Автор Хабра обошёл SynthID на кадре 1536×1024 через ControlNet Canny

Один кадр 1536 × 1024, две неудачные попытки и один сработавший приём. Автор публикации на Хабре сообщает, что убрал из изображения сигнал, по которому детектор опознаёт SynthID, водяной знак Google для ИИ-контента. JPEG-сжатие и шум не помогли: проверка раз за разом возвращала «SynthID обнаружен». Вердикт not detected появился после того, как в исходник подмешали полосу текстуры из второй версии сцены, сгенерированной через ControlNet Canny.

Что пробовали и почему не сработало

Тестовая сцена простая: девочка у пруда, утки в траве, осенние деревья. Сначала автор «мял» файл обычной обработкой. Результат всегда был один: картинка выглядела хуже, а знак оставался на месте.

Это согласуется с замыслом SynthID. Сигнал закладывается в пиксели в момент генерации, и рассчитан он на то, чтобы переживать сжатие, кадрирование и фильтры. Грубая порча файла оказалась самым очевидным и самым слабым вариантом атаки: платишь качеством, а результата нет.

Как сработал обход

Логика метода такая. Canny выделяет в кадре карту границ, а ControlNet по ней генерирует новую версию сцены с той же композицией, но с другими пикселями. Из этой версии берут полосу текстуры и подмешивают в исходное изображение. Знак привязан к пиксельной структуре исходной генерации, и когда часть структуры подменена, детектор перестаёт его находить. Содержание при этом почти не страдает. Трава изменилась, утки остались утками.

Идея не нова по сути. В академических работах уже показывали, что невидимые водяные знаки на изображениях можно удалять с помощью генеративных моделей, которые перерисовывают картинку, сохраняя смысл. Здесь тот же принцип сведён к дешёвой практической схеме на открытых инструментах.

Ключевые детали эксперимента:

• формат кадра: 1536 × 1024;
• не сработало: JPEG-сжатие и добавление шума;
• сработало: вторая версия сцены через ControlNet Canny и подмешивание полосы текстуры в исходник;
• результат: ручная проверка вернула not detected;
• побочный эффект: изменилась текстура травы, объекты сцены сохранились.

Что в этом кейсе остаётся под вопросом

Доказательная база пока тонкая. Это один кадр, один автор и ручная проверка. Независимого воспроизведения нет. Неизвестно, как метод ведёт себя на портретах, интерьерах и тексте в кадре, насколько стабилен результат при повторных запусках и какую долю изображения нужно заменить, чтобы детектор сдался. Вердикт not detected также не означает, что знака никогда не было: он говорит лишь о том, что конкретный детектор его не нашёл.

Важно и другое. Автор описывает именно обход проверки, а не взлом самой генерации. У Google остаётся пространство для ответа: усилить сигнал, распределить его по частотам и масштабам, обучить детектор на таких перерисованных версиях.

Что делать редакциям и платформам

Главный вывод для практики: отсутствие метки SynthID нельзя читать как «снято человеком». Это лишь один слабый сигнал из нескольких. При проверке сомнительных изображений стоит сочетать детектор водяных знаков с криптографическими метаданными происхождения вроде C2PA, обратным поиском по картинке, анализом EXIF и контекста публикации. Если материал приходит без истории файла, а проверка знака показывает «не обнаружено», это повод искать источник, а не закрывать вопрос.

Платформам, которые строят модерацию на водяных знаках, нужен второй эшелон: классификаторы, обученные на перерисованных изображениях, и журнал происхождения на стороне загрузки. Одного детектора для этого уже недостаточно.