permițând astfel exploatatorilor să producă ieșiri care se aliniază mai strâns cu obiectivele lor. O astfel de protecție nu este disruptivă pentru procesul de editare a imaginilor și nu poate preveni agenții maligni să copieze material neautorizat. ‘

‘Consecințele nedorite ale utilizării perturbațiilor adverse revelează vulnerabilități în metodele existente și subliniază nevoia urgentă de tehnici de protecție mai eficiente.’

Autorii explică că rezultatele neașteptate pot fi urmărite la modul în care funcționează modelele de difuzie: LDM-urile editează imagini prin conversia lor într-o versiune comprimată numită latentă; zgomotul este apoi adăugat acestei latente prin mai multe etape, până când datele devin aproape aleatorii.

Modelul inversează acest proces în timpul generării, înlăturând zgomotul treptat. La fiecare etapă a acestui proces invers, promptul de text ajută la ghidarea modului în care zgomotul ar trebui curățat, modelând gradual imaginea pentru a corespunde promptului:

Comparație între generații dintr-o imagine ne-protejată și una protejată de PhotoGuard.

Metodele de protecție adaugă cantități mici de zgomot suplimentar la imaginea originală înainte de a intra în acest proces. Deși aceste perturbații sunt minore la început, ele se acumulează pe măsură ce modelul aplică propriile straturi de zgomot.

Acestă acumulare lasă mai multe părți ale imaginii „nesigure” atunci când modelul începe să înlăture zgomotul. Cu o incertitudine mai mare, modelul se bazează mai mult pe promptul de text pentru a completa detaliile lipsă, dând promptului o influență și mai mare decât ar fi avut-o normal.

În esență, protecțiile fac ca este mai ușor pentru inteligența artificială să remodeleze imaginea pentru a corespunde promptului, în loc să fie mai greu.

În final, autorii au efectuat un test care a înlocuit perturbațiile create din lucrarea ‘Raising the Cost of Malicious AI-Powered Image Editing’ cu zgomot Gaussian pur.

Rezultatele au urmat același model observat anterior: pe toate testele, valorile de Schimbare Procentuală au rămas pozitive. Chiar și acest zgomot aleator, nestructurat a condus la o aliniere mai puternică între imaginile generate și prompturi.

Efectul protecției simulate utilizând zgomot Gaussian asupra setului de date Flickr8k.

Acest lucru a susținut explicația subiacentă că orice zgomot adăugat, indiferent de design, creează o incertitudine mai mare pentru model în timpul generării, permițând promptului de text să aibă un control și mai mare asupra imaginii finale.

Concluzie

Scena de cercetare a împins perturbația adversarială la problema drepturilor de autor a LDM-urilor de aproape cât timp au existat LDM-urile; dar nu au apărut soluții rezistente din numărul extraordinar de articole publicate pe această temă.

Fiindcă fie perturbațiile impuse reduc excesiv calitatea imaginii, fie modelele se dovedesc a nu fi rezistente la manipulare și procese transformative.

Cu toate acestea, este un vis greu de abandonat, deoarece alternativa pare a fi monitorizarea și cadrele de proveniență de la terți, cum ar fi schema C2PA condusă de Adobe, care își propune să mențină o lanț de custodie pentru imagini de la senzorul camerei, dar care nu are nicio legătură inerentă cu conținutul reprezentat.

În orice caz, dacă perturbația adversarială este de fapt înrăutățind problema, așa cum sugerează noul articol că ar putea fi adevărat în multe cazuri, te întrebi dacă căutarea protecției drepturilor de autor prin astfel de mijloace cade sub ‘alchimie’.

Publicat pentru prima dată luni, 9 iunie 2025