MIT的PhotoGuard以肉眼不可見的方式改動像素，讓AI對照片的編輯崩壞

目前，任何人都能拿在網路上找到的自拍照，用生成式AI模型加以編輯——而結果可能無法證明是假的。「任何人都能拿走我們的影像，隨心所欲地修改，把我們置於非常難看的情境，然後勒索我們，」參與這項研究的MIT博士生Hadi Salman說。PhotoGuard正是該實驗室的答案：一款以肉眼不可見的細微方式改動照片、卻能讓AI操弄失效的工具。

其機制包含兩種技術，兩者都是針對Stable Diffusion而打造。第一種是PhotoGuard加入難以察覺的訊號，使模型把影像完全解讀成另一種東西——一整塊純灰色。第二種是編碼秘密訊號，干擾模型生成影像的方式，因此當有人試圖編輯——例如透過文字提示把休閒服裝換成西裝——產生的會是不自然的模糊，而非逼真的匹配。

理論上，人們可以在上傳影像前先套用這層防護罩；MIT教授Aleksander Madry主張，更有效的做法是由科技公司在使用者上傳影像至其平台時自動為影像免疫。這項工具最迫切的用途是防禦性的：防止女性的自拍照被變成未經同意的深度偽造色情內容。Madry也提醒，這是一場軍備競賽——可能破解這類防護的新AI模型不斷出現。

以人類看不見、卻能對擴散模型產生對抗效果的方式改動照片：一張「已免疫」的影像被編輯後，會變成不自然的模糊，而非令人信服的偽造品。

擴散模型把影像讀取為數字，因此一張影像可以同時承載兩種訊息——一種人類可讀，一種對模型具對抗性。

這項防禦從源頭針對操弄：它不是在事後偵測偽造，而是讓編輯本身失敗。

免疫不需要攻擊者工具的合作，因為擾動就藏在影像檔案本身之中。

已知的限制很誠實：它只在開源的Stable Diffusion上可靠運作，而模型開發者可以調整因應——因此才有軍備競賽的說法。

你可以用生成模型自己的數學來對抗它：擾動輸入，使同一個能美化乾淨影像的編輯，卻會摧毀已免疫的影像。

截至2023-10-24《MIT Technology Review》的報導，PhotoGuard在Stable Diffusion上可靠運作；Madry建議平台自動將其套用於上傳內容，同時提醒較新的模型可能破解這類防護。