Le filigrane non offrono alcuna difesa contro i deepfake 

I ricercatori di Waterloo creano lo strumento “UnMarker” in grado di rimuovere qualsiasi filigrana di immagine creata dall’intelligenza artificiale, evidenziando i continui pericoli dei deepfake

Una nuova ricerca del Cybersecurity and Privacy Institute dell’Università di Waterloo dimostra che qualsiasi filigrana di immagine creata con l’intelligenza artificiale (IA) può essere rimossa, senza che l’aggressore debba conoscere il design della filigrana o addirittura sapere se l’immagine è effettivamente dotata di filigrana. 

Poiché le immagini e i video generati dall’intelligenza artificiale diventano sempre più realistici, cittadini e legislatori sono sempre più preoccupati per il potenziale impatto dei “deepfake” sulla politica, sul sistema legale e sulla vita di tutti i giorni. 

“Le persone vogliono un modo per verificare cosa è reale e cosa non lo è, perché i danni sarebbero enormi se non ci riuscissimo”, ha affermato Andre Kassis, dottorando in informatica e autore principale della ricerca. “Dalle campagne diffamatorie politiche alla pornografia non consensuale, questa tecnologia potrebbe avere conseguenze terribili e di vasta portata”.  

Le aziende di intelligenza artificiale, tra cui OpenAI, Meta e Google, hanno proposto come soluzione le “filigrane” invisibili codificate, suggerendo che queste firme segrete potrebbero consentire loro di creare strumenti accessibili al pubblico che distinguono in modo coerente e accurato tra contenuti generati dall’intelligenza artificiale e foto o video reali, senza rivelare la natura delle filigrane. 

Il team di Waterloo, tuttavia, ha creato uno strumento,  UnMarker , che rimuove con successo le filigrane senza dover conoscere i dettagli della loro codifica. UnMarker è il primo strumento pratico e universale in grado di rimuovere le filigrane in contesti reali. Ciò che distingue UnMarker è che non richiede la conoscenza dell’algoritmo di filigranatura, l’accesso ai parametri interni e la minima interazione con il rilevatore. Funziona universalmente, rimuovendo sia le filigrane tradizionali che quelle semantiche senza alcuna personalizzazione.

“Sebbene gli schemi di filigrana siano solitamente tenuti segreti dalle aziende di intelligenza artificiale, devono soddisfare due proprietà essenziali: devono essere invisibili agli utenti umani per preservare la qualità dell’immagine e devono essere robusti, ovvero resistenti alla manipolazione di un’immagine come il ritaglio o la riduzione della risoluzione”, ha affermato il dott.  Urs Hengartner , professore associato della David R. Cheriton School of Computer Science presso l’Università di Waterloo. 

Questi requisiti limitano significativamente i possibili design delle filigrane. La nostra intuizione chiave è che, per soddisfare entrambi i criteri, le filigrane devono operare nel dominio spettrale dell’immagine, il che significa che manipolano in modo sottile il modo in cui l’intensità dei pixel varia nell’immagine. 

Utilizzando un attacco statistico, UnMarker cerca punti nell’immagine in cui la frequenza dei pixel è insolita, quindi distorce tale frequenza, rendendo l’immagine irriconoscibile allo strumento di riconoscimento delle filigrane, ma impercettibilmente diversa a occhio nudo. Nei test, il metodo ha funzionato in oltre il 50% dei casi su diversi modelli di intelligenza artificiale, tra cui SynthID di Google e Stable Signature di Meta, senza alcuna conoscenza pregressa delle origini delle immagini o dei metodi di filigrana. 

“Se riusciamo a capirlo noi, possono farlo anche i malintenzionati”, ha detto Kassis. “La filigrana viene pubblicizzata come la soluzione perfetta, ma abbiamo dimostrato che questa tecnologia è fragile. I deepfake rappresentano ancora una minaccia enorme. Viviamo in un’epoca in cui non ci si può più fidare di ciò che si vede.”

La ricerca, “ UnMarker: un attacco universale alla filigrana difensiva delle immagini ”, è pubblicata negli atti del  46 ^°  Simposio IEEE su sicurezza e privacy .