MITs PhotoGuard verändert Pixel unsichtbar, sodass KI-Bearbeitungen von Fotos scheitern

Derzeit kann jeder ein online gefundenes Selfie nehmen und es mit einem generativen KI-Modell bearbeiten – und das Ergebnis ist möglicherweise nicht als Fälschung nachweisbar. „Jeder kann unser Bild nehmen, es beliebig verändern, uns in sehr schlecht aussehende Situationen bringen und uns erpressen“, sagte Hadi Salman, ein MIT-Doktorand, der an der Forschung mitwirkte. PhotoGuard ist die Antwort des Labors: ein Werkzeug, das Fotos auf winzige Weise verändert, die für das menschliche Auge unsichtbar, für KI-Manipulation aber fatal ist.

Der Mechanismus besteht aus zwei Techniken, die beide gegen Stable Diffusion entwickelt wurden. Bei der ersten fügt PhotoGuard unmerkliche Signale hinzu, sodass das Modell das Bild als etwas völlig anderes interpretiert – als einen Block reinen Graus. Bei der zweiten kodiert es geheime Signale, die die Art und Weise stören, wie das Modell Bilder erzeugt, sodass ein Bearbeitungsversuch – etwa der Austausch von Freizeitkleidung gegen Anzüge per Textaufforderung – eine unnatürliche Unschärfe statt einer realistischen Übereinstimmung erzeugt.

Theoretisch könnten Menschen den Schutzschild auf Bilder anwenden, bevor sie sie hochladen; der MIT-Professor Aleksander Madry argumentierte, ein effektiverer Ansatz wäre, dass Technologieunternehmen Bilder automatisch immunisieren, während Menschen sie auf ihre Plattformen hochladen. Der dringendste Einsatz des Werkzeugs ist defensiv: zu verhindern, dass Selfies von Frauen in nicht einvernehmliche Deepfake-Pornografie verwandelt werden. Es sei zudem, warnte Madry, ein Wettrüsten – ständig kommen neue KI-Modelle, die solche Schutzmaßnahmen außer Kraft setzen könnten.

Fotos auf für Menschen unsichtbare, für Diffusionsmodelle jedoch gegnerische Weise verändern: Ein „immunisiertes“ Bild lässt sich zu einer unnatürlichen Unschärfe statt zu einer überzeugenden Fälschung bearbeiten.

Diffusionsmodelle lesen Bilder als Zahlen, daher kann ein Bild zwei Botschaften gleichzeitig tragen – eine für Menschen lesbare, eine für das Modell gegnerische.

Die Verteidigung zielt auf die Manipulation an der Quelle: Statt Fälschungen im Nachhinein zu erkennen, lässt sie die Bearbeitung selbst scheitern.

Die Immunisierung benötigt keine Kooperation des Werkzeugs des Angreifers, da die Störung in der Bilddatei selbst steckt.

Die bekannte Grenze ist ehrlich: Sie funktioniert zuverlässig nur bei der Open-Source-Software Stable Diffusion, und Modellentwickler können sich anpassen – daher die Einordnung als Wettrüsten.

Man kann ein generatives Modell mit seiner eigenen Mathematik bekämpfen: den Input so stören, dass dieselbe Bearbeitung, die ein sauberes Bild aufwertet, ein immunisiertes zerstört.

Zum Zeitpunkt des Berichts von MIT Technology Review vom 24.10.2023 funktionierte PhotoGuard zuverlässig bei Stable Diffusion; Madry schlug vor, dass Plattformen es automatisch auf Uploads anwenden, während er davor warnte, dass neuere Modelle solche Schutzmaßnahmen außer Kraft setzen könnten.