Vodoznaky AI se útočníkům nevyrovnají

Soheil Feizi uvažuje sám optimistický člověk. Profesor informatiky z Marylandské univerzity je ale neomalený, když shrnuje současný stav vodoznakových obrázků AI. „V tuto chvíli nemáme žádné spolehlivé vodoznaky,“ říká. „Všechny jsme je zlomili.“

Pro jeden ze dvou typů vodoznaků AI, které testoval pro novou studii – vodoznaky s „nízkým rušením“, které jsou pouhým okem neviditelné – je ještě přímější: „Není žádná naděje.“

Feizi a jeho spoluautoři se podívali na to, jak snadné je pro špatné herce vyhnout se pokusům o vodoznak. (Nazývá to „vymytí“ vodoznaku.) Kromě ukázky toho, jak by útočníci mohli vodoznaky odstranit, studie ukazuje, jak je možné přidat vodoznaky k obrázkům vytvořeným člověkem, což spouští falešné poplachy. Předtiskový papír, který byl vydán online tento týden, musí ještě projít recenzním řízením; Feizi byl přední osobností, která zkoumala, jak by mohla fungovat detekce AI, takže je třeba věnovat pozornost výzkumu, a to i v této rané fázi.

Je to aktuální výzkum. Vodoznaky se ukázaly jako jedna ze slibnějších strategií pro identifikaci obrázků a textu generovaných umělou inteligencí. Stejně jako jsou fyzické vodoznaky vloženy do papírových peněz a známek, aby prokázaly pravost, digitální vodoznaky mají sledovat původ obrázků a textu online a pomáhají lidem odhalit hluboce zfalšovaná videa a knihy autorů botů. S prezidentskými volbami v USA na obzoru v roce 2024 jsou obavy ze zmanipulovaných médií vysoké – a někteří lidé se již stávají oklamáni. Bývalý americký prezident Donald Trump například sdílel falešné video Andersona Coopera na své sociální platformě Truth Social; Cooperův hlas byl naklonován AI.

Toto léto se OpenAI, Alphabet, Meta, Amazon a několik dalších hlavních hráčů AI zavázalo vyvinout technologii vodoznaků pro boj s dezinformacemi. Koncem srpna vydala společnost Google DeepMind beta verzi svého nového nástroje pro vytváření vodoznaků SynthID. Doufáme, že tyto nástroje budou označovat obsah umělé inteligence při jeho generování, stejným způsobem, jakým fyzický vodoznak ověřuje dolary při tisku.

Je to solidní, přímočará strategie, ale nemusí být vítězná. Tato studie není jedinou prací poukazující na hlavní nedostatky vodoznaků. „Je dobře známo, že vodoznak může být zranitelný vůči útoku,“ říká Hany Farid, profesor na UC Berkeley School of Information.

Letos v srpnu byli výzkumníci z Kalifornské univerzity v Santa Barbaře a Carnegie Mellon spoluautory dalšího článku nastiňujícího podobná zjištění poté, co provedli své vlastní experimentální útoky. „Všechny neviditelné vodoznaky jsou zranitelné,“ píše se v něm. Tato nejnovější studie jde ještě dále. Zatímco někteří výzkumníci doufali, že viditelné („vysoké poruchy“) vodoznaky by mohly být vyvinuty tak, aby odolávaly útokům, Feizi a jeho kolegové tvrdí, že i tento slibnější typ lze manipulovat.

Chyby ve vodoznaku neodradily technologické giganty od toho, aby to nabídli jako řešení, ale lidé pracující v prostoru detekce AI jsou opatrní. „Vodoznaky na první pohled zní jako ušlechtilé a slibné řešení, ale jeho aplikace v reálném světě selžou hned od začátku, když je lze snadno zfalšovat, odstranit nebo ignorovat,“ říká Ben Colman, generální ředitel startupu Reality Defender s detekcí umělé inteligence.