(C) unter Verwendung eines Motivs von Andrei Suslov / 123RF.com
In einem Talk auf der Conference on Computer Vision and Pattern Recognition (CVPR 2025) vor Kurzem in Nashville, Tennessee, konnten Forscher der Ruhr Universität Bochum zeigen, dass sich Wasserzeichen in Bildern überraschend leicht manipulieren lassen.
Wasserzeichen werden vor allem auch dafür benutzt, KI-generierte Bilder als solche zu kennzeichnen, da sie sich durch bloßen Augenschein kaum mehr von echten Fotos unterscheiden lassen.
Eine erste Form des Angriffs, die sogenannte Imprinting Attack, erlaubt es, das Wasserzeichen eines KI-generierten Bildes auf ein echtes Foto zu übertragen, das damit wie ein Fake-Bild wirkt.
Bei der zweiten Methode, dem Reprompting-Angriff, wird die Möglichkeit ausgenutzt, ein mit einem Wasserzeichen versehenes Bild in den latenten Raum zurückzuschicken und es dann mit einem neuen Prompt zu regenerieren. So entstehen beliebige neu generierte Bilder, die das gleiche Wasserzeichen tragen.
Die Forscher bezeichnen es als alarmierend, dass beide Angriffe nur ein einziges Referenzbild benötigen, das das Zielwasserzeichen enthält. Sie lassen sich auf verschiedenen Modellarchitekturen ausführen und funktionieren sowohl auf älteren, UNet-basierten Systemen genauso wie auf neueren Diffusionsmodellen. Diese modellübergreifende Flexibilität macht die Schwachstellen besonders bedenklich. Es stellt sich die Frage, wie KI-generierte Bilder in Zukunft zuverlässig gekennzeichnet werden können. Der gegenwärtige Ansatz mit semantischen Wasserzeichen muss jedenfalls überdacht werden.
