Resumo Técnico: Detectores de Imagens Geradas por IA Dependem Excessivamente de Artefatos Globais: Evidências do Inpainting Exchange

1. Declaração do Problema

Os atuais detectores de imagens geradas por IA, incluindo modelos acadêmicos de última geração e APIs comerciais, alegam alta precisão (>90%) na identificação de conteúdo com inpainting. No entanto, este artigo argumenta que esses detectores sofrem de uma vulnerabilidade fundamental: eles dependem primariamente de artefatos globais introduzidos pelo pipeline de geração de imagem, em vez de se concentrarem no conteúdo sintetizado localmente dentro da região editada.

Especificamente, os modelos de difusão latente (LDMs) processam a imagem inteira através de uma estrutura de codificador-decodificador de Autoencoder Variacional (VAE). Mesmo quando apenas uma pequena região é mascarada e submetida ao inpainting, a reconstrução do VAE induz um deslocamento espectral sutil, mas onipresente (atenuação de altas frequências), em toda a imagem, incluindo regiões de fundo não editadas. Os detectores exploram esse "rastro" global como um atalho, falhando em identificar o conteúdo gerado real se o artefato global for removido.

2. Metodologia

Inpainting Exchange (INP-X)

Para isolar o efeito dos artefatos globais da síntese local, os autores introduzem o Inpainting Exchange (INP-X). Esta operação envolve:

1. Gerar uma imagem com inpainting padrão usando um modelo de difusão.
2. Substituir cirurgicamente os pixels nas regiões não mascaradas (fundo) pelos pixels originais correspondentes da imagem de origem.
3. Preservar o conteúdo sintetizado dentro da máscara.

A hipótese é que, se um detector identifica verdadeiramente o conteúdo sintético, ele ainda deve sinalizar a imagem como falsa após o fundo ser restaurado ao seu estado original. Se o detector falhar, isso confirma a dependência de artefatos globais do VAE.

Estrutura Teórica

O artigo fornece uma análise teórica ligando os artefatos globais observados ao gargalo de informação nos VAEs:

• Viés Espectral (Teorema 3.2): Os autores provam que os VAEs treinados com perda L2 (MSE) minimizam o erro de reconstrução capturando sinais semânticos enquanto descartam ruído estocástico de alta frequência (ex: ruído de sensor, PRNU). Isso resulta em uma contração da variância espectral nas bandas de alta frequência em toda a imagem reconstruída.
• Minimização de Divergência (Teorema 3.4): Usando a divergência de Kullback-Leibler (KL), os autores demonstram que o INP-X reduz a divergência estatística entre imagens reais e manipuladas ao eliminar o deslocamento espectral do fundo, tornando a imagem manipulada mais difícil de distinguir de uma real.

Construção do Dataset

Os autores construíram um benchmark de 90 mil imagens estendendo o dataset Semi-Truths. Ele inclui:

• 4 Datasets: CelebA-HQ, CityScapes, OpenImages e SUN-RGBD.
• 3 Modelos de Inpainting: Kandinsky 2.2, OpenJourney e Stable Diffusion v1.4.
• Triplets: Para cada imagem, o dataset fornece a original, a versão com inpainting padrão e a versão com INP-X trocado.

3. Resultados Principais

Degradação de Desempenho de Detectores Pré-treinados

O estudo avaliou 11 detectores de código aberto pré-treinados e 2 APIs comerciais (Hive Moderation, SightEngine).

• Inpainting Padrão: Os detectores geralmente performaram bem (ex: Hive Moderation e SightEngine atingiram >91% de precisão).
• Ataque INP-X: Ao aplicar o INP-X, a precisão caiu drasticamente em todos os modelos, frequentemente aproximando-se do acaso (50%).
  • Exemplo: Hive Moderation caiu de 91,4% para 54,8%.
  • Exemplo: SightEngine caiu de 92,6% para 55,0%.
  • Exemplo: Corvi2023 (um detector baseado em frequência) caiu de 94,2% para 55,4%.
• Colapso de Recall: A queda de desempenho foi impulsionada principalmente por um colapso no recall, indicando que os detectores falharam em identificar as imagens manipuladas como falsas.

Comparação de Robustez

Os autores compararam o INP-X contra corrupções padrão (Gaussian Blur, ataques de Light Spot, compressão JPEG).

• As APIs comerciais e os principais detectores permaneceram robustos a essas corrupções padrão (mantendo >72% de precisão).
• O INP-X foi significativamente mais eficaz em evadir a detecção, confirmando que a vulnerabilidade reside na restauração das estatísticas de alta frequência do fundo, e não em uma degradação geral da imagem.

Fine-Tuning e Localização

• Treinamento no INP-X: Modelos ajustados (fine-tuned) com dados de INP-X mostraram melhor generalização e uma localização significativamente melhor (mIoU, mAP) da região manipulada em comparação com modelos treinados em inpainting padrão.
• Transferibilidade Assimétrica: Modelos treinados em inpainting padrão falharam catastroficamente em dados de INP-X. Por outro lado, modelos treinados em INP-X performaram melhor em inpainting padrão, sugerindo que aprender características de conteúdo local é mais robusto do que aprender atalhos globais.
• Diferenças de Arquitetura: Backbones baseados em CNN (ResNet, EfficientNet) demonstraram capacidades de localização superiores em comparação aos Vision Transformers (ViT), que exibiram mapas de atenção mais difusos.

4. Contribuições

1. Operação INP-X: Um método cirúrgico para restaurar pixels originais fora da região editada, isolando a síntese local dos artefatos globais do pipeline.
2. Análise Teórica: Prova formal ligando deslocamentos espectrais globais aos gargalos de informação de VAE e à atenuação de alta frequência.
3. Benchmark de 90K: Um dataset de larga escala com triplets correspondentes (real, inpainting padrão e trocado) através de diversos domínios.
4. Evidência Empírica: Avaliação abrangente mostrando que os atuais detectores falham quando os artefatos globais são removidos, com sistemas comerciais caindo para um desempenho próximo ao acaso.
5. Insights de Treinamento: Demonstração de que o treinamento no INP-X força os modelos a aprender características conscientes de conteúdo, melhorando a robustez e a precisão de localização.

5. Significância e Alegações

O artigo afirma que a detecção de imagens geradas por IA está longe de estar resolvida. O sucesso atual dos detectores é amplamente um artefato de vieses de dataset e da exploração de efeitos colaterais globais do VAE, em vez de uma análise genuína de conteúdo.

• Valor Diagnóstico: A operação INP-X serve como uma ferramenta diagnóstica para revelar se um detector está aprendendo conteúdo semântico ou artefatos de pipeline.
• Direções Futuras: Os autores defendem o desenvolvimento de métodos de detecção consciente de conteúdo que foquem em inconsistências locais dentro da região manipulada. Eles sugerem que trabalhos futuros explorem VAEs "preservadores de frequência" ou estratégias de decodificação que imponham consistência espectral.
• Reconhecimento de Risco: Os autores reconhecem que o método INP-X poderia, teoricamente, ser usado para evadir detectores existentes. No entanto, eles enquadram isso como um risco intrínseco de análise de vulnerabilidade, enfatizando que o objetivo principal é expor essas falhas para impulsionar o desenvolvimento de sistemas de detecção mais robustos e baseados em localização.

O artigo conclui que as estruturas de avaliação robustas devem ir além de imagens geradas "limpas" para incluir pós-edições realistas como o INP-X, a fim de espelhar cenários de implantação no mundo real e modos de falha.