Un investigador de CISPA comprueba si las marcas de agua de las imágenes de IA sobreviven al entrenamiento de nuevos modelos

Hasta ahora, las marcas de agua en imágenes de IA se han evaluado sobre todo por su resistencia a las ediciones: compresión JPEG, recorte, ruido, filtros. Michel Meintz, investigador de CISPA en el SprintML Lab, planteó otra pregunta. ¿Qué pasa si las imágenes marcadas entran en el conjunto de entrenamiento de un nuevo modelo generativo? ¿Veremos el rastro de la marca en sus resultados? A juzgar por el título del trabajo, la respuesta es que la marca puede sobrevivir al entrenamiento, pero su robustez depende de cómo esté construida. El material original no incluye resultados cuantitativos, así que a continuación se explica qué se sabe y cómo interpretarlo.

Qué pregunta se plantea

Las marcas de agua sirven para identificar una imagen como generada y rastrear su origen. El modelo de amenaza clásico es este: alguien toma una imagen ya terminada e intenta borrar la marca. Vuelve a comprimir el archivo, recorta el encuadre, añade ruido. Hay muchos trabajos sobre este tema.

Meintz examina un escenario distinto. Las imágenes generadas llevan tiempo circulando por la web abierta, y la web sigue siendo la principal fuente de datos de entrenamiento. Si esas imágenes marcadas acaban en un conjunto de datos, el nuevo modelo puede heredar sus rasgos estadísticos. Entonces sus resultados también quedarían marcados, aunque no tenga relación alguna con el generador original. Cabe también el resultado contrario: la marca no se transmite y no es posible rastrear la fuente original a partir del nuevo modelo.

Por qué todo depende del diseño de la marca

Los esquemas de marcado son muy distintos entre sí, y eso probablemente explica la dispersión de los resultados. Los metadatos como C2PA no viven en los píxeles y desaparecen al volver a guardar el archivo; ni siquiera llegan al entrenamiento. El posprocesado añade una señal en el dominio de píxeles o de frecuencias de la imagen ya terminada.

Otros métodos van integrados en el propio generador. Por ejemplo, Stable Signature de Meta reajusta el decodificador de un modelo de difusión latente, y Tree-Ring fija un patrón en el ruido inicial. La suposición de que cuanto más profundamente se integra la señal en la estadística de la imagen, más probable es que pase a un nuevo modelo resulta lógica.

Pero es una hipótesis, no una conclusión declarada del estudio.

Para la industria, la cuestión es práctica. Si la marca se hereda, los detectores generan falsos positivos con contenido de otros modelos. Si no se hereda, la cadena de procedencia no es fiable allí donde el contenido ha pasado por un reentrenamiento.

Qué se sabe hasta ahora

• Autor: Michel Meintz, SprintML Lab, CISPA.
• Objeto de estudio: marcas de agua en imágenes de IA.
• Planteamiento: resistencia al entrenamiento de un nuevo modelo generativo, y no a la edición de una imagen concreta.
• Resultado principal: las marcas pueden conservarse, pero la robustez depende del diseño del esquema.
• Lo que el anuncio no revela: la lista de esquemas, los modelos y conjuntos de datos, y las tasas de detección exitosa.

Qué comprobar en la práctica

Las plataformas y las redacciones deberían tratar la marca de agua como una señal más dentro de un conjunto, no como prueba definitiva del origen. A su lado deben estar los metadatos, los indicios de comportamiento y la revisión manual de los casos dudosos.

Los equipos que reentrenan modelos con datos de la web deben tener en cuenta que las marcas ajenas pueden filtrarse en sus resultados. Para quienes desarrollan detectores, esto implica una prueba adicional: no solo «si la marca se borra al editar la imagen», sino también «si aparece donde no debería».

Conviene sacar conclusiones definitivas cuando se publique el artículo completo: hacen falta los esquemas concretos, las condiciones de entrenamiento y las métricas de detección. Por ahora solo está claro algo: la pregunta de si una marca de agua sobrevive al reentrenamiento ya se plantea por separado, y la respuesta es «sí, pero no en todos los casos».