馬里蘭大學實測 AI 水印：隱形水印被全數破解，還能偽造誤報

為了防範假圖和深度偽造，各大科技巨頭此前達成默契，打算像防偽鈔一樣給 AI 生成的內容打上隱形數字水印。

但這套被寄予厚望的防偽方案，在密碼學和計算機學者眼裡可能脆弱得像一張窗戶紙。

馬里蘭大學電腦科學教授 Soheil Feizi 最近帶領團隊做了一組測試，結果讓人大跌眼鏡：他們把市面上所有的 AI 水印方案全部攻破了。對於肉眼不可見的低擾動水印，Feizi 甚至直言毫無希望。

洗掉水印，甚至能反向栽贓

研究團隊測試的方法其實非常直接，就是模擬惡意攻擊者如何抹除這些標記。Feizi 把這個過程稱為「洗掉」水印。

更讓人頭疼的是，攻擊不僅能單向抹除。研究人員發現，攻擊者還能把原本屬於 AI 的水印提取出來，偷偷加到人類攝影師拍攝的照片或畫作上，直接觸發系統的誤報。

這意味著只要有人想使壞，既能讓虛假圖片洗白成真圖，也能把真實照片構陷成 AI 偽造品。

這項研究目前以預印本形式釋出，還沒經過同行評審。但在此之前，加州大學聖巴巴拉分校與卡耐基梅隆大學的研究人員也在論文中得出過類似結論：所有不可見的隱形水印都很脆弱。

Feizi 的測試甚至更進一步，他們發現就連原本被寄予厚望的高擾動可見水印，同樣逃不過被篡改的命運。

產業界正在上演貓鼠遊戲

大洋彼岸的巨頭們此前對水印寄予了極高期望。今年夏天，OpenAI、Alphabet、Meta 和亞馬遜等公司簽署承諾，全力開發水印技術來應對虛假資訊。Google 旗下的 DeepMind 還在 8 月底推出了名為 SynthID 的數字水印工具測試版。

但長期關注檢測技術的業內人士早就敲響了警鐘。AI 檢測初創公司 Reality Defender 執行長 Ben Colman 坦言，水印聽起來很高尚，但在現實中極易被偽造、移除或直接忽略。

專門幫人繞過 AI 檢測的工具商 Undetectable 聯合創始人 Bars Juhasz 更是直白：一整條產業已經成熟，他們這類團隊隨時能提供快速去水印服務。

不過，也有學者認為不該把水印一棍子打死。加州大學伯克利分校的 Hany Farid 教授就認為，雖然沒人覺得單靠水印就能解決問題，但它依然是組合拳裡不可或缺的一環。

馬里蘭大學教授 Tom Goldstein 也指出，攻擊者總有辦法繞過系統，但水印可以提高作惡成本，至少能攔住大批低水平的造假者。就連 DeepMind 自己在釋出 SynthID 時，也謹慎地承認這項技術並非萬無一失。

為什麼重要

在接下來的關鍵選舉節點和大範圍資訊戰面前，公眾原本急需一個能夠一鍵驗真偽的定海神針。但這項研究殘酷地打破了這個幻想。對於普通人和開發者來說，我們認為現在絕不能把隱形水印當成辨別真偽的唯一標準，過度依賴自動化標籤反而更容易被惡意栽贓帶偏節奏。

從行業競爭來看，科技巨頭選擇力推水印，看起來更像是一種為了應對監管壓力而交出的防禦性答卷。把水印植入模型生成的底層，技術路徑走得很聰明，成本也相對可控。但它的致命隱患在於，它把攻防的戰場完全暴露在了開放的網際網路環境裡，而防守方的成本遠高於進攻方。

我們認為，靠單一技術解決內容真偽的思路行不通。未來行業如果想真正建立內容信任，必須走向鏈條式的溯源機制，把生成憑證、傳播鏈簽名與多模態取證結合起來，而不是指望給畫素打上幾個看不見的標記就能一勞永逸。