En la actualidad, cualquiera puede tomar una selfi encontrada en línea y editarla con un modelo de IA generativa, y el resultado puede ser imposible de demostrar como falso. «Cualquiera puede tomar nuestra imagen, modificarla como quiera, ponernos en situaciones muy desagradables y chantajearnos», dijo Hadi Salman, un estudiante de doctorado del MIT que contribuyó a la investigación. PhotoGuard es la respuesta del laboratorio: una herramienta que altera las fotos de formas mínimas, invisibles para el ojo humano pero fatales para la manipulación con IA.
El mecanismo se presenta en dos técnicas, ambas desarrolladas contra Stable Diffusion. En la primera, PhotoGuard añade señales imperceptibles para que el modelo interprete la imagen como algo completamente distinto: un bloque de gris puro. En la segunda, codifica señales secretas que alteran la forma en que el modelo genera imágenes, de modo que un intento de edición —por ejemplo, cambiar ropa informal por trajes mediante una instrucción de texto— produce un desenfoque antinatural en lugar de una coincidencia realista.
En teoría, las personas podrían aplicar el escudo protector a las imágenes antes de subirlas; el profesor del MIT Aleksander Madry sostuvo que un enfoque más eficaz sería que las empresas tecnológicas inmunizaran las imágenes automáticamente cuando las personas las suben a sus plataformas. El uso más urgente de la herramienta es defensivo: evitar que las selfis de mujeres se conviertan en pornografía deepfake no consentida. Además, advirtió Madry, es una carrera armamentista: no dejan de aparecer nuevos modelos de IA que podrían anular esas protecciones.
Alterar las fotos de formas invisibles para los humanos pero adversarias para los modelos de difusión: una imagen «inmunizada» se edita como un desenfoque antinatural en lugar de una falsificación convincente.
Los modelos de difusión leen las imágenes como números, por lo que una imagen puede portar dos mensajes a la vez: uno legible para los humanos y otro adversario para el modelo.
La defensa ataca la manipulación en su origen: en lugar de detectar falsificaciones a posteriori, hace que la propia edición fracase.
La inmunización no necesita la cooperación de la herramienta del atacante, ya que la perturbación viaja dentro del propio archivo de imagen.
El límite conocido es honesto: solo funciona de forma fiable con la Stable Diffusion de código abierto, y los desarrolladores de modelos pueden adaptarse; de ahí el planteamiento de carrera armamentista.
Se puede combatir un modelo generativo con sus propias matemáticas: perturbar la entrada para que la misma edición que favorece a una imagen limpia destruya una inmunizada.
Según el informe de MIT Technology Review del 24 de octubre de 2023, PhotoGuard funcionaba de forma fiable con Stable Diffusion; Madry propuso que las plataformas lo aplicaran automáticamente a las subidas, al tiempo que advirtió de que los modelos más nuevos podrían anular esas protecciones.
CONSULTA LAS PRUEBAS
Las fuentes
- A clever shield against photo fakery MIT Technology Review · technologyreview.com ·