Un chercheur du CISPA vérifie si les filigranes des images IA survivent à l'entraînement de nouveaux modèles

Jusqu'ici, les filigranes d'images IA ont surtout été testés sur leur résistance aux retouches : compression JPEG, recadrage, bruit, filtres. Michel Meintz, chercheur au SprintML Lab du CISPA, pose une autre question. Que se passe-t-il si des images marquées entrent dans le jeu d'entraînement d'un nouveau modèle génératif, et retrouve-t-on la trace de la marque dans ses sorties ? D'après le titre de l'étude, la marque peut survivre à l'entraînement, mais sa robustesse dépend de sa conception. Le matériau source ne contient aucun résultat chiffré ; nous récapitulons donc ce que l'on sait et comment le lire.

Quelle question est posée

Les filigranes servent à identifier une image comme générée et à retracer son origine. Le modèle de menace classique est le suivant : quelqu'un prend une image finie et tente d'effacer la marque. Il recompresse le fichier, recadre l'image, ajoute du bruit. Les travaux sur ce sujet sont nombreux.

Meintz s'intéresse à un autre scénario. Les images générées circulent depuis longtemps sur le web ouvert, et le web reste la principale source de données d'entraînement. Si ces images marquées se retrouvent dans un jeu de données, un nouveau modèle peut hériter de leurs particularités statistiques. Ses sorties seraient alors elles aussi marquées, alors qu'il n'a aucun lien avec le générateur d'origine. L'issue inverse est possible : la marque ne se transmet pas, et il devient impossible de remonter à la source originale à partir du nouveau modèle.

Pourquoi tout dépend de la conception de la marque

Les schémas de marquage sont construits de façons très différentes, ce qui explique probablement la dispersion des résultats. Les métadonnées de type C2PA ne vivent pas du tout dans les pixels et disparaissent lors d'un nouvel enregistrement : elles n'arrivent tout simplement jamais jusqu'à l'entraînement. Le post-traitement ajoute un signal dans le domaine des pixels ou des fréquences de l'image finie.

D'autres méthodes sont intégrées au générateur lui-même. Par exemple, Stable Signature de Meta affine le décodeur d'un modèle de diffusion latente, tandis que Tree-Ring impose un motif dans le bruit initial. L'hypothèse selon laquelle plus un signal est profondément ancré dans la statistique de l'image, plus il a de chances de passer dans un nouveau modèle, semble logique.

Mais il s'agit d'une hypothèse, pas d'une conclusion annoncée par l'étude.

Pour l'industrie, la question est pratique. Si la marque s'hérite, les détecteurs produisent des faux positifs sur des contenus issus d'autres modèles. Si elle ne s'hérite pas, on ne peut pas se fier à la chaîne de provenance dès lors que le contenu est passé par un réentraînement.

Ce que l'on sait à ce stade

• Auteur : Michel Meintz, SprintML Lab, CISPA.
• Objet de l'étude : les filigranes d'images IA.
• Cadre : la résistance à l'entraînement d'un nouveau modèle génératif, et non à la retouche d'une image isolée.
• Résultat principal : les marques peuvent persister, mais leur robustesse dépend de la conception du schéma.
• Non dévoilés dans l'annonce : la liste des schémas, les modèles et jeux de données, les taux de détection réussie.

Que vérifier en pratique

Plateformes et rédactions gagneraient à considérer le filigrane comme un signal parmi d'autres, et non comme une preuve définitive de provenance. Il doit s'accompagner de métadonnées, d'indices comportementaux et d'une vérification manuelle des cas litigieux.

Les équipes qui affinent des modèles sur des données issues du web doivent tenir compte du fait que des marques tierces peuvent s'infiltrer dans leurs sorties. Pour les développeurs de détecteurs, cela implique un test distinct : non seulement « la marque s'efface-t-elle après une retouche », mais aussi « apparaît-elle là où elle ne devrait pas ».

Il vaut mieux attendre la publication de l'article complet avant de tirer des conclusions définitives : il faudra connaître les schémas précis, les conditions d'entraînement et les métriques de détection. Pour l'instant, une chose est claire : la question de savoir si un filigrane survit au réentraînement est désormais posée séparément, et la réponse est « oui, mais pas pour tous ».