Un autor de Habr eludió SynthID en un fotograma de 1536×1024 con ControlNet Canny

Un solo fotograma de 1536 × 1024, dos intentos fallidos y una técnica que funcionó. Un autor de Habr afirma que eliminó de la imagen la señal con la que el detector identifica SynthID, la marca de agua de Google para contenido de IA. La compresión JPEG y el ruido no sirvieron: la verificación devolvía una y otra vez «SynthID detectado». El veredicto not detected apareció cuando se mezcló con el original una franja de textura de una segunda versión de la escena, generada con ControlNet Canny.

Qué se probó y por qué no funcionó

La escena de prueba es sencilla: una niña junto a un estanque, patos en la hierba y árboles otoñales. Primero, el autor «castigó» el archivo con un procesamiento convencional. El resultado fue siempre el mismo: la imagen quedaba peor y la marca seguía ahí.

Esto encaja con el diseño de SynthID. La señal se incrusta en los píxeles en el momento de la generación y está pensada para sobrevivir a la compresión, el recorte y los filtros. Degradar el archivo a lo bruto resultó ser la variante de ataque más obvia y más débil: se paga con calidad y no se obtiene nada a cambio.

Cómo funcionó la elusión

La lógica del método es la siguiente. Canny extrae del fotograma un mapa de bordes y, a partir de él, ControlNet genera una nueva versión de la escena con la misma composición pero con píxeles distintos. De esa versión se toma una franja de textura y se mezcla con la imagen original. La marca está ligada a la estructura de píxeles de la generación original y, cuando parte de esa estructura se sustituye, el detector deja de encontrarla. El contenido apenas se resiente. La hierba cambió; los patos siguieron siendo patos.

En el fondo, la idea no es nueva. Trabajos académicos ya han mostrado que las marcas de agua invisibles en imágenes se pueden eliminar con modelos generativos que redibujan la imagen conservando su significado. Aquí el mismo principio se reduce a un esquema práctico y barato con herramientas abiertas.

Detalles clave del experimento:

• formato del fotograma: 1536 × 1024;
• no funcionó: compresión JPEG y adición de ruido;
• funcionó: una segunda versión de la escena con ControlNet Canny y la mezcla de una franja de textura con el original;
• resultado: la comprobación manual devolvió not detected;
• efecto secundario: cambió la textura de la hierba, los objetos de la escena se conservaron.

Qué queda en el aire en este caso

La base probatoria es, por ahora, fina. Se trata de un solo fotograma, un solo autor y una comprobación manual. No hay reproducción independiente. No se sabe cómo se comporta el método con retratos, interiores o texto en el encuadre, cuán estable es el resultado en ejecuciones repetidas ni qué porcentaje de la imagen hay que sustituir para que el detector se rinda. Además, el veredicto not detected no significa que la marca nunca existiera: solo indica que ese detector concreto no la encontró.

Hay otro punto importante. El autor describe la elusión de la verificación, no un ataque a la propia generación. Google conserva margen de respuesta: reforzar la señal, distribuirla por frecuencias y escalas, o entrenar el detector con este tipo de versiones redibujadas.

Qué deben hacer redacciones y plataformas

La conclusión principal para la práctica: la ausencia de la marca SynthID no debe leerse como «lo hizo una persona». Es solo una señal débil entre varias. Al verificar imágenes dudosas conviene combinar el detector de marcas de agua con metadatos criptográficos de procedencia como C2PA, la búsqueda inversa de imágenes y el análisis de EXIF y del contexto de publicación. Si el material llega sin historial de archivo y la comprobación de la marca indica «no detectado», es motivo para buscar la fuente, no para dar el asunto por cerrado.

Las plataformas que basan su moderación en marcas de agua necesitan un segundo escalón: clasificadores entrenados con imágenes redibujadas y un registro de procedencia en el lado de la carga. Un solo detector ya no basta para ello.