Intermediate Representations are Strong AI-Generated Image Detectors

技術的サマリー：中間表現は強力な AI 生成画像検出器である

問題定義
生成 AI モデル（GAN、VAE、拡散モデルなど）の急速な進展により、フォトリアリスティックな合成画像の作成が可能となり、悪用、ディープフェイク、著作権侵害、および将来のトレーニングデータセットの汚染に関する重大な懸念が生じている。効果的な検出は重要であるが、現在の解決策は二項対立に直面している。トレーニングベースの手法は計算コストが高く、未見のデータドメインへの汎化に苦しむ一方、トレーニングフリーの手法はしばしば検出性能が劣る。既存のトレーニングフリーのアプローチは、一般的に事前学習済み基盤モデルの出力（最終）層の埋め込みに依存しており、ネットワークの初期段階で利用可能なより判別性の高い特徴を見落としている可能性がある。

手法
著者らは、事前学習済み画像基盤モデル内の中間表現の感度を利用する検索ベースのトレーニングフリー検出フレームワークを提案する。核心的な仮説は、実写画像の埋め込み空間が AI 生成画像のそれよりも摂動に対して頑健であり、この頑健性のギャップは最終出力層ではなく中間層で最も顕著に現れるというものである。

本手法は 2 つの段階で動作する：

1. トレーニング/検索段階：元の画像（$x$）と摂動版（$\epsilon(x)$）の画像ペアを、凍結された事前学習済み特徴抽出器（CLIP や DINOv2 など）に入力する。使用される摂動はボケ（defocus blur）であり、これは微細な詳細を減衰させつつ、大域的な意味構造を保持する。システムは、すべての層（$\ell = 1$ から $L$）において、元の画像と摂動版画像の埋め込み間のコサイン類似度を計算する。ラベル付きトレーニングデータの小さなサブセットを用いて、アルゴリズムは実写と偽物の画像ペアを区別する AUROC スコアを最大化する最適な中間層（$\ell_{opt}$）を検索する。
2. 推論段階：$\ell_{opt}$が特定されると、検出器はすべての将来の予測において、この特定の中間層からの埋め込みのみを使用する。二値分類は類似度閾値 $\tau$ に基づいて行われる。コサイン類似度 $S(x, \epsilon(x), \ell_{opt}) < \tau$ の場合、その画像は AI 生成と分類される。

重要なのは、モデルの重みとアーキテクチャはプロセス全体を通じて凍結されたままであり、微調整や重み変更は一切行われないことである。「トレーニング」は厳密に最適な層インデックスの検索に限定される。

主な貢献

• 中間層の優位性：本論文は、最終出力層と比較して、中間層が AI 生成コンテンツの検出に対してより豊かで表現力のある表現を含んでいることを実証している。これは、ネットワークの深さ全体にわたる**固有次元（ID）**の分析によって裏付けられており、ID は「こぶ背」の形状（初期層での拡張、後期層での圧縮）を示す。著者らは、最終層の圧縮された次元は分類などの下流タスクには有用であるが、実写と合成画像を区別するために必要な微妙なニュアンスを棄却している可能性があると主張する。
• 検索ベースのフレームワーク：著者らは、基盤モデルを変更することなく最適な検出層を特定する、シンプルかつ効果的なパイプラインを導入し、トレーニングフリー手法の汎化性とトレーニングベース手法の性能の間のギャップを埋めている。
• 摂動への感度：本手法は、埋め込み空間がボケ摂動に対して示す差別的な頑健性を利用しており、特定の中間深度において、AI 生成の埋め込みと比較して実写画像の埋め込みが摂動下でより高い類似度を維持することを示している。

実験結果
本手法は、GenImageおよびForensics Smallという 2 つの包括的なベンチマークで評価された。

• GenImage ベンチマーク：提案手法は平均 AUROC 0.9296を達成し、最良のトレーニングフリーベースライン（RIGID、0.8128）を14.37%、最良のトレーニングベースベースライン（AIDE、0.8992）を**3.38%**上回った。
• Forensics Small ベンチマーク：本手法は有意な改善を示し、平均 AUROC 0.8906を達成した。これは、最良のトレーニングフリー手法（RIGID、0.6379）に対して39.61%、最良のトレーニングベース手法（NPR、0.8471）に対して**5.14%**の改善に相当する。
• アブレーション研究：
  • 特徴抽出器：CLIP を使用した場合、DINOv2 よりも優れた結果が得られた。これは、中間層における CLIP のより高い固有次元に起因する。
  • 摂動の種類：ボケ（defocus blur）が最も効果的な摂動であることが判明した。これは、偽造のアーティファクトが存在することが多い微細なテクスチャを除去しつつ、大域的な構造を保持するためと考えられる。
  • 検索データサイズ：トレーニングデータのランダムにサンプリングされたサブセット（テストセットサイズの 30%）で最適な層を特定するのに十分であり、より小さなサブセットであっても性能は安定していた。

意義と主張
本論文は、基盤モデルで一般的に使用される出力埋め込みが AI 生成画像の検出には最適ではないと主張している。中間表現に焦点を移すことで、著者らは（モデルの微調整を行わない）計算的に効率的でありながら、（最先端のトレーニングベース手法を上回る）極めて効果的な手法を提供している。

著者らは、この研究を将来の画像基盤モデルとスケーリング可能な信頼できるメディアフォレンジクスへの一歩として位置づけている。彼らは、自らのアプローチは有害なコンテンツを生成するものではなく、著作権侵害や偽情報の拡散といった生成 AI に伴うリスクを軽減するためのツールを提供するものであることを強調している。この研究は、中間表現の「汎用性」が、生成 AI におけるセキュリティ応用においてこれまで未活用であったリソースであることを示唆している。