Reproducao de ataque mostra que marca d'agua Tree-Ring pode ser forjada em imagens geradas por IA
Pesquisadores reproduziram, com hardware bem mais modesto que o estudo original, o ataque de forjamento 'Reprompt' contra o esquema de marca d'agua semantica Tree-Ring usado para atestar que uma imagem foi gerada por um modelo de difusao especifico. O ataque conseguiu fazer o detector genuino aceitar como autenticas 5 de 6 imagens forjadas por um atacante que nunca teve acesso a chave de marca d'agua, ao mesmo tempo em que os autores recuperaram uma estatistica que o detector original descartava e que separa melhor imagens forjadas de limpas. O resultado reforca que watermarking de geracao de imagem, hoje um dos pilares propostos para autenticacao de conteudo de IA, nao garante por si so evidencia confiavel de autoria ou autenticidade.
Tree-Ring e um esquema de marca d'agua semantica que embute um padrao detectavel no ruido latente inicial usado por um modelo de difusao para gerar uma imagem. A logica de uso pretendida e forense: se uma imagem carrega o padrao Tree-Ring correspondente a chave de um provedor, isso serve como evidencia de que ela foi gerada por aquele modelo especifico, uma capacidade cada vez mais discutida como camada de autenticacao de conteudo sintetico e, por extensao, como ferramenta auxiliar contra deepfakes.
O artigo nao propoe uma tecnica nova, mas reproduz de forma independente e instrumentada o ataque 'Reprompt' de Muller et al., que quebra essa premissa: um atacante sem qualquer acesso a chave de marca d'agua consegue produzir imagens que o detector genuino aceita como legitimas. Os autores rodaram o ataque contra Stable Diffusion XL usando GPUs T4 gratuitas com apenas 14.6 GB de memoria por dispositivo, uma fracao do hardware A40 usado no estudo original -- e o ataque reproduziu integralmente, o que baixa a barreira de acesso para quem queira executa-lo.
Os numeros do experimento sao pequenos em escala (seis tentativas por braco) mas claros no padrao: imagens genuinas foram detectadas corretamente em 6 de 6 casos, imagens limpas (sem marca d'agua) corretamente rejeitadas em 6 de 6, e imagens forjadas foram aceitas como genuinas pelo detector em 5 de 6 tentativas, a um custo de 325 a 332 segundos por ataque. Um achado secundario relevante e que o detector publicado calcula uma estatistica qui-quadrado nao-central internamente mas so devolve o CDF dela ao usuario, descartando informacao; os autores recuperaram essa estatistica bruta e construiram duas metricas alternativas a partir dela que separam imagens forjadas do grupo limpo com AUC de 0.861 e 0.972 -- ou seja, existe sinal residual no proprio detector que poderia melhorar a deteccao de forjamento, mas que a implementacao de referencia descarta.
A importancia pratica para quem trabalha com forense de midia e dupla. Primeiro, mostra que watermarking baseado em ruido latente de difusao, ainda que matematicamente elegante, e vulneravel a forjamento pratico com recursos computacionais modestos, o que enfraquece seu uso isolado como prova de autenticidade ou de nao-autenticidade de uma imagem em um caso onde isso seja questionado judicialmente. Segundo, evidencia um problema recorrente em pipelines forenses automatizados: quando um detector descarta informacao intermediaria (aqui, a estatistica bruta em favor de um p-valor ja processado), perde-se capacidade de deteccao que poderia ter sido usada para identificar justamente o tipo de manipulacao que os proprios autores demonstraram ser viavel.