MITのPhotoGuardはピクセルを不可視に改変し、写真へのAI編集を破綻させる

現在、オンラインで見つけた自撮り写真を誰でも生成AIモデルで編集でき、その結果が偽物だと証明するのは不可能かもしれない。「誰もが私たちの画像を取得し、好きなように改変し、非常に悪質な状況に私たちを置き、恐喝することができます」と、この研究に貢献したMITの博士課程学生Hadi Salmanは述べた。PhotoGuardは研究室の答えである。人間の目には見えないほど微小に写真を改変するが、AIによる操作には致命的なツールだ。

その仕組みは2つの技術からなり、いずれもStable Diffusionに対抗して構築されている。第一の技術では、PhotoGuardは知覚できない信号を加え、モデルが画像をまったく別のもの——純粋な灰色のブロック——と解釈するようにする。第二の技術では、モデルが画像を生成する方法を妨害する秘密の信号を符号化するため、編集の試み——たとえばテキストプロンプトで普段着をスーツに置き換える——は、現実的な一致ではなく不自然なぼやけを生み出す。

理論上、人々はアップロードする前に画像に保護シールドを適用できる。MITのAleksander Madry教授は、より効果的なアプローチは、テック企業が人々のプラットフォームへのアップロード時に画像を自動的に免疫化することだと主張した。このツールの最も緊急の用途は防御的だ。女性の自撮り写真が非合意のディープフェイクポルノに変換されるのを防ぐことである。またMadryは、これは軍拡競争でもあると警告した。そうした保護を無効化しうる新しいAIモデルが次々と登場しているからだ。

人間には見えないが拡散モデルには敵対的な方法で写真を改変する。「免疫化」された画像は、説得力のある偽物ではなく不自然なぼやけに編集される。

拡散モデルは画像を数値として読み取るため、画像は同時に2つのメッセージを運ぶことができる——人間には読めるものと、モデルには敵対的なものだ。

この防御は操作を源で標的にする。事後に偽物を検出するのではなく、編集自体を失敗させるのだ。

免疫化は攻撃者のツールの協力を必要としない。摂動が画像ファイル自体の中に乗っているからだ。

既知の限界は正直だ。オープンソースのStable Diffusionでのみ確実に機能し、モデル開発者は適応できる——ゆえに軍拡競争という枠組みになる。

生成モデルをその数学で打ち負かすことができる。入力を摂動させ、きれいな画像を美化するのと同じ編集が、免疫化された画像を破壊するようにするのだ。

2023年10月24日のMIT Technology Reviewの報道時点で、PhotoGuardはStable Diffusionで確実に機能していた。Madryはプラットフォームがアップロード時に自動的に適用することを提案しつつ、新しいモデルがそうした保護を無効化する可能性があると警告した。