Das SynthID-Wasserzeichen von Google übersteht den brutalen Stresstest, löst jedoch keine KI-Fehlinformationen

Während KI-generierte Medien das Internet überschwemmen, hat sich die SynthID-Wasserzeichentechnologie von Google zu einem der bekanntesten Tools zur Unterscheidung authentischer Inhalte von synthetischen Bildern entwickelt. Ein strenger neuer Stresstest bestätigt, dass das unsichtbare Wasserzeichen bemerkenswert langlebig ist und Hunderte von Komprimierungsrunden, Größenänderungen und sogar Screenshots übersteht. Die Ergebnisse unterstreichen jedoch auch eine härtere Wahrheit: Technische Etiketten allein werden die wachsende Krise der KI-Desinformation wahrscheinlich nicht lösen. Für die fortlaufende Berichterstattung über die neuesten KI-Entwicklungen stellen die Ergebnisse einen wichtigen Kontrollpunkt in der Debatte über die Herkunft von Inhalten dar.

Das Ausmaß des Problems lässt sich kaum überbewerten. Starling Lab, eine Forschungskooperation zwischen der Stanford University und der University of Southern California, schätzt, dass es bis 1975, 149 Jahre nach der Erfindung der Kamera, dauerte, bis die Menschheit 1,5 Milliarden Bilder produzierte. Die generative KI erreichte diese Leistung in nur 18 Monaten. Auf seiner diesjährigen I/O-Konferenz gab Google bekannt, dass allein mit seinen Tools in ein paar Jahren mehr als 100 Milliarden KI-Bilder und -Videos erstellt wurden.

So funktioniert SynthID

Derzeit gibt es zwei Hauptansätze zur Kennzeichnung von KI-generierten Inhalten: unsichtbare Wasserzeichen wie SynthID und Metadatenschemata wie den C2PA-Standard (Coalition for Content Provenance and Authenticity). Google nutzt beides. C2PA ist kryptografisch sicher und kann nicht gefälscht werden, lässt sich aber problemlos entfernen. Durch einfaches Bearbeiten und Speichern eines Bildes oder das Erstellen eines Screenshots können C2PA-Metadaten vollständig entfernt werden.

SynthID verfolgt einen anderen Ansatz. Anstatt sich auf Metadaten zu verlassen, die sich neben einer Datei befinden, wird das Wasserzeichen direkt in die Pixel eines Bildes oder Videos oder in die Wellenform eines Audioclips kodiert. Da das Signal in den Inhalt selbst verwoben ist, sollte es laut Google die Transformationen, Komprimierungen, Zuschnitte und Neukodierungen überstehen, die bei der Weitergabe von Medien im Internet auf natürliche Weise erfolgen.

Ein Stresstest für das Signal auf Pixelebene

Ars Technica stellte diese Behauptungen mithilfe eines Python-Skripts auf die Probe, das auf der Pillow-Bildbibliothek aufbaute. Das Skript simulierte Datenverluste durch wiederholtes Teilen und Herunterladen mit einer erheblich beschleunigten Geschwindigkeit, indem es zufällige Komprimierungs- und Größenänderungswerte auf ein Testbild anwendete und jede Ausgabe als Grundlage für die nächste Iteration wieder einspeiste. Als Testobjekte dienten zwei KI-generierte Bilder des Nano Banana Pro-Modells von Google, eines komplett neu erstellt und ein Originalfoto, das von KI bearbeitet wurde.

Nach 300 Generationen simulierter Weitergabe, bei der die gestochen scharfen Originale in kaum erkennbare Kleckse zerfielen, war das SynthID-Wasserzeichen immer noch auf beiden Bildern registriert. Das Wasserzeichen überlebte sogar vollständige Screenshots, da die speziellen Markierungspixel in die neue Datei übertragen wurden. Alle 50 Generationen produzierte der Tester auch beschnittene Versionen, um die Erkennung weiter zu schwächen.

Wo SynthID endlich kaputt geht

Erst unter extremen Bedingungen zeigten sich die Grenzen der Technologie. Nach 300 Komprimierungszyklen führte das Entfernen einer Handvoll Pixel vom Rand der verschlechterten Testbilder schließlich dazu, dass SynthID sowohl bei den vollständig generierten als auch bei den KI-bearbeiteten Bildern kaputt ging. Da das Wasserzeichensignal über die Pixel verteilt ist, widersteht es einem zufälligen Zuschneiden, aber sobald sich genügend Beeinträchtigungen ansammeln, kann der Detektor besiegt werden.

Der Google DeepMind-Wissenschaftler Pushmeet Kohli sagte gegenüber Ars, dass das Team das System in der Erwartung entwickelt habe, angegriffen zu werden. „Während des gesamten Entwicklungsprozesses gingen wir davon aus, dass eine solche Technologie angegriffen werden würde“, sagte Kohli. „Deshalb haben wir viel geforscht, um SynthID gegenüber verschiedenen Arten von Transformationen robust zu machen. Ganz gleich, ob die Leute eine Art Filter hinzufügen oder das Bild zuschneiden, wir haben diese Transformationen verwendet und sichergestellt, dass der Detektor ihnen gegenüber robust ist.“

Wasserzeichen verbreiten sich in der gesamten Branche

Der Test findet statt, da die Akzeptanz von SynthID über die eigenen Produkte von Google hinaus zunimmt. Das Unternehmen ist Partnerschaften eingegangen, um die Nutzung des Wasserzeichens auszuweiten. OpenAI, Runway und Nvidia gehören zu den Unternehmen, die damit beginnen, die Technologie in ihre generativen Tools zu integrieren. Google zögert, viele technische Details über das ursprüngliche Forschungspapier hinaus zu veröffentlichen, weshalb unabhängige Tests, wie sie von Ars durchgeführt wurden, wichtig sind, da sich das Wasserzeichen in der KI-Landschaft immer weiter ausbreitet.

Etiketten allein reichen nicht aus

Die zentrale Spannung, die das Experiment aufdeckt, besteht darin, dass selbst ein robustes Wasserzeichen nur so nützlich ist wie die Bereitschaft von Plattformen und Menschen, es zu überprüfen. Die SynthID-Erkennung ist in den sozialen Netzwerken und Messaging-Apps, in denen sich die meisten manipulierten Medien tatsächlich verbreiten, noch nicht umfassend integriert. Ein Wasserzeichen, das 300 Komprimierungszyklen übersteht, bietet wenig Schutz, wenn niemand auf der Empfängerseite danach sucht.

Die Haltbarkeitsergebnisse sind wirklich ermutigend für den Bereich der Inhaltsauthentizität. Sie legen nahe, dass unsichtbare Wasserzeichen auf Pixelebene als zuverlässiges technisches Rückgrat für die Herkunft dienen können. Aber die umfassendere Frage, ob die Gesellschaft die Normen, die Infrastruktur und die Anreize aufbauen kann, um tatsächlich auf diese Signale zu reagieren, bleibt ungelöst. Da das Volumen synthetischer Medien weiterhin über die 100-Milliarden-Bilder-Marke steigt, wird die Lücke zwischen dem, was die Technologie markieren kann, und dem, was die Plattformen moderieren werden, zur entscheidenden Herausforderung.

Bleiben Sie der KI immer einen Schritt voraus

Bleiben Sie auf dem Laufenden über die aktuellen KI-Nachrichten, die Politik, Forschung und die Plattformen prägen, die das Internet neu gestalten.

Weitere KI-Neuigkeiten lesen