马里兰大学实测 AI 水印：隐形水印被全数破解，还能伪造误报

为了防范假图和深度伪造，各大科技巨头此前达成默契，打算像防伪钞一样给 AI 生成的内容打上隐形数字水印。

但这套被寄予厚望的防伪方案，在密码学和计算机学者眼里可能脆弱得像一张窗户纸。

马里兰大学计算机科学教授 Soheil Feizi 最近带领团队做了一组测试，结果让人大跌眼镜：他们把市面上所有的 AI 水印方案全部攻破了。对于肉眼不可见的低扰动水印，Feizi 甚至直言毫无希望。

洗掉水印，甚至能反向栽赃

研究团队测试的方法其实非常直接，就是模拟恶意攻击者如何抹除这些标记。Feizi 把这个过程称为「洗掉」水印。

更让人头疼的是，攻击不仅能单向抹除。研究人员发现，攻击者还能把原本属于 AI 的水印提取出来，偷偷加到人类摄影师拍摄的照片或画作上，直接触发系统的误报。

这意味着只要有人想使坏，既能让虚假图片洗白成真图，也能把真实照片构陷成 AI 伪造品。

这项研究目前以预印本形式发布，还没经过同行评审。但在此之前，加州大学圣巴巴拉分校与卡耐基梅隆大学的研究人员也在论文中得出过类似结论：所有不可见的隐形水印都很脆弱。

Feizi 的测试甚至更进一步，他们发现就连原本被寄予厚望的高扰动可见水印，同样逃不过被篡改的命运。

产业界正在上演猫鼠游戏

大洋彼岸的巨头们此前对水印寄予了极高期望。今年夏天，OpenAI、Alphabet、Meta 和亚马逊等公司签署承诺，全力开发水印技术来应对虚假信息。Google 旗下的 DeepMind 还在 8 月底推出了名为 SynthID 的数字水印工具测试版。

但长期关注检测技术的业内人士早就敲响了警钟。AI 检测初创公司 Reality Defender 首席执行官 Ben Colman 坦言，水印听起来很高尚，但在现实中极易被伪造、移除或直接忽略。

专门帮人绕过 AI 检测的工具商 Undetectable 联合创始人 Bars Juhasz 更是直白：一整条产业已经成熟，他们这类团队随时能提供快速去水印服务。

不过，也有学者认为不该把水印一棍子打死。加州大学伯克利分校的 Hany Farid 教授就认为，虽然没人觉得单靠水印就能解决问题，但它依然是组合拳里不可或缺的一环。

马里兰大学教授 Tom Goldstein 也指出，攻击者总有办法绕过系统，但水印可以提高作恶成本，至少能拦住大批低水平的造假者。就连 DeepMind 自己在发布 SynthID 时，也谨慎地承认这项技术并非万无一失。

为什么重要

在接下来的关键选举节点和大范围信息战面前，公众原本急需一个能够一键验真伪的定海神针。但这项研究残酷地打破了这个幻想。对于普通人和开发者来说，我们认为现在绝不能把隐形水印当成辨别真伪的唯一标准，过度依赖自动化标签反而更容易被恶意栽赃带偏节奏。

从行业竞争来看，科技巨头选择力推水印，看起来更像是一种为了应对监管压力而交出的防御性答卷。把水印植入模型生成的底层，技术路径走得很聪明，成本也相对可控。但它的致命隐患在于，它把攻防的战场完全暴露在了开放的互联网环境里，而防守方的成本远高于进攻方。

我们认为，靠单一技术解决内容真伪的思路行不通。未来行业如果想真正建立内容信任，必须走向链条式的溯源机制，把生成凭证、传播链签名与多模态取证结合起来，而不是指望给像素打上几个看不见的标记就能一劳永逸。