Самоавтентифікація зображень через просту компресію JPEG

Стурбованість щодо ризиків, пов’язаних з підробленими зображеннями, регулярно з’являється в дослідженнях за останні кілька років, особливо на тлі нового сплеску AI-орієнтованих рамок редактирования зображень, які здатні змінювати існуючі зображення, а не створювати їх з нуля.

Більшість запропонованих систем виявлення, що адресують цей тип контенту, належать до однієї з двох категорій: перша – водяні знаки – запасний підхід, побудований у рамках рамки цілісності зображень, яку зараз пропагує Коаліція за довірливість та автентичність контенту (C2PA).

Процедура водяних знаків C2PA є запасним засобом, якщо вміст зображення відокремлюється від його оригінальної та поточної маніфестації. Джерело: https://www.imatag.com/blog/enhancing-content-integrity-c2pa-invisible-watermarking

Ці “таємні сигнали” повинні бути згодом стійкими до автоматичних процедур повторного кодування/оптимізації, які часто відбуваються, коли зображення передається через соціальні мережі та портали – але вони часто не є стійкими до втратного повторного кодування, застосованого через компресію JPEG (і尽管 існує конкуренція з боку претендентів, таких як webp, формат JPEG все ще використовується для приблизно 74,5% усіх зображень на сайті).

Другий підхід полягає у тому, щоб зробити зображення чутливими до підробок, як це було вперше пропоновано у статті 2013 року Схема автентифікації цілісності зображення на основі теорії фіксованих точок. Замість використання водяних знаків або цифрових підписів, цей метод використовував математичну трансформацію під назвою Гауссова конволюція та деконволюція (GCD), щоб змусити зображення рухатися до стабільного стану, який би розірвався, якщо його змінити.

З статті ‘Схема автентифікації цілісності зображення на основі теорії фіксованих точок’: результати локалізації підробок за допомогою фіксованої точки зображення з PSNR 59,7802 дБ. Білі прямокутники вказують на регіони, які піддаються атакам. Панель А (ліворуч) відображає застосовану модифікацію, включаючи локалізований шум, фільтрацію та атаки на основі копіювання. Панель Б (праворуч) показує відповідний вихід виявлення, виділяючи підроблені області, визначені процесом автентифікації. Джерело: https://arxiv.org/pdf/1308.0679

Концепція, можливо, найлегше зрозуміти в контексті ремонту деликатної тюлевої тканини: незалежно від того, як тонко виконується вишивка, відновлений ділянка буде завжди видна.

Цей тип трансформації, коли він застосовується повторно до зображення у градаціях сірого кольору, поступово рухає його до стану, в якому застосування трансформації знову не призводить до жодних змін.

Ця стабільна версія зображення називається фіксованою точкою. Фіксовані точки рідкісні та високочутливі до змін – будь-яка мала модифікація фіксованої точки зображення майже напевно розірве її фіксований статус, що робить легко виявити підробку.

Як зазвичай з такими підходами, артефакти від компресії JPEG можуть загрожувати цілісності схеми:

Зліва ми бачимо водяний знак, застосований до обличчя іконічного зображення ‘Lenna’ (Лена), яке чітко видно під нормальною компресією. Праворуч, з компресією JPEG на 90%, ми бачимо, що розрізнення між сприйнятим водяним знаком та зростанням шуму JPEG знижується. Після багаторазових збережень або при最高ніх настройках компресії більшість схем водяних знаків стикаються з проблемами артефактами компресії JPEG. Джерело: https://arxiv.org/pdf/2106.14150

Що якщо, замість цього, артефакти компресії JPEG могли б бути використані як центральний засіб отримання фіксованої точки? У такому випадку не було б необхідності у зовнішніх системах, оскільки той самий механізм, який зазвичай викликає проблеми для водяних знаків та виявлення підробок, замість цього утворював би основу самої схеми виявлення підробок.

Компресія JPEG як базовий рівень безпеки

Така система пропонується у новій статті двох дослідників Університету Баффало у Державному університеті Нью-Йорка. Названа Зображення, чутливі до підробок, за допомогою фіксованих точок JPEG, ця нова робота будується на роботі 2013 року та пов’язаних роботах, офіційно формулюючи свої центральні принципи вперше, а також винахідливо використовуючи саму компресію JPEG як метод потенційного отримання “самоавтентифікованого” зображення.

Автори розширюють:

‘Дослідження показує, що зображення залишається незмінним після проходження кількох раундів одного й того ж процесу компресії та декомпресії JPEG.

‘Іншими словами, якщо один цикл компресії та декомпресії JPEG розглядається як трансформація зображення, звана трансформацією JPEG, тоді ця трансформація володіє властивістю мати фіксовані точки, тобто зображення, які залишаються незмінними, коли трансформація JPEG застосовується.’

З нової статті, ілюстрація збіжності фіксованих точок JPEG. У верхньому ряду ми бачимо приклад зображення, яке проходить повторну компресію JPEG, з кожним ітерацією, показуючи кількість та місце зміни пікселів; у нижньому ряду відображається піксельна відстань L2 між послідовними ітераціями, розрахованою за різними настройками якості компресії. Джерело: https://arxiv.org/pdf/2504.17594

Натомість ніж вводити зовнішні трансформації або водяні знаки, нова стаття визначає сам процес JPEG як динамічну систему. У цій моделі кожен цикл компресії та декомпресії рухає зображення до фіксованої точки. Автори доводять, що після кінцевого числа ітерацій будь-яке зображення або досягає, або наближається до стану, в якому подальша компресія не призведе до жодних змін.

Дослідники заявляють*:

‘Будь-які зміни зображення викличуть відхилення від фіксованих точок JPEG, які можна виявити як зміни в блоках JPEG після одного раунду компресії та декомпресії…

‘Пропоновані зображення, чутливі до підробок, на основі фіксованих точок JPEG, мають два переваги. По-перше, зображення, чутливі до підробок, ліквідують необхідність у зовнішньому зберіганні верифікованих ознак, як це потрібно у схемах відбитків зображень [схемах], або у вкладенні прихованих слідів, як у методах водяних знаків. Саме зображення служить доказом його автентичності, роблячи схему внутрішньо очевидною.

‘По-друге, оскільки JPEG – широко використовуваний формат і часто останній крок у потоці обробки зображень, пропонована методика є стійкою до операцій JPEG. Це контрастує з оригінальним [підходом], який може втрачати цілісність слідів через JPEG.’

Ключове відкриття статті полягає в тому, що збіжність JPEG не є лише побічним продуктом його конструкції, а математично неминучим результатом його операцій. Дискретне косинусне перетворення, квантування, округлення та обрізання разом утворюють трансформацію, яка (під правильними умовами) призводить до передбачуваної сукупності фіксованих точок.

Схема процесу компресії/декомпресії JPEG, сформульована для нової роботи.

На відміну від водяних знаків, цей метод не вимагає вкладеного сигналу. Єдиним посиланням є власна узгодженість зображення під подальшою компресією. Якщо перекомпресія не призводить до жодних змін, зображення вважається автентичним. Якщо воно робить, підробка вказується відхиленням.

Тести

Автори підтвердили це поведінку, використовуючи один мільйон випадково згенерованих восьми-бітових сірозональних зображень розміром 8×8 пікселів. Застосовуючи повторну компресію та декомпресію JPEG до цих синтетичних патчів, вони спостерігали, що збіжність до фіксованої точки відбувається за кінцеве число кроків. Цей процес контролювався шляхом вимірювання піксельної відстані L2 між послідовними ітераціями, з різницями, що зменшуються до тих пір, поки патчі не стабілізувалися.

Відстань L2 між послідовними ітераціями для одного мільйона 8×8 патчів, виміряна за різними якостями компресії JPEG. Кожен процес починається з одного компресованого патчу JPEG та відстежує зменшення різниці протягом повторних компресій.

Для оцінки виявлення підробок автори сконструювали зображення, чутливі до підробок, у форматі JPEG та застосували чотири типи атак: соль та перець шум; копіювання та переміщення операцій; вставлення з зовнішніх джерел; та подвійна компресія JPEG за допомогою іншого таблиці квантування.

Приклад фіксованих точок RGB-зображень з виявленням та локалізацією підробок, включаючи чотири стилі порушення, використані авторами. У нижньому ряду ми бачимо, що кожен стиль порушення видається відносно згенерованого зображення з фіксованою точкою.

Після підробок зображення були перекомпресовані за допомогою оригінальної таблиці квантування. Відхилення від фіксованої точки були виявлені шляхом визначення блоків зображення, які показали ненульові відмінності після перекомпресії, що дозволило здійснити як виявлення, так і локалізацію підроблених регіонів.

Оскільки цей метод заснований повністю на стандартних операціях JPEG, зображення з фіксованою точкою працюють нормально з звичайними переглядачами та редакторами JPEG; але автори зауважують, що якщо зображення перекомпресується на іншому рівні якості, воно може втратити свій статус фіксованої точки, що може порушити автентифікацію, і потрібно обережно обробляти у реальному використанні.

Хоча це не просто інструмент для аналізу виводу JPEG, воно також не додає багато складності. У принципі, його можна легко інтегрувати до існуючих робочих процесів з мінімальними витратами або порушеннями.

Стаття визнає, що складний противник може спробувати створити протилежні зміни, які зберігають статус фіксованої точки; але дослідники стверджують, що такі зусилля, ймовірно, введуть видимі артефакти, підірвавши атаку.

Хоча автори не стверджують, що фіксовані точки JPEG можуть замінити ширші системи походження, такі як C2PA, вони припускають, що методи фіксованих точок можуть доповнювати зовнішні кадри метаданих, пропонуючи додатковий шар доказів підробок, який зберігається навіть тоді, коли метадані видалені або втрачені.

Висновок

Підхід фіксованих точок JPEG пропонує просту та самодостатню альтернативу традиційним системам автентифікації, не вимагаючи жодних вкладених метаданих, водяних знаків або зовнішніх посилань, і замість цього отримуючи автентичність безпосередньо з передбачуваної поведінки процесу компресії.

Цим шляхом, метод повертає компресію JPEG – часту причину погіршення даних – як механізм для перевірки цілісності. У цьому відношенні нова стаття є однією з найбільш інноваційних та винахідливих підходів до проблеми, з яких я зустрічався за останні кілька років.

Нова робота вказує на зміщення від шарових добавок для безпеки та до підходів, які використовують вбудовані характеристики самого медіа. Коли методи підробок стають більш складними, техніки, які перевіряють внутрішню структуру зображення, можуть почати мати значення.

Крім того, багато альтернативних систем, запропонованих для вирішення цієї проблеми, вводять значну тертя шляхом вимагання змін до довго встановлених робочих процесів обробки зображень – деякі з яких працювали надійно протягом років чи навіть десятиліть, і які вимагали б значно сильнішого виправдання для переозброєння.

* Моя конвертація вкладених посилань авторів у гіперпосилання.

Перше опубліковано у п’ятницю, 25 квітня 2025 року