Un desarrollador afirma haber vulnerado SynthID, el sistema de marcas de agua de Google DeepMind

Un desarrollador con el alias Aloshdenny ha publicado en GitHub un repositorio con código que, según él, permite eludir SynthID, el sistema de marcas de agua ocultas de Google DeepMind para etiquetar imágenes generadas por IA. El autor asegura que aprendió a eliminar las marcas de agua de las imágenes o, al contrario, a insertarlas en cualquier imagen sin permiso de Google.

SynthID es una tecnología de Google DeepMind integrada en Gemini y otras herramientas de la compañía. Modifica los píxeles de la imagen de forma imperceptible para el ojo humano y deja una «firma» digital que debería sobrevivir a la compresión, el recorte y otras manipulaciones. El objetivo es poder identificar contenido de IA mucho tiempo después de su publicación. Google presentó SynthID públicamente en noviembre de 2023 y, desde 2024, las marcas de agua también se aplican al texto.

Aloshdenny explicó su método en una publicación en Medium. Según él, la ingeniería inversa no requirió redes neuronales ni acceso privilegiado a la infraestructura de Google. Bastó con generar 200 imágenes con Gemini y aplicar técnicas de procesamiento de señales. «Si estás en paro y promedias suficientes imágenes negras de IA, el patrón aparece solo» es, más o menos, cómo describe su proceso.

El desarrollador publicó el código en GitHub con una licencia abierta y subrayó a propósito que todo el proceso es legal: no hubo intrusión, solo análisis de imágenes de acceso público.

Google DeepMind reaccionó con cautela. Sus portavoces dijeron que el método descrito no es una vulneración real de SynthID. Según Google, Aloshdenny no accedió al algoritmo de marcado en sí, sino que solo aprendió a reproducir patrones estadísticos superficiales que no equivalen a la firma auténtica del sistema. Es decir, Google insiste en que SynthID no está comprometido.

Aun así, el episodio deja al descubierto una vulnerabilidad de fondo en la propia idea de las marcas de agua para contenido de IA. Si un desarrollador solitario con unos cientos de imágenes puede adivinar, aunque sea en parte, el patrón de marcado, ¿qué impide que equipos bien financiados lo hagan con un orden de magnitud más de eficacia? Los expertos llevan tiempo advirtiendo de que cualquier sistema de marcas de agua basado en regularidades estadísticas de las imágenes es, en teoría, vulnerable a ataques de este tipo.

El debate es relevante también porque las marcas de agua en contenido de IA se perciben como una de las herramientas clave de la regulación futura. La AI Act europea y varios proyectos de ley en EE. UU. prevén el etiquetado obligatorio del contenido generado por inteligencia artificial. Si un aficionado con un portátil y tiempo libre puede eludir estos sistemas, su valor práctico como herramienta regulatoria queda en seria duda.

Sigue abierta la cuestión de hasta qué punto logró entender la arquitectura de SynthID: Google niega la vulneración y hasta ahora no ha habido una revisión pública e independiente del código de Aloshdenny. Pero el mero hecho de que construir una herramienta así haya sido posible con recursos mínimos ya es una señal seria para toda la industria.