Метаданные и водяные знаки: как на самом деле маркируют ИИ-изображения

Три уровня маркировки контента

Современные генераторы изображений используют разные способы идентификации происхождения контента. Важно понимать, что единой технологии не существует: разные компании применяют разные подходы, которые зависят от модели, формата файла и способа экспорта. На практике выделяют три основных типа данных: обычные метаданные, стандарт C2PA и невидимые водяные знаки.

Метаданные (например, EXIF) хранят сведения о создании файла, но они крайне уязвимы: информация исчезает при пересохранении, конвертации или загрузке на платформы, которые очищают служебные данные. Стандарт C2PA (Content Credentials) работает иначе — это «цифровой паспорт» файла. Он криптографически связывает контент с его историей, позволяя проверить, каким инструментом был создан файл и какие изменения в него вносились. Однако C2PA подтверждает только целостность данных, а не истинность того, что изображено на картинке.

Устойчивость SynthID

В отличие от метаданных, технология SynthID от Google DeepMind внедряет сигнал непосредственно в пиксели изображения. Этот невидимый водяной знак становится частью самого медиаконтента. Главное преимущество SynthID — устойчивость: он способен сохраняться даже после обрезки, наложения фильтров или сжатия с потерями (lossy compression).

Интересно, что OpenAI использует комбинированный подход. Для изображений, созданных через ChatGPT или API, компания применяет одновременно и стандарт C2PA, и технологию SynthID. Это позволяет обеспечить и детальный контекст происхождения, и дополнительный слой защиты, который сложнее удалить простым редактированием.

Можно ли удалить следы ИИ?

Экспериментальная проверка показала, что разные типы маркировки ведут себя по-разному при обработке. При использовании сервиса DeWatermark.ai, который применяет методы inpainting и GAN для удаления визуальных водяных знаков, результаты были неоднозначными. В ходе теста после обработки через сервис метаданные C2PA полностью исчезли, но встроенный сигнал SynthID сохранился и был успешно обнаружен инструментом OpenAI Verify.

Это подтверждает, что невидимая маркировка не является абсолютно неуничтожимой, но и не удаляется одним нажатием кнопки. OpenAI предупреждает, что водяной знак может деградировать из-за шума, редактирования или конвертации форматов. С вступлением в силу Article 50 европейского AI Act требования к машиночитаемой маркировке станут обязательными для определенных категорий провайдеров ИИ-систем.