Autor do Habr contorna o SynthID em imagem de 1536×1024 com ControlNet Canny

Um único quadro de 1536 × 1024, duas tentativas fracassadas e uma técnica que funcionou. O autor de uma publicação no Habr relata que removeu da imagem o sinal pelo qual o detector identifica o SynthID, a marca d'água do Google para conteúdo gerado por IA. Compressão JPEG e ruído não ajudaram: a verificação voltava sempre com “SynthID detectado”. O veredito not detected só apareceu depois que o autor misturou à imagem original uma faixa de textura de uma segunda versão da cena, gerada com ControlNet Canny.

O que foi tentado e por que não funcionou

A cena de teste é simples: uma menina perto de um lago, patos na grama e árvores de outono. Primeiro, o autor “maltratou” o arquivo com processamento comum. O resultado era sempre o mesmo: a imagem ficava pior, e a marca continuava lá.

Isso condiz com o projeto do SynthID. O sinal é embutido nos pixels no momento da geração e foi concebido para sobreviver a compressão, recorte e filtros. Degradar o arquivo na força bruta se mostrou a forma de ataque mais óbvia e também a mais fraca: paga-se com qualidade e não se obtém resultado.

Como o contorno funcionou

A lógica do método é a seguinte. O Canny extrai do quadro um mapa de bordas, e o ControlNet usa esse mapa para gerar uma nova versão da cena, com a mesma composição, mas com pixels diferentes. Dessa versão, o autor retira uma faixa de textura e a mistura à imagem original. A marca está atrelada à estrutura de pixels da geração original; quando parte dessa estrutura é substituída, o detector deixa de encontrá-la. O conteúdo quase não sofre. A grama mudou, os patos continuaram patos.

A ideia, no fundo, não é nova. Trabalhos acadêmicos já mostraram que marcas d'água invisíveis em imagens podem ser removidas com modelos generativos que redesenham a imagem preservando o significado. Aqui, o mesmo princípio aparece reduzido a um esquema prático e barato, montado com ferramentas abertas.

Principais detalhes do experimento:

• formato do quadro: 1536 × 1024;
• não funcionou: compressão JPEG e adição de ruído;
• funcionou: segunda versão da cena via ControlNet Canny e mistura de uma faixa de textura à imagem original;
• resultado: a verificação manual retornou not detected;
• efeito colateral: a textura da grama mudou, enquanto os objetos da cena foram preservados.

O que ainda fica em aberto neste caso

A base de evidências ainda é frágil. É um quadro, um autor e uma verificação manual. Não há reprodução independente. Não se sabe como o método se comporta em retratos, interiores e texto na imagem, quão estável é o resultado em execuções repetidas nem que fração da imagem precisa ser substituída para o detector desistir. O veredito not detected também não significa que a marca nunca existiu: ele indica apenas que aquele detector específico não a encontrou.

Há ainda outro ponto importante. O autor descreve o contorno da verificação, e não uma violação da geração em si. O Google tem espaço para responder: reforçar o sinal, distribuí-lo por frequências e escalas, treinar o detector com essas versões redesenhadas.

O que redações e plataformas devem fazer

A principal conclusão prática: a ausência da marca SynthID não pode ser lida como “feito por uma pessoa”. É apenas um sinal fraco entre vários. Ao verificar imagens suspeitas, vale combinar o detector de marcas d'água com metadados criptográficos de origem, como o C2PA, busca reversa de imagens, análise de EXIF e do contexto da publicação. Se o material chega sem histórico do arquivo e a verificação da marca mostra “não detectado”, isso é motivo para buscar a fonte, e não para encerrar o assunto.

Plataformas que baseiam a moderação em marcas d'água precisam de uma segunda camada de defesa: classificadores treinados em imagens redesenhadas e um registro de origem no lado do upload. Um único detector já não basta para isso.