デジタル時代において、人工知能は視覚的な欺瞞の技術を習得しました。現代のコンピュータプログラムは、単純なテキスト記述から、現実的な顔、風景、場面を作り出し、写真と区別がつかないほど精巧な画像を生成できるようになっています。この技術は素晴らしい創造的な可能性を提供する一方で、誤解を招いたり、詐欺を行ったり、誤情報を拡散したりするために設計された操作されたメディアである「ディープフェイク」の拡散を助長しています。調査員やプラットフォームにとっての核心的な課題は、単に偽物を見つけ出すことではなく、それが正確にどこから来たのかを知ることです。画像の微細な統計的エラーを見つけ出そうとする受動的な検出手法は、新しいタイプのAI生成器に直面すると、しばしば苦戦を強いられます。より積極的な解決策は、ウォーターマーキング（電子透かし）です。これは、画像の生成時に、隠されたユニークな信号を画像の中に埋め込む手法です。この信号はデジタルの指紋として機能し、誰でも画像の起源を検証し、それを生成した特定のユーザーまで遡ることが可能になります。しかし、大きな障害が残っています。もし誰かが画像をクロップ（切り抜き）、回転、または引き伸ばした場合、隠された信号が位置ずれを起こし、指紋が読み取れなくなり、ソースを追跡できなくなってしまうのです。
この問題を解決するために、研究者のJietao Zheng、Yanli Chen、Hanzhou Wuは、「DASMark」と呼ばれる新しいシステムを開発しました。彼らの研究は、画像が幾何学的に歪められた際の既存のウォーターマーキング技術の特定の弱点に対処するものです。単一の脆弱なパターンに頼がる代わりに、彼らの手法は、AIが画像を構築し始める際に使用する目に見えない数学的なノイズの中に、2つの異なる参照点、すなわち「アンカー」を直接埋め込みます。これらのアンカーは、画像の基礎となるデータ構造内の特定の場所に配置されます。画像が生成されるとき、これらのアンカーは画像と共に移動し、最終的な絵の一部となります。このシステムの素晴らしさは、攻撃への対処法にあります。もし悪意のある者が画像を回転させたり、角を切り抜いたりしても、システムはウォーターマークがどこへ行ったのかを推測しようとはしません。その代わりに、特殊なネットワークを使用して、歪んだ画像内にある2つのアンカーの位置を特定します。アンカーが元の位置からどれだけ移動したかを見ることで、システムは発生した正確な回転や引き伸ばしを数学的に計算できます。そして、これらの変更を逆転させ、隠されたデータを元の状態へと再整列させることで、ウォーターマークを鮮明に読み取れるようにするのです。
研究者たちは、最も高度な既存の手法と対決させる形で、このアプローチを厳格にテストしました。彼らは、画像生成サービスに20万人の異なる登録ユーザーがおり、それぞれが独自のデジタルアイデンティティを持っているシナリオをシミュレートしました。画像が任意の角度で回転させられたり、クロップや引き伸ばしを受けたりした際、システムは平均99.7%の識別精度を維持しました。この性能は、同様の幾何学的攻撃の下で精度が11〜18パーセントポイント低下した、WINDとして知られる現在の最先端の手法を大幅に上回りました。また、新システムはより高速かつ効率的であり、各画像の処理に必要なコンピュータメモリと時間を抑えており、これは実世界へのアプリケーション展開において極めて重要です。さらに、この手法は生成された画像の視覚的な品質を維持し、ウォーターマークが人間の目には見えず、芸術的な出力の質を損なわないことを保証しました。
この研究の重要な発見は、この同期メカニズムが驚くほど柔軟であることです。チームは、特定のバージョンのAI画像生成器に対してアンカー検出ネットワークを訓練しましたが、システムは再学習を行うことなく、他のバージョンでも同様に機能しました。この「プラグアンドプレイ」の能力は、この技術が、新しいアップデートのたびに複雑なシステムを再学習させるという多大なコストをかけることなく、異なるAIモデルに展開できる可能性を示唆しています。研究者たちはまた、回転に続いて圧縮やノイズを加えるといった、一連の攻撃を受けた場合でも、システムが正しいユーザーを特定できることを実証しました。このシステムは、極端な明るさの調整が幾何学的な歪みと組み合わされた場合にはいくつかの課題に直面しますが、デジタル・プロベナンス（情報の由来）を一般的な形態の画像操作に対して強固にするための大きな飛躍を意味しています。
この研究の含意は、単なる検出にとどまりません。ウォーターマークが最も一般的な編集に耐えられるようにすることで、このシステムは、悪意のある行為者に責任を取らせるための非常に信頼性の高い方法を提供します。もし悪意のあるユーザーが欺瞞的な画像を生成し、クロップや回転によって足跡を隠そうとしても、DASMarkシステムは歪みの層を剥ぎ取り、高い統計的信頼度をもってオリジナルの作成者を明らかにすることができます。この能力は、フェイクの追跡が困難な「いたちごっこ」の状態から、ソースの回収可能性が非常に高いシステムへと、ディープフェイクとの戦いのパワーバランスをシフトさせます。ただし、研究者たちは、特定の攻撃的な条件下では失敗する場合があることも認めています。研究者たちはコードを公開してさらなる精査と開発を募っており、より複雑な歪みに対応するためにシステムの改良を続けていく計画です。見ることはもはや信じることではない時代において、DASMarkは画像の目に見えない履歴を可視化する方法を提供し、その起源の真実が損なわれないようにするのです。
技術要約: DASMark
問題提起
テキストから画像を生成する拡散モデルの普及により、極めて写実的な画像の作成が可能になった一方で、ディープフェイクや欺瞞的な視覚コンテンツに関する重大な懸念が生じている。受動的なフォレンジック手法による合成コンテンツの検出法は存在するものの、それらは異なる生成器間での汎用性に欠け、特定のモデルやユーザーのプロベナンス（由来）を確立することに苦慮することが多い。能動的な電子透かし（ウォーターマーキング）は、ソースに識別可能な信号を埋め込むことで解決策を提示する。しかし、既存の拡散モデル用電子透かし手法には、以下の決定的な限界が存在する：
- 幾何学的脆弱性: 幾何学的攻撃（回転、クロップ、引き伸ばしなど）は、抽出された透かしと参照用透かしの間の空間的対応関係を破壊し、透かし情報が生存している場合でも識別失敗を招く。
- スケーラビリティと堅牢性のトレードオフ: Tree-RingやRingIDのような手法は構造化されたパターン（フーリエ・リングなど）を使用しており、回転には強いが、大規模なユーザー識別（多数のキー）には不向きであり、画像品質に影響を与える円形のアーティファクトを導入する場合がある。
- 計算オーバーヘッド: WINDのような現在の最先端手法は、幾何学的な不整合を補正するために回転やスライディングウィンドウ探索に依存しており、特にユーザー識別空間が拡大するにつれて、多大な計算コストとメモリ使用量が発生する。
手法
著者らは、幾何学的攻撃下においても堅牢なモデル検証とスケーラブルなユーザー識別を実現する、拡散画像電子透かしフレームワークであるDASMarkを提案する。その核心となる革新は、事前学習済みの生成器の重みを変更することなく動作する**デュアルアンカー幾何学的同期（dual-anchor geometric synchronization）**メカニズムである。
1. 透かしの生成
- ユーザー固有の初期ノイズ: 各ユーザーには一意の識別子（ui）が割り当てられ、これがモデル固有のマスタキー（κA）と組み合わされることで、HMACとガウスサンプリングを介して再現可能な初期ノイズベクトル（zT(ui)）を生成する。このノイズがアイデンティティの担い手となる。
- デュアルアンカー埋め込み: 幾何学的同期を可能にするため、2つの空間的に離れたローカリゼーション・アンカーが、直交チャネルコード（cA および cB）を用いて初期ノイズに埋め込まれる。
- アンカーは、潜在格子（latent grid）の左上および右下に配置される。
- 潜在チャネル間での干渉を最小限に抑えつつ、チャネル間で区別可能な応答を確保するために、直交チャネルコードを用いた2Dガウス・テンプレートを利用する。
- この埋め込みは、特定のチャネルコードに沿ったノイズの投影のみを修正し、直交成分を保持することで画像品質への影響を最小限に抑える。
2. 透かしの検出と同期
検出パイプラインは拡散モデルの再学習を必要とせず、以下のステップで構成される：
- 潜在空間への逆転（Latent Inversion）: 不審な画像を潜在空間にエンコードし、決定論的なDDIM（テキスト条件なし）を用いて逆転させることで、推定される初期潜在変数（z^T）を復元する。
- デュアルアンカー・ローカリゼーション・ネットワーク: 専用のニューラルネットワーク（Fθ）が、逆転された潜在変数内における2つのアンカーの変形後の位置を予測する。
- アーキテクチャ: このネットワークは、個々のアンカー応答マップと結合特徴マップから特徴を抽出するための3分岐ステムを採用している。また、様々な空間スケールとグローバルなコンテキストを処理するために、マルチスケール幾何学ブロック、グローバル・アテンション・メカニズム、およびクロス解像度融合を利用する。
- 座標推定: 非微分的なピーク選択の代わりに、ネットワークは微分可能な空間期待値（DSNTに基づく）を使用してアンカーの中心を推定し、エンドツーエンドの最適化を可能にする。
- 幾何学的整列（Geometric Alignment）: 予測されたアンカーの中心に基づき、システムは幾形学的変換（回転、またはクロップおよび引き伸ばし）を推定し、逆転された潜在変数を参照座標系に再整列させる。
- 回転: 参照アンカーと予測アンカーの間の角度によって算出される。
- クロップおよび引き伸ばし: アンカーペアの中点とスケール因子によって推定される。
- クロップによって失われた領域を除外するための有効性マスクが生成される。
- 検証と識別: 整列された潜在変数は、マスク付きコサイン類似度を用いてユーザー固有のリファレンス・ノイズと照合される。
- 検証: 画像が保護されたモデルから生成されたものかどうかを判定する。
- 識別: データベース内の最適なキーを見つけることで、特定のユーザーを特定する。
主な貢献
- デュアルアンカー・フレームワーク: 再現可能なユーザー固有の初期ノイズと、直交符号化されたデュアルアンカーを利用して、幾何学的攻撃下でも潜在的な空間的対応関係を復元する、拡散モデル用電子透かしフレームワークの導入。
- 学習ベースの同期: 生成器の重みを変更することなく、予測されたアンカー位置から幾何学的変換パラメータを導出する、ローカリゼーションおよび同期パイプラインの開発。
- クロスモデル互換性: ある拡散モデル（SD 2.1）で学習されたローカリゼーション・ネットワークが、追加の学習なしに他のモデル（SD 2.0, 1.5, 1.4）に適用可能であることを実証。
実験結果
著者らは、Stable Diffusion 2.1を用い、様々な攻撃シナリオにおいてDASMarkをベースライン（Tree-Ring, RingID, WIND）と比較評価した。
- モデル検証: DASMarkは、クリーンな状態および攻撃条件下において、平均検証AUC 0.999、およびTPR@1%FPR 0.998を達成し、特に回転およびクロップ・引き伸ばし攻撃においてベースラインを上回る性能を示した。
- ユーザー識別:
- 200,000個の候補アイデンティティに対し、DASMarkは平均識別精度**99.7%**を達成した。
- 回転条件下では、WINDを11.0パーセントポイント上回った。
- クロップおよび引き伸ばし条件下では、WINDを18.6パーセントポイント上回った。
- キー空間が拡大しても性能は安定していたが、WINDの精度は幾何学的攻撃下でキー空間が大きくなるにつれて著しく低下した。
- 画像品質: 本手法は画像品質を維持しており、CLIPスコア（0.364）およびFID（25.78）において、透かしなしのベースラインと同等であり、目に見える円形のアーティファクトを示すRingIDやWINDよりも優れた結果を示した。
- 計算効率: DASMarkは、WINDと比較して大幅に低いエンドツーエンドの実行時間とGPUメモリ使用量を示した。200,000個のキーに対し、WINDが6.721秒と22.84 GBを要したのに対し、DASMarkは0.975秒と15.96 GBのメモリで済んだ。キー空間を2倍に増やした場合、WINDの実行時間は56.6%増加したが、DASMarkの実行時間はわずか19.3%の増加にとどまった。
意義と主張
本論文は、幾何学的歪みを受けた場合でも信頼性の高いモデル検証とスケーラブルなユーザー識別を可能にすることで、DASMarkが能動的なディープフェイク検出のための堅牢なソリューションを提供することを主張している。生成器の重みから同期メカニズムを切り離し、デュアルアンカー・アプローチを利用することで、本手法は従来のリングベースの手法や検索負荷の高い手法の限界を克服している。著者らは、本アプローチが画像生成を制御するサービスにおけるプロベナンス・トレーシングをサポートし、堅牢性、スケーラビリティ、画像品質、および計算効率の間の実用的なバランスを提供すると断言している。
著者らは、今後の課題として、過度なクロップや明るさ調整を伴う幾何学的歪みの組み合わせに対する感度、およびより複雑な変換への同期の拡張について述べている。
毎週最高の コンピュータサイエンス 論文をお届け。
スタンフォード、ケンブリッジ、フランス科学アカデミーの研究者に信頼されています。
受信トレイを確認して登録を完了してください。
問題が発生しました。もう一度お試しください。
スパムなし、いつでも解除可能。
週刊ダイジェスト — 最新の研究をわかりやすく。登録