Desenvolvedor diz ter quebrado o SynthID, sistema de marca d'água do Google DeepMind

Um desenvolvedor com o apelido Aloshdenny publicou no GitHub um repositório com código que, segundo ele, permite contornar o SynthID, sistema de marcas d'água ocultas do Google DeepMind para identificar imagens geradas por IA. O autor afirma ter aprendido a remover as marcas d'água das imagens ou, ao contrário, inseri-las em qualquer imagem sem autorização do Google.

O SynthID é uma tecnologia do Google DeepMind integrada ao Gemini e a outras ferramentas da empresa. Ela modifica os pixels da imagem de forma imperceptível ao olho humano, deixando uma "assinatura" digital que deveria resistir a compressão, corte e outras manipulações. O objetivo é permitir a identificação de conteúdo de IA mesmo muito tempo depois da publicação. O Google apresentou o SynthID publicamente em novembro de 2023 e, desde 2024, as marcas d'água também passaram a ser aplicadas a texto.

Aloshdenny descreveu seu método em uma publicação no Medium. Segundo ele, a engenharia reversa não exigiu redes neurais nem acesso privilegiado à infraestrutura do Google. Bastou gerar 200 imagens pelo Gemini e aplicar técnicas de processamento de sinais. "Se você está desempregado e tira a média de imagens pretas de IA suficientes, o padrão aparece sozinho" é, em linhas gerais, como ele descreve o processo.

O desenvolvedor publicou o código no GitHub sob licença aberta e fez questão de ressaltar que todo o processo é legal: sem invasão, apenas análise de imagens publicamente disponíveis.

O Google DeepMind reagiu com cautela. Representantes da empresa afirmaram que o método descrito não é uma quebra real do SynthID. Segundo o Google, Aloshdenny não teve acesso ao algoritmo de marcação em si, apenas aprendeu a reproduzir padrões estatísticos superficiais, que não equivalem à assinatura verdadeira do sistema. Ou seja, o Google insiste que o SynthID não foi comprometido.

Mesmo assim, o episódio expõe uma vulnerabilidade fundamental da própria ideia de marca d'água para conteúdo de IA. Se um desenvolvedor solitário com algumas centenas de imagens consegue adivinhar, ao menos em parte, o padrão de marcação, o que impediria equipes bem financiadas de fazer isso com eficácia uma ordem de grandeza maior? Especialistas já alertavam há tempos que qualquer sistema de marca d'água baseado em regularidade estatística nas imagens é, em teoria, vulnerável a ataques desse tipo.

O debate também é relevante porque as marcas d'água em conteúdo de IA são vistas como uma das principais ferramentas da regulação futura. O AI Act europeu e vários projetos de lei dos EUA preveem a rotulagem obrigatória de conteúdo gerado por inteligência artificial. Se esses sistemas podem ser contornados por um amador com um notebook e tempo livre, seu valor prático como instrumento regulatório fica sob sérias dúvidas.

Continua em aberto até que ponto ele realmente entendeu a arquitetura do SynthID: o Google nega a quebra e, até agora, não houve uma análise pública e independente do código de Aloshdenny. Mas o simples fato de que criar uma ferramenta dessas foi possível com recursos mínimos já é um sinal sério para toda a indústria.