Un développeur affirme avoir cassé SynthID, le système de tatouage numérique de Google DeepMind

Un développeur sous le pseudonyme Aloshdenny a publié sur GitHub un dépôt de code qui, selon lui, permet de contourner SynthID, le système de filigranes invisibles de Google DeepMind destiné à marquer les images générées par IA. L'auteur affirme avoir appris à retirer les filigranes des images ou, à l'inverse, à les insérer dans n'importe quelle image sans l'autorisation de Google.

SynthID est une technologie de Google DeepMind intégrée à Gemini et à d'autres outils du groupe. Elle modifie les pixels de l'image de façon imperceptible pour l'œil humain et laisse une « signature » numérique censée résister à la compression, au recadrage et à d'autres manipulations. L'objectif est de pouvoir identifier un contenu d'IA longtemps après sa publication. Google a présenté SynthID publiquement en novembre 2023 et, depuis 2024, le tatouage s'applique aussi au texte.

Aloshdenny a détaillé sa méthode dans un billet sur Medium. Selon lui, la rétro-ingénierie n'a exigé ni réseaux de neurones ni accès privilégié à l'infrastructure de Google. Il a suffi de générer 200 images via Gemini et d'appliquer des méthodes de traitement du signal. « Si tu es au chômage et que tu moyennes assez d'images d'IA noires, le motif finit par apparaître tout seul » : c'est à peu près ainsi qu'il décrit sa démarche.

Le développeur a publié le code sur GitHub sous licence ouverte et a tenu à souligner que tout le processus est légal : aucun piratage, uniquement l'analyse d'images accessibles publiquement.

Google DeepMind a réagi avec retenue. Ses représentants ont déclaré que la méthode décrite n'est pas un véritable contournement de SynthID. D'après Google, Aloshdenny n'a pas eu accès à l'algorithme de marquage lui-même et a seulement appris à reproduire des motifs statistiques superficiels, qui ne sont pas équivalents à la véritable signature du système. Autrement dit, Google maintient que SynthID n'est pas compromis.

L'épisode n'en révèle pas moins une faiblesse de fond de l'idée même du filigrane pour les contenus d'IA. Si un développeur isolé disposant de quelques centaines d'images peut deviner, ne serait-ce que partiellement, le motif de marquage, qu'est-ce qui empêcherait des équipes bien financées de le faire avec une efficacité supérieure d'un ordre de grandeur ? Des experts avertissent depuis longtemps que tout système de filigrane reposant sur une régularité statistique dans les images est, en théorie, vulnérable à de telles attaques.

Le débat est d'autant plus significatif que les filigranes de contenus d'IA sont perçus comme l'un des outils clés de la future régulation. L'AI Act européen et plusieurs projets de loi américains prévoient un marquage obligatoire des contenus générés par intelligence artificielle. Si ces systèmes peuvent être contournés par un amateur muni d'un portable et de temps libre, leur valeur pratique comme outil réglementaire suscite de sérieux doutes.

Reste ouverte la question de savoir à quel point il a réellement compris l'architecture de SynthID : Google nie toute compromission, et le code d'Aloshdenny n'a pas encore fait l'objet d'une expertise publique indépendante. Mais le simple fait qu'un tel outil ait pu être développé avec des moyens minimes constitue déjà un signal sérieux pour toute l'industrie.