谷歌的 SynthID 水印经受住了残酷的压力测试，但无法解决人工智能错误信息问题

Ars Technica 压力测试发现，谷歌的 SynthID 水印能够承受 300 轮压缩和屏幕截图，但裁剪最终打破了它，仅靠标签并不能阻止人工智能虚假信息。

随着人工智能生成的媒体充斥互联网，谷歌的 SynthID 水印技术已成为区分真实内容和合成图像的最重要工具之一。一项严格的新压力测试证实，隐形水印非常耐用，能够承受数百轮压缩、调整大小甚至屏幕截图，但结果也强调了一个更严峻的事实：仅靠技术标签不太可能解决日益严重的人工智能虚假信息危机。对于关于最新人工智能发展的持续报道，这些发现标志着内容来源争论中的一个重要检查点。

问题的严重性怎么强调都不为过。斯坦福大学和南加州大学合作研究的 Starling 实验室估计，直到 1975 年，也就是相机发明 149 年后，人类才拍摄出了 15 亿张图像。生成式人工智能在短短 18 个月内就达到了这一产出。在今年的 I/O 大会上，谷歌宣布仅其工具就已在几年内创建了超过 1000 亿张 AI 图像和视频。

SynthID 的工作原理

目前有两种主要方法来标记人工智能生成的内容：隐形水印（例如 SynthID）和元数据模式（例如内容来源和真实性联盟 (C2PA) 标准）。谷歌两者都使用。 C2PA 具有加密安全性，无法伪造，但很容易被破解。只需编辑和保存图像或截取屏幕截图，就可以完全删除 C2PA 元数据。

SynthID 采用不同的方法。水印不依赖于文件旁边的元数据，而是直接编码到图像或视频的像素中，或者音频剪辑的波形中。由于信号被融入到内容本身中，谷歌认为它应该能够经受住媒体在互联网上传播时自然发生的转换、压缩、裁剪和重新编码。

像素级信号的压力测试

Ars Technica 使用基于 Pillow 成像库构建的 Python 脚本来测试这些说法。该脚本模拟了重复共享和以极大加快的速度下载造成的数据丢失，对测试图像应用随机压缩和调整值大小，并将每个输出反馈作为下一次迭代的基础。两张来自谷歌 Nano Banana Pro 模型的 AI 生成图像作为测试对象，其中一张完全从头开始创建，一张由 AI 编辑的原始照片。

经过 300 代的模拟共享，在此期间，清晰的原始图像被退化为几乎无法识别的斑点，SynthID 水印仍然记录在两张图像上。水印甚至在完整的屏幕截图中幸存下来，因为特殊的标记像素会转移到新文件中。每 50 代测试人员还会生成裁剪版本以进一步削弱检测。

SynthID 最终崩溃的地方

该技术的局限性只有在极端条件下才会显现出来。经过 300 个压缩周期后，从降级测试图像的边缘移除少量像素，最终在完全生成的图像和 AI 编辑的图像上破坏了 SynthID。由于水印信号分布在整个像素中，因此它可以抵抗随意裁剪，但一旦累积足够多的退化，检测器就会被击败。

谷歌 DeepMind 科学家 Pushmeet Kohli 告诉 Ars，该团队在设计该系统时就预料到它会受到攻击。 “在整个开发过程中，我们有点假设这样的技术会受到攻击，”科利说。 “因此，我们做了很多研究，使 SynthID 对不同类型的转换具有鲁棒性。无论人们是添加某种过滤器还是裁剪图像，我们都会使用这些转换并确保检测器对它们具有鲁棒性。”

水印扩展到整个行业

此次测试的到来正值 SynthID 的采用范围扩大到 Google 自己的产品之外。该公司已与 OpenAI、Runway 和 Nvidia 等公司建立合作伙伴关系，以扩大水印的使用，并开始将该技术集成到其生成工具中。谷歌一直不愿透露原始研究论文之外的太多技术细节，这就是为什么随着水印在人工智能领域的扩散，Ars 进行的这种独立测试很重要。

仅有标签是不够的

该实验暴露出的核心张力是，即使是强大的水印，也只有在平台和人们是否愿意检查它的情况下才有用。 SynthID 检测尚未广泛内置到大多数受操纵媒体实际传播的社交网络和消息应用程序中。如果接收端没有人扫描，经过 300 个压缩周期后仍然存在的水印几乎无法提供任何保护。

对于内容真实性领域来说，持久性结果确实令人鼓舞。他们认为，不可见的像素级水印可以作为来源的可靠技术支柱。但更广泛的问题，即社会是否能够建立规范、基础设施和激励措施来实际按照这些信号采取行动，仍然悬而未决。随着合成媒体的数量不断攀升，超过了 1000 亿张图像的里程碑，技术可以标记的内容和平台可以调节的内容之间的差距正在成为决定性的挑战。