SynthIDは圧縮300回でも検出、だが20%切り抜きで破綻——GoogleのAI透かし検証

SynthIDの耐性テスト

生成AIの急速な普及により、AIが作った画像や動画は爆発的に増えている。スタンフォード大学と南カリフォルニア大学による研究機関Starling Labは、カメラ発明から149年で人類が15億枚の画像を生み出すまでに要したのに対し、生成AIはわずか18ヶ月で同じ数に達したと推定する。Googleは今年のI/Oで、自社のツールが2年足らずで1000億以上のAI画像・動画を生成したと発表し、SynthIDの採用拡大を進めている。

Ars Technicaは、Pythonの画像処理ライブラリPillowを使って、SNSで繰り返し共有・保存される際のデータ劣化を高速に再現した。完全にAIが生成した画像と、AIで編集した写真の2種類を用意し、ランダムな圧縮とリサイズを反復して適用。300世代経過した後もSynthIDは検出され、スクリーンショットを撮っても検出できた。

技術の仕組みと限界

SynthIDは画像のピクセルや音声の波形に情報を埋め込む不可視の透かしで、メタデータ方式のC2PAと並ぶラベル付け手法だ。C2PAは暗号学的に安全だが、編集やスクリーンショットで簡単に除去できる。GoogleはSynthIDを様々な変換に耐えるよう設計したとしている。

しかしテストでは、300回の圧縮後に20%の切り抜きを行うとSynthIDは検出不能になった。50%の切り抜きでは、250回程度の圧縮で破綻した。また、MetaのContent Sealは、少し切り抜くだけで除去されるというReutersの報道もある。画像がぼやけて使い物にならない段階まで劣化しない限り透かしは持つが、完全な耐性はない。

検証手段の使いにくさ

SynthIDの検証は、GoogleのGeminiに依頼して行うしかなく、APIや公開Webページは用意されていない。さらに、不正な検証を防ぐため1日あたり約10回に制限され、似た画像を連続してアップロードすると早くロックされる。政治家がAIで相手を攻撃する時代に、真偽の確認にクールダウンがあるのは問題だ。

また、OpenAIやRunwayがSynthIDの基盤技術を採用しても、実際の透かしは異なる。Googleの検出器はOpenAIの透かしを認識できず、逆も同様だ。Googleは業界と協力して相互運用性を高める方針だとしているが、具体的な時期は不明だ。

ラベル付けでは不十分

そもそも、ラベル付けのされないAI生成コンテンツは常に存在する。大手企業が協力しても、オープンモデルを自前で動かせば透かしなしの画像を量産できる。透かしがあることを前提にすると、ラベルのない画像を本物だと誤認する危険もある。

Starling Labのアダム・ローズ氏は、真正なコンテンツへの需要が高まると指摘する。写真記者のマイク・カロンナ氏は、物理カメラで撮れる本物は限られているが、合成コンテンツは無限に作れるため、希少な高品質・真実の情報を保護する方向へ転換すべきだと述べた。C2PAのような暗号学的メタデータは、透かしよりも真正性の証明に向いている可能性がある。