Un auteur de Habr contourne SynthID sur une image de 1536×1024 avec ControlNet Canny

Une seule image de 1536 × 1024, deux tentatives infructueuses et une astuce qui fonctionne. L'auteur d'une publication sur Habr indique avoir supprimé de l'image le signal grâce auquel le détecteur reconnaît SynthID, le filigrane de Google pour les contenus générés par IA. La compression JPEG et le bruit n'ont rien changé : la vérification renvoyait invariablement « SynthID détecté ». Le verdict not detected est apparu après que l'auteur a mélangé à l'image d'origine une bande de texture issue d'une seconde version de la scène, générée via ControlNet Canny.

Ce qui a été tenté, et pourquoi cela n'a pas fonctionné

La scène de test est simple : une fillette au bord d'un étang, des canards dans l'herbe, des arbres d'automne. L'auteur a d'abord « malmené » le fichier avec des traitements classiques. Le résultat était toujours le même : l'image paraissait plus dégradée, et le filigrane restait en place.

Cela correspond à la conception de SynthID. Le signal est inscrit dans les pixels au moment de la génération, et il est prévu pour survivre à la compression, au recadrage et aux filtres. Abîmer brutalement le fichier s'est révélé l'attaque la plus évidente et la plus faible : on paie en qualité, sans aucun résultat.

Comment le contournement a fonctionné

La logique de la méthode est la suivante. Canny extrait de l'image une carte des contours, puis ControlNet s'en sert pour générer une nouvelle version de la scène, avec la même composition mais des pixels différents. L'auteur prélève une bande de texture dans cette version et la mélange à l'image d'origine. Le filigrane est lié à la structure en pixels de la génération initiale : quand une partie de cette structure est remplacée, le détecteur ne le retrouve plus. Le contenu, lui, n'en souffre presque pas. L'herbe a changé, les canards sont restés des canards.

Sur le fond, l'idée n'est pas nouvelle. Des travaux académiques ont déjà montré que l'on peut supprimer les filigranes invisibles des images à l'aide de modèles génératifs qui redessinent l'image en préservant son sens. Ici, le même principe est ramené à un montage pratique et peu coûteux, fondé sur des outils ouverts.

Les principaux détails de l'expérience :

• format de l'image : 1536 × 1024 ;
• n'a pas fonctionné : compression JPEG et ajout de bruit ;
• a fonctionné : seconde version de la scène via ControlNet Canny et mélange d'une bande de texture à l'image d'origine ;
• résultat : la vérification manuelle a renvoyé not detected ;
• effet secondaire : la texture de l'herbe a changé, les objets de la scène ont été conservés.

Ce que ce cas laisse en suspens

Les preuves restent minces. Il s'agit d'une seule image, d'un seul auteur et d'une vérification manuelle. Aucune reproduction indépendante n'existe. On ignore comment la méthode se comporte sur des portraits, des intérieurs et du texte dans l'image, quelle est la stabilité du résultat d'un essai à l'autre, et quelle part de l'image il faut remplacer pour que le détecteur lâche prise. Un verdict not detected ne signifie pas non plus que le filigrane n'a jamais existé : il indique seulement que ce détecteur précis ne l'a pas trouvé.

Autre point important : l'auteur décrit un contournement de la vérification, et non un piratage de la génération elle-même. Google garde une marge de réponse : renforcer le signal, le répartir sur plusieurs fréquences et échelles, entraîner le détecteur sur ce type de versions redessinées.

Ce que les rédactions et les plateformes doivent faire

La conclusion principale pour la pratique : l'absence de marque SynthID ne doit pas se lire comme « pris par un humain ». Ce n'est qu'un signal faible parmi d'autres. Pour vérifier des images douteuses, mieux vaut combiner le détecteur de filigranes avec des métadonnées cryptographiques de provenance comme C2PA, la recherche d'image inversée, l'analyse des EXIF et celle du contexte de publication. Si un contenu arrive sans historique de fichier et que la vérification du filigrane indique « non détecté », c'est une raison de chercher la source, pas de clore le dossier.

Les plateformes qui fondent leur modération sur les filigranes ont besoin d'une seconde ligne de défense : des classificateurs entraînés sur des images redessinées et un journal de provenance côté téléversement. Un détecteur seul ne suffit plus pour cela.