ディープフェイク検出が破綻するとき、画像の再構成性で真正性を認証する

導入

生成モデルは非常に高品質な画像を作れるようになりました。その一方で、画像の見た目だけから生成物かどうかを判定することは、以前より難しくなっています。モハメド・ビン・ザーイド人工知能大学の研究では、過去4年間に公開された10種類の生成器に対して20種類のディープフェイク検出器を評価し、従来の検出方式が抱える限界を整理しました。

検出器が弱くなる理由

評価では、検出器の精度がほぼ99.5%から76%へ低下しました。さらに敵対的摂動を加えると、すべてのベースライン検出器の精度が2%未満になりました。つまり、画像に小さな変更を加えるだけで、検出器の判定を大きく誤らせ、場合によっては元のラベルを実質的に反転させられます。

これは、検出器が合成画像に共通する本質的な特徴ではなく、特定世代の生成器が残す統計的な癖を学習している可能性を示します。生成器の構造やサンプリング方法が変われば、その手掛かりは消えるかもしれません。

さらに根本的な曖昧さもあります。生成器は、学習データに含まれていた本物の画像を記憶し、ほぼ同じ形で再現する可能性があります。その場合、同じ画像が現実の撮影結果にも生成器の出力にもなり得ます。画素だけを見て、唯一の出所を確定することはできません。

再構成できるかを検証する

研究が提案する「校正付き再合成」は、画像が偽物かどうかを直接分類するのではなく、真正性が合理的に否定可能かを判定します。

• 既知の生成器が入力画像を忠実に再構成できれば、合成由来の可能性が残るため認証を控える。
• どの既知の生成器でも忠実な再構成ができなければ、評価範囲内で画像を認証する。
• 校正によってしきい値を設定し、生成画像を本物と誤って認証する割合を事前に定めた範囲へ抑える。

報告された評価では、生成画像の誤認証率を最大1%に抑える設定が可能でした。また、評価対象となった有界な適応型攻撃に対しては、攻撃を想定した校正を行うことで同じ上限を維持しました。ただし、任意の画像変換や将来のすべての攻撃を保証するものではありません。

意義と限界

この方法の重要性は、検出器に絶対的な真偽判定を要求しない点にあります。認証結果は、画像がカメラで撮影されたことや、改ざん不可能な来歴を証明するものではありません。評価対象の生成器と校正条件のもとで、忠実な再構成を確認できなかったという、範囲を限定した判断です。

研究は、生成器の性能向上によって事後検証の余地が縮小することも示しています。3000枚のReddit画像では、2022年の生成器が再構成できなかった画像は1116枚でした。一方、2024年の生成器では55〜79枚に減少しました。生成器が視覚空間をより広く覆えば、内容だけで認証できる画像は少なくなります。

報道、プラットフォーム運営、司法調査では、単一の検出器を最終証拠として扱うべきではありません。対応する生成器の範囲、校正データ、攻撃モデル、そして撮影時点からの来歴記録を組み合わせる必要があります。

出典：Hugging Face Daily Papers