کالبدشکافی واترمارک نامرئی هوش مصنوعی: چرا پیکسل‌ها به دروغ‌های خود اعتراف نمی‌کنند؟

غول‌های فناوری مانند گوگل و ادوبی، در کنار قانون‌گذاران، وعده می‌دهند که واترمارک‌های نامرئی و برچسب‌های اصالت، ما را از آخرالزمان «دیپ‌فیک» (Deepfake) نجات خواهند داد. از نگاه آن‌ها، اگر هر تصویر تولید شده توسط هوش مصنوعی یک امضای پنهان داشته باشد، حقیقت همیشه قابل اثبات است. در نقطه مقابل، محققان امنیتی و توسعه‌دهندگان متن‌باز استدلال می‌کنند که این سیستم‌ها صرفاً یک «تئاتر بازاریابی» هستند؛ قفل‌های دیجیتالی از جنس کاغذ که هر کسی با یک ابزار اسکرین‌شات یا یک اسکریپت ساده می‌تواند آن‌ها را دور بزند. حقیقت این تقابل، نه در بیانیه‌های مطبوعاتی، بلکه در ریاضیات حاکم بر این سیستم‌ها نهفته است.

برای درک این سیستم‌ها، باید بدانیم که صنعت فناوری در حال حاضر از دو رویکرد کاملاً متفاوت برای حل یک مشکل استفاده می‌کند: فراداده‌های رمزنگاری‌شده (مانند استاندارد C2PA) و پنهان‌نگاری در سطح پیکسل (مانند SynthID گوگل). این دو روش اغلب با هم اشتباه گرفته می‌شوند، اما مکانیزم و نقاط ضعف آن‌ها کاملاً متفاوت است.

استاندارد C2PA که توسط ائتلافی از شرکت‌های بزرگ ایجاد شده، شبیه به یک «برچسب ارزش غذایی» برای محتوای دیجیتال عمل می‌کند. این سیستم یک فایل مانیفست (Manifest) رمزنگاری‌شده را به فراداده‌های (Metadata) تصویر متصل می‌کند که نشان می‌دهد تصویر در چه تاریخی، توسط چه ابزاری و با چه پرامپتی ساخته شده است. همان‌طور که در مشخصات این استاندارد آمده است: «منشأ محتوا، به حقایق مربوط به تاریخچه یک قطعه از محتوای دیجیتال اشاره دارد.»[3]

اما C2PA یک نقطه ضعف کشنده دارد: این اطلاعات در خارج از داده‌های بصری تصویر زندگی می‌کنند. اگر شما یک تصویر دارای گواهینامه C2PA را در پیام‌رسان‌ها ارسال کنید (که فراداده‌ها را برای کاهش حجم حذف می‌کنند)، یا به سادگی از صفحه نمایش خود اسکرین‌شات بگیرید، آن برچسب رمزنگاری‌شده برای همیشه از بین می‌رود. تصویر زنده می‌ماند، اما شناسنامه آن می‌میرد.[3]

دقیقاً به همین دلیل است که گوگل دیپ‌مایند (Google DeepMind) در آگوست ۲۰۲۳ سیستم SynthID را معرفی کرد. ایده اصلی این بود که امضای دیجیتال باید در داخل خود پیکسل‌ها بافته شود، نه در حاشیه آن‌ها. دیپ‌مایند در زمان معرفی این فناوری اعلام کرد: «این فناوری یک واترمارک دیجیتال را مستقیماً در پیکسل‌های یک تصویر جاسازی می‌کند، به طوری که برای چشم انسان نامرئی است، اما برای شناسایی قابل تشخیص است.»[1]

اما چگونه می‌توان داده‌ها را در یک تصویر پنهان کرد بدون اینکه چشم انسان متوجه تغییر شود؟ اگر فقط کدهای رنگی (RGB) را کمی تغییر دهید (روشی قدیمی به نام LSB)، با کوچکترین فشرده‌سازی تصویر، آن داده‌ها از بین می‌روند. راه حل مدرن، انتقال میدان نبرد از «دامنه مکانی» (پیکسل‌ها) به «دامنه فرکانس» (Frequency Domain) است.

الگوریتم‌هایی مانند SynthID از تبدیلی به نام «تبدیل کسینوسی گسسته» (DCT) یا تبدیل موجک (DWT) استفاده می‌کنند. این فرمول‌های ریاضی، تصویر را به جای شبکه‌ای از رنگ‌ها، به عنوان مجموعه‌ای از امواج با فرکانس‌های مختلف تفسیر می‌کنند. فرکانس‌های پایین نشان‌دهنده رنگ‌های کلی و وسیع (مانند آسمان آبی) هستند و فرکانس‌های بالا نشان‌دهنده جزئیات دقیق و لبه‌های تیز (مانند تار مو) می‌باشند.

اگر واترمارک را در فرکانس‌های بالا مخفی کنید، الگوریتم‌های فشرده‌سازی مانند JPEG (که برای کاهش حجم، جزئیات ریز را دور می‌ریزند) آن را نابود خواهند کرد. اگر آن را در فرکانس‌های پایین قرار دهید، چشم انسان متوجه تغییر رنگ و ایجاد نوارهای رنگی (Banding) در تصویر می‌شود.

نقطه طلایی، «باندهای فرکانس میانی» هستند. شبکه‌های عصبی مدرن یک الگوی آماری از نویز را در این فرکانس‌های میانی تزریق می‌کنند. برای چشم ما، این تغییرات صرفاً شبیه به بافت طبیعی تصویر یا نویز ملایم دوربین به نظر می‌رسد. این سیستم به قدری بهینه‌سازی شده است که می‌تواند محموله‌ای ۲۵۶ بیتی را با حفظ شاخص شباهت ساختاری (SSIM) در حدود ۰.۹۹۸ (نزدیک به کمال) در تصویر جای دهد.[4]

سیستم‌های پنهان‌نگاری از دو شبکه عصبی همزمان استفاده می‌کنند: یک «تزریق‌کننده» (Embedder) و یک «تشخیص‌دهنده» (Detector). در طول فرآیند آموزش، تزریق‌کننده یاد می‌گیرد که چگونه واترمارک را در برابر حملات شبیه‌سازی شده (مانند برش، چرخش، تغییر رنگ و فشرده‌سازی JPEG) مقاوم کند. از سال ۲۰۲۳ تاکنون، گوگل میلیاردها تصویر و ویدیو را با این روش نشانه‌گذاری کرده است.[2]

وقتی تشخیص‌دهنده یک تصویر را اسکن می‌کند، به دنبال یک پیکسل خاص نمی‌گردد، بلکه توزیع آماری آن نویزهای فرکانس میانی را بررسی می‌کند. به همین دلیل، حتی اگر ۴۰ درصد از تصویر برش داده شود (Crop)، آن ۶۰ درصد باقی‌مانده همچنان الگوی آماری را در خود حفظ کرده و هویت هوش مصنوعی را فاش می‌کند.[4]

اما در اینجا حق با منتقدان و محققان امنیتی است. پاشنه آشیل تمام واترمارک‌های نامرئی، پدیده‌ای به نام «حمله بازتولید» (Regeneration Attack) است. در این حمله، هکر نیازی به پیدا کردن واترمارک ندارد؛ او به سادگی کل ساختار تصویر را از نو می‌سازد.[4]

در یک حمله بازتولید، فرد یک لایه نویز تصادفی (Gaussian Noise) به تصویر اضافه می‌کند و سپس از یک مدل متن‌باز مانند Stable Diffusion می‌خواهد که تصویر را «نویزگیری» (Denoise) کند. هوش مصنوعی، تصویر را بر اساس محتوای بصری آن از نو بازسازی می‌کند. نتیجه نهایی برای چشم انسان دقیقاً همان تصویر قبلی است، اما ریاضیات زیربنایی پیکسل‌ها و فرکانس‌ها کاملاً جدید است. واترمارک در این فرآیند تبخیر می‌شود.[4]

علاوه بر این، مدل‌های متن‌باز و بدون محدودیت به راحتی در دسترس هستند. یک بازیگر مخرب که قصد تولید اطلاعات نادرست برای دستکاری در انتخابات یا تخریب اعتبار افراد را دارد، از ابزارهای تجاری گوگل یا ادوبی استفاده نمی‌کند. او مدلی را روی سرور شخصی خود اجرا می‌کند که از اساس هیچ واترمارکی تولید نمی‌کند.

واترمارک‌های نامرئی در عمل یک سپر جادویی نیستند، بلکه صرفاً یک سرعت‌گیر در مسیر انتشار اطلاعات نادرست محسوب می‌شوند. آن‌ها تضمین می‌کنند که تصاویر جعلی تولید شده توسط کاربران عادی به سرعت توسط پلتفرم‌ها شناسایی شوند. اما تا زمانی که مدل‌های متن‌باز بدون محدودیت در دسترس هستند، مهاجمان باانگیزه همیشه راهی برای پاک کردن ردپای خود پیدا خواهند کرد؛ واقعیتی که نشان می‌دهد هیچ امضای دیجیتالی نمی‌تواند جایگزین تفکر انتقادی مخاطب شود.[6]