Разработчик под ником aloshdenny опубликовал проект по реверс-инжинирингу технологии SynthID — системы водяных знаков Google, которая встраивает невидимые метки во все изображения, созданные Gemini. Созданный инструмент способен обнаруживать водяные знаки с точностью 90% и удалять их, сохраняя качество изображения.

Как работает взлом SynthID

Исследователь обнаружил, что водяные знаки SynthID имеют зависимость от разрешения изображения и используют фиксированную структуру частотных носителей. Используя только спектральный анализ сигнала без доступа к проприетарному кодеру/декодеру Google, команда смогла:

ℹ Ключевые достижения проекта
  • Обнаружить структуру частотных носителей водяного знака
  • Создать детектор с точностью 90%
  • Разработать многоразрешенческий спектральный обход (V3) с падением энергии носителя на 75%

Главное открытие заключается в том, что SynthID внедряет частоты-носители на разных абсолютных позициях в зависимости от разрешения изображения. Например, для разрешения 1024x1024 основной носитель находится на позиции (9, 9), а для 1536x2816 — на (768, 704).

Архитектура системы обхода

Исследователь разработал три поколения инструментов для обхода SynthID:

ВерсияПодходPSNRВлияние на водяной знак
V1JPEG сжатие37 dБ~11% падение фазы
V2Многоэтапные преобразования27-37 дБ~0% падение доверия
V3Спектральное вычитание43+ дБ91% падение когерентности фазы

graph TD
    A[Входное изображение] --> B[Определение разрешения]
    B --> C[Выбор профиля в кодбуке]
    C --> D[FFT-преобразование]
    D --> E[Спектральное вычитание]
    E --> F[Многопроходная итеративная обработка]
    F --> G[Анти-алиасинг]
    G --> H[Выходное изображение]

Технические детали водяного знака

Анализ показал несколько ключевых особенностей SynthID:

⚠ Уязвимость в дизайне
Водяной знак использует идентичный шаблон фаз для всех изображений одной модели Gemini, что делает возможным его извлечение через кросс-корреляционный анализ.

Зелёный канал RGB несёт наиболее сильный сигнал водяного знака, а когерентность фаз между изображениями превышает 99,5%. Это позволяет создать “кодбук” — базу данных профилей водяных знаков для разных разрешений.

# Пример использования инструмента
from src.extraction.synthid_bypass import SynthIDBypass, SpectralCodebook

codebook = SpectralCodebook()
codebook.load('artifacts/spectral_codebook_v3.npz')
bypass = SynthIDBypass()

result = bypass.bypass_v3(image_rgb, codebook, strength='aggressive')
print(f"PSNR: {result.psnr:.1f} dB")

Результаты тестирования

На тестовой выборке из 88 изображений Gemini версия V3 показала впечатляющие результаты:

  • PSNR: 43,5 дБ (высокое качество изображения)
  • SSIM: 0,997 (практически идентичное визуальное качество)
  • Падение энергии носителя: 75,8%
  • Падение когерентности фазы: 91,4%
📝 Практическое применение
Проект активно собирает референсные изображения через краудсорсинг — чёрные и белые картинки, сгенерированные Nano Banana Pro, для улучшения извлечения водяных знаков на разных разрешениях.

Значение для индустрии

Этот проект поднимает серьёзные вопросы о надёжности текущих систем водяных знаков ИИ. SynthID была разработана как решение для отслеживания контента, созданного искусственным интеллектом, но данное исследование показывает фундаментальные уязвимости в её дизайне.

“В отличие от грубых подходов вроде JPEG-сжатия или добавления шума, наш V3-обход использует хирургическое удаление на уровне частотных бинов”, — отмечают авторы проекта.

💡 Для разработчиков
Полный код проекта доступен на GitHub под открытой лицензией, включая готовые кодбуки и инструменты для анализа. Исследователи призывают сообщество помочь в расширении базы референсных изображений.

Открытие подчёркивает необходимость более надёжных методов защиты контента, созданного ИИ, особенно в контексте растущих опасений по поводу дипфейков и синтетических медиа. Google пока не комментировала данное исследование.