Zusammenfassung:
Laut einem umgekehrten Analysebericht des Sicherheitsforschers Xusheng Li wird Microsoft unsichtbare blinde Wasserzeichen zu KI-generierten Bildern in Paint- und Foto-/Albumanwendungen hinzufügen. Die vom Blind-Wasserzeichen verwendete Kennung stammt von Microsoft-Servern, und dieser Mechanismus ist völlig unabhängig vom Microsoft Copilot-Wasserzeichen, das Benutzer selbst aktivieren/deaktivieren können, sodass Benutzer das Blind-Wasserzeichen nicht vollständig deaktivieren können.
Die lokale Generierung von Bildern auf einem AI-PC erfordert immer noch eine Verbindung zu Microsoft-Servern:
Untersuchungen haben ergeben, dass die Erstellungsfunktion der Paint-Anwendung zwar nicht funktioniert Kann AI verwenden PC Ein lokales stabiles Diffusionsmodell generiert Bilder, aber der gesamte Prozess ist nicht vollständig offline. Vor Beginn der Generierung sendet die Paint-Anwendung die vom Benutzer eingegebenen Eingabeaufforderungswörter und den ausgewählten Stil zur Überprüfung an den Microsoft-Server. Der Server gibt dann die geänderten Eingabeaufforderungswörter, die Eingabeaufforderungswort-Generierungs-ID und die Wasserzeichen-ID zurück und dann wird das Bild lokal auf dem Computer über die NPU-Einheit generiert.
Nachdem das Bild generiert wurde, ruft die Paint-Anwendung das Blindwasserzeichen-Steuerelement auf, um die vom Server zurückgegebenen 16-Byte-Parameter für blinde Wasserzeichen in die Bildpixel zu schreiben. Das blinde Wasserzeichen selbst ist für das bloße Auge unsichtbar, Microsoft kann jedoch durch bestimmte Erkennungsmechanismen erkennen, ob das Bild von der Paint-Anwendung generiert wurde.
GUID-Bezeichner werden direkt in Bildpixel geschrieben:
Umgekehrte Analyse zeigt, dass der blinde Wasserzeichenmechanismus 16 Das Byte GUID wurde auf 144-Bit-Daten erweitert und dann eingebettet, indem leichte Änderungen an mehreren Blöcken des Bildes vorgenommen wurden. Zum Testen verwendeten die Forscher ein 512 x 512 Pixel großes Bild. Nachdem Microsoft ein blindes Wasserzeichen hinzugefügt hatte, veränderten sich mehr als 190.000 Pixel leicht.
Bemerkenswerter ist, dass in der Zeichenanwendung die KI-Bildgenerierungsaufgabe direkt als Fehler betrachtet wird, wenn der Blindwasserzeichenmechanismus nicht geschrieben werden kann, anstatt ein Bild ohne Wasserzeichen zurückzugeben. Es ist ersichtlich, dass Microsoft diesen Prozess als notwendiges Glied bei der KI-Generierung betrachtet und kein Bild generiert, es sei denn, die blinde Wasserzeichenmarkierung ist abgeschlossen.
Screenshots/Zuschnitte usw. haben keinen Einfluss auf die Microsoft-Erkennung:
Zusätzlich zur Änderung der Pixel fügt die Paint-Anwendung dem Bild auch das branchenweite C2PA-Inhaltszertifikat hinzu. Nach der Überprüfung der tatsächlich generierten PNG-Datei stellten die Forscher fest, dass die C2PA-Liste nicht nur das von der KI generierte Bild eindeutig markierte, sondern auch blinde Wasserzeicheninformationen von Microsoft InvisMark aufzeichnete.
Der dort gespeicherte Wasserzeichenwert ist genau derselbe wie die zuvor vom Server zurückgegebene und tatsächlich in die Bildpixel geschriebene Blindwasserzeichen-ID, was bedeutet, dass Microsoft tatsächlich zwei Ebenen des Herkunftsnachweises verwendet: C2PA-Metadaten + unsichtbares, in den Bildpixeln verstecktes Wasserzeichen. Selbst wenn Benutzer C2PA-Metadaten über bestimmte Tools löschen, kann Microsoft das Wasserzeichen daher immer noch anhand der Pixel identifizieren. Beispielsweise können einfache Screenshots, Zuschnitte usw. das blinde Wasserzeichen nicht vollständig zerstören.
Darüber hinaus verwenden die Funktionen zur KI-Bildgenerierung und Stilkonvertierung in der Fotos/Album-Anwendung von Microsoft auch den Blind-Wasserzeichen-Mechanismus. Einige Unterschiede sind: Wenn die Paint-Anwendung das Wasserzeichen nicht schreiben kann, bricht sie die Bildgenerierung direkt ab, während die Album-Anwendung den Fehler aufzeichnet und weiterhin die generierten Ergebnisse zurückgibt.
Kommentare