Açık kaynak araç seti Google'ın SynthID filigranını siliyor, yokluk kontrollerini güvenilmez kılıyor

Araç ne yapıyor

GitHub üzerinde wiltodelta/remove-ai-watermarks adıyla barındırılan açık kaynak bir proje, görüntü ve videolardan filigranları ve meta verileri silmek için bir Python kütüphanesi ile komut satırı arayüzü sunuyor. Araç setine ilişkin bir dev.to yazısına göre deponun yaklaşık 5.100 yıldızı ve arkasında 473 commitlik bir iterasyon birikimi var; hedef listesinde Google'ın SynthID'sinin yanı sıra C2PA kimlik bilgileri ile EXIF, IPTC ve XMP meta verileri yer alıyor.

Yazı, projeyi bir hobi denemesi değil bir ürün olarak konumlandırıyor. Meta verileri ve görünür rozetleri kaldırmak ücretsiz ve kolay kısım. Görünmez filigranı — düzenlemelerden sağ çıkacak şekilde tasarlanan katmanı — silmek ise CUDA GPU üzerinde diffusion tabanlı yeniden üretim gerektiriyor ve barındırılan sürümün ücret aldığı tek yetenek bu. Yazara göre bu fiyatlandırma ayrımı gerçek talebin nerede olduğunu gösteriyor: dayanıklı olduğu pazarlanan bileşende. Yazı ayrıca projenin çevresinde dönen, tamamen tarayıcı tarafında çalışan ve bir tanesi dosya başına 50MB ile sınırlı, bir diğeri sosyal medya yüklemelerine yönelik toplu işleme sunan tarayıcı tabanlı silicilerden söz ediyor.

Sinyali öldürmenin iki yolu

SynthID'nin dayanıklılık iddiaları — kırpma ve JPEG sıkıştırmadan sağ çıkma — sinyalin tüm kareye yayılan frekans alanı desenleri olarak gömülmesine dayanıyor. Yazar bu iddiaların inandırıcı olduğunu, ancak yanlış rakibe karşı ölçüldüğünü söylüyor: bir JPEG kodlayıcı filigranın varlığından habersizdir, oysa bir silme aracı onun varlığını bilir ve saldırıyı seçme lüksüne sahiptir.

Yazı, dolaşımda olan iki saldırı sınıfı tespit ediyor. İlki hedefli pertürbasyon: SynthID'nin bulunduğu frekans bantlarına yönelik, piksel değeri aralığının 0.0005 ile 0.003'i arasındaki yapılandırılmış piksel değişiklikleri; dedektörün korelasyonunu görünür bir değişiklik olmadan eşiğin altına düşürmeye yetecek kadar. Yazar iki uyarı işaret ediyor — Google'ın üretim dedektörüne karşı etkinliği doğrulanamaz ve aynı sayısal aralığı veren iki silici sitesi bağımsız ölçüm değil, ortak pazarlama metni gibi okunuyor.

Yazarın daha inandırıcı tehdit olarak gördüğü ikincisi ise diffusion ile yeniden üretim: görüntüyü üretken bir modelden geçirip yeniden örneklemek; parmak izini taşıyan pikselleri değiştirirken içeriği korumak. Filigran taşıyan pikselleri toptan attığı için bu yöntem, sinyal nasıl yayılmış olursa olsun, yapı gereği her piksel alanı şemasını alt eder. Bedeli sadakattir ve bir servis bunu ayarlanabilir bir düğme olarak sunuyor — dört sampler adımı boyunca 0.08 ile 0.15 arasında denoise gücü, ayrıca yüzlerin izleyicilerin bozulmayı ilk fark ettiği yer olduğu için özel bir yüz yeniden yapılandırma geçişi.

Google dışında kimse kontrol edemiyor

Yazının belirttiğine göre SynthID dedektörleri herkese açık değil; bu yüzden hiçbir silici başarı oranını kanıtlayamıyor ve hiçbir haber odası hiçbir yöndeki iddiaları denetleyemiyor. Dedektörün açılması da kendi sorununu yaratırdı: her silme aracının optimize edeceği bir kahin anında ortaya çıkardı.

Doğrulama iş akışları neyi değiştirmeli

Yazarın temel argümanı karar mantığıyla ilgili. Meta veri silme standart araçlarla saniyeler sürüyor, görünür rozetleri silmek çocuk oyuncağı ve piksel filigranları artık bir GPU ya da bir tarayıcı sekmesine mal oluyor — dolayısıyla eksik filigranı insan yapımı olduğunun kanıtı olarak okuyan her iş akışı baştan kusurluydu ve silme ekosistemi bu kusuru istismar etmeyi ucuzlattı.

Önerilen duruş şöyle: negatif bir filigran sonucunu nötr saymak, bir SynthID tespitini yapay zekâ kökenine işaret saymak ve geçerli bir C2PA imzasını tek güçlü provenance sinyali olarak değerlendirmek — ama birçok platformun yüklemeleri varsayılan olarak yeniden kodlayıp imzaları attığını unutmamak gerekiyor. Yazı ayrıca düşmanca gönderimlerin zaten yeniden üretilmiş olduğunu varsaymayı ve filigran yokluğuna yaslanmak yerine img2img artefaktları için taramayı öneriyor.

Neden önemli

Filigran yokluğuna dayalı provenance kontrolleri artık yalnızca teoride değil, pratikte de güvensiz. Dayanıklı olduğu pazarlanan görünmez katman üzerine özel olarak kurulmuş ücretli bir düzeye sahip, kurulabilir açık kaynak bir araç zinciri, yaygın bir doğrulama varsayımını istismar edilebilir bir açığa dönüştürüyor ve Google'ın kapalı dedektörleri dışarıdan kimsenin bu silah yarışını ölçememesi anlamına geliyor. Yazıyı bu durumun ortaya çıkardığı stratejik soru kapatıyor: piksel filigranlamayı savunmaya değer mi, yoksa provenance bütçeleri tamamen çekim tarafındaki imzalama mı odaklanmalı.