Ученые НИУ ВШЭ систематизировали методы защиты изображений
- CNews FORUM 12 ноября
- CNews AWARDS 12 ноября
- Школа Роста
- Российский рынок облаков за 20 лет
- 30 лет рынку ERP в России
- КИИ в облаке
- Сеть как дом
- 10 лет российского бэкапа
- Цифровизация
- Импортозамещение
- Безопасность
- ИТ в госсекторе
- ИТ в банках
- ИТ в торговле
- Телеком
- Интернет
- ИТ-бизнес
- Рейтинги
- Инфографика
|
Исследователи МИЭМ ВШЭ проанализировали схемы полухрупких цифровых водяных знаков для изображений, опубликованные за последние десять лет. Такие водяные знаки сохраняются при обычном сжатии или изменении яркости, но выдают подделку, если в снимок добавили объект или заменили лицо. Авторы предложили классификацию этих схем и выделили главные нерешенные проблемы. Результаты опубликованы в журнале Computer Science Review. Об этом CNews сообщили представители НИУ ВШЭ.
Генеративные нейросети сделали подделку изображений доступной почти каждому. Чтобы вставить человека в чужую фотографию или подменить лицо, больше не нужно владеть сложными графическими редакторами. Один из способов защититься — заранее спрятать в изображении невидимую метку, цифровой водяной знак. Он не искажает картинку и не мешает публиковать ее в соцсетях или портфолио, а при проверке позволяет подтвердить подлинность, установить автора и обнаружить изменения.
Водяные знаки бывают трех типов. Робастные (устойчивые) защищают авторские права и сохраняются почти при любых искажениях. Хрупкие, напротив, разрушаются от малейшего изменения, даже от легкой правки контраста, и не отличают безобидную обработку от злонамеренной. Полухрупкие сочетают оба свойства. Их можно сравнить с пломбой, которая переживет случайное падение или тряску при пересылке по почте, но сломается, если кто-то специально вскроет посылку. Сжатие в JPEG, размытие, поворот или изменение яркости такая метка считает допустимыми, а вставку, удаление или копирование фрагмента — подделкой. Однако обзорных работ, посвященных именно полухрупким знакам, почти нет: две такие работы вышли в 2012 и 2017 гг. и современные методы не охватывают.
Анна Мельман и Олег Евсютин из МИЭМ ВШЭ изучили схемы полухрупких водяных знаков, опубликованные с 2016 по 2026 гг. Из 30 схем, включенных в обзор, 18 основаны на классических методах встраивания метки в пиксели или частотные характеристики изображения, а 12 используют нейросети. Ученые сравнили схемы по типу метки, способу обнаружения подделки, умению указать на измененную область и восстановить ее, а также по ключевым показателям: насколько метка незаметна, устойчива к безобидной обработке и чувствительна к фальсификации.
Выяснилось, что 25 схем из 30 не просто сообщают о подделке, а показывают, какой именно участок изображения изменен. Восстановить испорченный фрагмент умеют только 10 схем. Большинство методов (18 из 30) работают вслепую: для проверки им нужно только само изображение, без исходной метки. Поэтому подделку можно обнаружить, даже если оригинальный знак утерян. По числу допустимых изменений исследователи разделили схемы на три уровня. Низкоустойчивые выдерживают одну-две безобидные операции, почти всегда это сжатие, среднеустойчивые — от трех до семи, высокоустойчивые — восемь и больше. Выбор зависит от задачи. Для медицинских снимков сжатие часто остается единственной законной обработкой. Фотографии, которые свободно публикуют на разных сайтах, требуют куда большей гибкости. Нейросетевые схемы чаще классических справляются с широким набором безобидных изменений, а шесть из них созданы специально для распознавания дипфейков. При этом обзор выявил ряд системных проблем.
«В научной литературе до сих пор нет единого понимания, что считать полухрупким знаком, а чувствительность к подделкам авторы оценивают с помощью как минимум десяти разных метрик. Поэтому сравнивать решения друг с другом трудно», – сказала Анна Мельман, младший научный сотрудник МИЭМ ВШЭ.
Многие классические схемы тестируют только на небольшом наборе популярных изображений, что мало говорит о работе в реальных условиях. Нейросетевые методы почти всегда обучают на лицах, хотя опасной может быть подделка любого изображения. Некоторые типы атак, например коллаж из фрагментов нескольких защищенных снимков, проверены лишь в отдельных работах.
«Главная сложность в том, что метка должна одновременно оставаться невидимой, выдерживать обычную обработку и замечать подделку. Улучшая одно из этих свойств, легко потерять другое. Мы попытались навести порядок в этой области и показать, где сегодня самые острые проблемы», – сказал Олег Евсютин, руководитель департамента кибербезопасности МИЭМ ВШЭ.
В будущем, по мнению авторов, стоит проверять устойчивость меток не только к лабораторным искажениям, но и к фильтрам соцсетей и другим сложным правкам обычных пользователей. Кроме того, нейросети нужно обучать и тестировать на более разнообразных данных. Перспективным направлением исследователи считают бесконтейнерные водяные знаки, которые встраиваются в изображение еще на этапе его генерации нейросетью. Такой подход может стать способом защищать картинки, созданные искусственным интеллектом.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.