Три невидимые метки на AI-картинке

Сгенерированное сегодня изображение может нести свидетельства на трёх разных уровнях, созданные разными механизмами и ломающиеся тоже по-разному. Обсуждают их так, будто это одно и то же — «водяной знак нейросети», — а это не одно и то же. Одно свидетельство может быть текстовым полем. Другое — подписанным документом. Ещё одно — частью самого изображения.

Слой первый: метаданные, то есть утверждение

Самая простая метка — строка в заголовке файла. xmp:CreatorTool со значением DALL-E 3. Текстовый чанк PNG с именем parameters, где лежит полный промпт, seed, сэмплер и название модели, — так по умолчанию пишут интерфейсы Stable Diffusion, и именно поэтому локальные генерации опознаются легче всего.

Знать по имени стоит одно поле — IPTC digital source type. Это XMP-свойство Iptc4xmpExt:DigitalSourceType, значение которого — IRI, заканчивающийся токеном из контролируемого словаря: trainedAlgorithmicMedia для того, что сгенерировала модель, compositeWithTrainedAlgorithmicMedia для композита с генеративными элементами, digitalCapture для снятой камерой фотографии. Это самое близкое к стандартному машиночитаемому флагу «здесь AI», и его пишет всё больше генераторов и производителей камер.

И это по-прежнему текстовое поле. Любой человек с редактором метаданных за секунды допишет trainedAlgorithmicMedia к фотографии или сотрёт его из сгенерированной картинки, не тронув ни одного пикселя. Метаданные говорят, что файл сообщает о себе сам. Это по-настоящему полезно и это не доказательство.

Слой второй: C2PA, то есть подписанный документ

Content Credentials решают проблему «правит кто угодно» тем же способом, каким её решает остальной веб, — подписью. Манифест C2PA — это структурированная запись: claim с именем генератора, набор ассерций о том, что с файлом делали, миниатюры, хеши самого изображения, — завёрнутая в COSE-подпись с цепочкой сертификатов X.509.

Хранится он в формате JUMBF, и место этого бокса зависит от контейнера. В JPEG — сегменты APP11, каждый с префиксом из двух байтов JP, номера экземпляра бокса и номера пакета: манифест с миниатюрой спокойно превышает 64 КБ, которые вмещает один сегмент, и его приходится резать на несколько. В PNG — чанк caBX. В WebP — RIFF-чанк с fourcc C2PA. Немало инструментов, заявляющих поддержку C2PA, смотрят только в APP1 и APP2, ничего там не находят и объявляют файл чистым.

Прочитать манифест и проверить его — разные задачи. Чтение даёт заявленное: генератор, действия, тип источника, имена в сертификате. Проверка означает сверку подписи с trust list и совпадение хешей с текущими пикселями — именно она ловит манифест, скопированный из одного файла и вставленный в другой. Всё, что только читает, включая браузерный инструмент, сообщает вам утверждения файла.

Хрупкость манифеста заложена в конструкции. Он привязан к байтам изображения; отредактируйте изображение чем-то, что про C2PA не знает, — и привязка ломается, поэтому разумное поведение состоит в том, чтобы манифест выбросить. Открыли в редакторе, экспортировали, загрузили на платформу с пережатием — его нет. Не побеждён, а просто отсутствует, неотличимо от картинки, у которой его никогда и не было.

Слой третий: пиксели, которые не смываются

SynthID заходит с противоположной стороны. Вместо того чтобы прикрепить запись к файлу, он меняет сами значения пикселей — по узору, который распознаёт свой детектор и не видит глаз. Метка находится внутри картинки и рассчитана на сохранение обнаруживаемости после преобразований, которые часто удаляют первые два слоя: перекодирования, кадрирования, коррекции цвета, фильтров и скриншотов.

Запустить можно классический стеганализ и физико-математическую цифровую криминалистику, отвечающие на более прикладные вопросы:

1. Младшие биты и RS-анализ. Выглядят ли младшие биты изображения так, будто в них писали? Переверните младший бит у естественного изображения, и локально оно станет предсказуемо «шершавее»; переверните биты, которые уже несут полезную нагрузку, и этого не произойдёт, а разрыв между двумя поведениями даёт оценку доли пикселей со встроенным битом. Поблочный анализ строит тепловую карту распределения аномалий по кадру.
2. Частотный спектр и 2D FFT. В математическом частотном спектре сгенерированных картинок часто остаются характерные гармоники: архитектуры с пошаговой деконволюцией и апскейлом оставляют регулярные решётки («сетки деконволюции»). При этом важно математически отделять естественные гармоники блочного сжатия JPEG $8 \times 8$ от аномальных пиков нейросетевых генераторов, а также оценивать показатель радиального спада энергии $\alpha$ (в оптических фотографиях энергия убывает по степенному закону $1/f^\alpha$ со значением $\alpha \approx 1.8–2.2$).
3. Закон Бенфорда для коэффициентов ДКП. Распределение первой значащей цифры коэффициентов дискретного косинусного преобразования ($8 \times 8$ DCT) в нетронутых фотографиях подчиняется обобщённому закону Бенфорда. Синтез, перерисовка и скрытые внедрения вызывают статистический скос, измеряемый расстоянием Колмогорова — Смирнова ($D_$).
4. Профиль остаточного шума матрицы. При съёмке на физическую камеру дробовой шум фотонов распределяется неравномерно по диапазонам яркости (в тенях относительная дисперсия выше). Генеративные модели с аддитивным шумом или грубые фильтры часто дают неестественно равномерную дисперсию остаточного шума по всем градациям серого.

Стоит ясно понимать цену этих оценок. Сильное пережатие в JPEG, агрессивный шумодав и обычная стеганография одинаково двигают числа. Ответ здесь только на вопрос «каковы статистические и спектральные аномалии кадра», и никогда — «что это за коммерческий водяной знак».

Как читать метрики пиксельного анализа

Когда контейнерные маркеры отсутствуют или очищены, криминалистический анализ опирается на спектральные и статистические аномалии. Вот как интерпретировать ключевые показатели:

Что переживает обработку

Прочитайте таблицу по столбцам — и практическая картина проста. Два слоя, несущие имя и подпись, хрупки в обычных сценариях, а проприетарный пиксельный знак рассчитан на большую устойчивость и требует своего детектора. Поэтому отсутствие читаемых контейнерных меток значит куда меньше, чем принято думать: после перекодирования оно встречается часто.

Приходящее параллельно регулирование этого не снимает. Статья 50 EU AI Act требует от поставщиков маркировать синтетический контент машиночитаемо, и с августа 2026 года эти обязанности применяются, — но единого технического формата она не предписывает, отчего в обороте одновременно и оказываются манифесты, поля с типом источника и невидимые пиксельные узоры.

Что умеет браузерный инструмент

Я собрал детектор AI-водяных знаков, который проверяет поддерживаемые свидетельства прямо в браузере, не загружая изображение на сервер:

• Анализ контейнеров и метаданных: сканирует блоки EXIF, текстовые чанки PNG, свойства XMP и контролируемые словари IPTC DigitalSourceType (включая trainedAlgorithmicMedia и параметры генераторов).
• Разбор C2PA / Content Credentials: находит и склеивает фрагментированные JUMBF-боксы в сегментах JPEG APP11, чанках PNG caBX и WebP C2PA, декодируя CBOR-манифест и поля утверждений (прямо сообщая, что криптографическая подпись в браузере не верифицируется).
• Пиксельная и спектральная криминалистика в Web Worker:
  • RS-стеганализ каналов с расчётом предполагаемой доли внедрения и поблочной интерактивной тепловой картой;
  • 2D FFT-анализ с визуализацией центрированного спектра мощности в тепловой палитре, оценкой радиального наклона $\alpha$ и фильтрацией гармоник сетки JPEG $8 \times 8$ от аномалий деконволюции;
  • Проверка соответствия AC-коэффициентов $8 \times 8$ ДКП закону Бенфорда;
  • Оценка однородности остаточного шума по 5 диапазонам яркости.
• Проверенное перекодирование: создание очищенного файла JPEG, PNG или WebP с повторным сканированием контейнера перед скачиванием и гарантированной блокировкой выгрузки, если в заголовках остались удаляемые EXIF, XMP, IPTC или C2PA-данные. Опциональное возмущение младших битов носит экспериментальный характер и не даёт гарантий снятия невидимых пиксельных знаков.
• Приватность и экспорт: вся обработка выполняется на клиенте; поддерживается прямая загрузка по ссылке без серверного прокси и экспорт подробного JSON-отчёта.

Полезные инструменты

AI Watermark DetectorПроверяет JPEG, PNG или WebP на Content Credentials C2PA, заявленные AI-метаданные и общие статистические аномалии пикселей. Ограничения покрытия видны в отчёте, а перекодированный результат перед скачиванием повторно проверяется на удаляемые контейнерные маркеры.EXIF InspectorПосмотрите, какие EXIF, GPS и другие метаданные скрыты внутри JPEG, PNG или WebP — модель камеры, параметры съёмки и точное место, где сделан снимок — а затем удалите ровно то, что выберете, или впишите свои заголовок, автора и копирайт.LSB SteganographyЗапишите текст в младшие биты пикселей изображения так, что картинка останется визуально неизменной, при желании сначала зашифруйте его паролем AES-256, а позже извлеките сообщение обратно из PNG.Оптимизатор изображенийПакетно сжимайте до 10 PNG, JPEG или WebP, задавайте максимальные размеры или целевой вес, сравнивайте до и после, скачивайте по одному либо ZIP-архивом — полностью локально.