Wenn von KI erzeugte Werke so realistisch aussehen wie echte Objekte, womit können wir dann beweisen, dass es sich um Fälschungen handelt? Dieser Trick ist wirklich knallhart.

Anmerkung der Redaktion: Wir wählen regelmäßig hochwertige Artikel von Matrix aus, um die authentischsten Erfahrungen und Meinungen der Nutzer zu präsentieren. Die Artikel geben die persönliche Meinung des Autors wieder, die Minderheit hat nur geringfügige Änderungen an Titel und Layout vorgenommen.

Hinweis vor dem Lesen: Alle Texte in diesem Artikel wurden von mir selbst verfasst, aber einige Bilder wurden per KI generiert. Jedes Bild trägt einen deutlichen Hinweis auf die KI-Generierung in der Bildbeschreibung (einschließlich Modell und Versionsnummer des Bildgenerators).

Generiert von ChatGPT Images 2.0

Auf dem obigen Bild ist ein KI-generiertes Bild zu sehen. Wären die abgebildeten Figuren nicht so merkwürdig, wäre es selbst bei genauer Betrachtung oder mehrfacher Vergrößerung von Texten und Haarrändern extrem schwer zu erkennen, dass es sich um ein KI-generiertes Bild handelt. Man könnte meinen, es handele sich um eine Parodie von *The Big Bang Theory*.

Einer der „Schuldigen“ ist ChatGPT Images 2.0, das OpenAI im April dieses Jahres veröffentlicht hat. Dieses Modell hat erstmals agentische Denkfähigkeiten in Bildgenerierungsmodelle integriert, wodurch es realistischere und komplexere Lichteffekte erzeugen kann. Noch erschreckender ist, dass es das alte Problem früherer KI-Bildgenerierungsmodelle, „nicht schreiben zu können“, fast vollständig gelöst hat: Die Rendergenauigkeit von Texten auf Schildern, Flyern und Verpackungen in Bildern ist extrem hoch.

Die Wahrheit „Was man mit eigenen Augen sieht, ist wahr“, die die Menschheit seit Tausenden von Jahren verfolgt, ist im Jahr 2026 offiziell ungültig geworden. Wenn die Schwelle zur Fälschung so niedrig ist, dass selbst gewöhnliche Nutzer mit nur wenigen Eingabeaufforderungen fast perfekte Bilder als Beweise erstellen können, ist unser System des visuellen Vertrauens vollständig zusammengebrochen. Glücklicherweise kann eine durch Technologie verursachte Krise immer noch durch Technologie gelöst werden: Einen Monat nach der Veröffentlichung von ChatGPT Images 2.0, am 20. Mai, hat OpenAI eine weitere wichtige Maßnahme angekündigt: die vollständige Einführung des offenen C2PA-Standards und der unsichtbaren Wasserzeichen-Technologie SynthID von Google DeepMind.

C2PA: Der „digitale Personalausweis“ für KI-generierte Bilder

Was ist die intuitivste Methode, um anderen mitzuteilen, dass ein Bild von einer KI generiert wurde? Ein Etikett auf das Bild kleben. Das ist C2PA (Coalition for Content Provenance and Authenticity, Koalition für Herkunft und Authentizität von Inhalten).

Sie haben vielleicht Zweifel: Ist es nicht sehr einfach, die EXIF-Informationen von Bildern zu ändern? Warum braucht man dafür eine eigene Koalition? Software-Ingenieure könnten tatsächlich faul sein und nur die EXIF-Informationen schreiben, um sie den Managern vorzulegen, aber der technische Hintergrund von C2PA ist weitaus komplexer.

PKI (Public Key Infrastructure) und digitale Signaturen

Die zugrundeliegende Architektur von C2PA stützt sich auf die PKI (Public Key Infrastructure), die allen Cybersicherheitsexperten sehr vertraut ist. Nachdem ein KI-Modell ein Bild erzeugt hat, signiert der Server des KI-Anbieters das Bild automatisch mit einem privaten Schlüssel, was dem Bild einen einzigartigen „digitalen Personalausweis“ verleiht. Wenn Sie dieses Bild erhalten, können Sie den vom Anbieter veröffentlichten öffentlichen Schlüssel verwenden, um die Signatur zu überprüfen und zu bestätigen, ob das Bild vom KI-Modell dieses Anbieters erzeugt wurde.

Kettenprotokollierung

C2PA verfügt über ein weiteres Design, das Informationen sehr detailliert aufzeichnen kann: die Kettenprotokollierung. Wenn Sie bei der Bearbeitung eines Bildes mehrere C2PA-kompatible Hardware- oder Softwareprodukte verwenden, werden alle ihre Informationen nacheinander lückenlos aufgezeichnet.

Beispiel: Angenommen, Sie haben ein von ChatGPT Images 2.0 erzeugtes Bild mit C2PA-Signatur, das Sie in Photoshop zugeschnitten haben. Photoshop überschreibt nicht die ursprüngliche Signatur von OpenAI, sondern fügt eine neue Signatur von Adobe hinzu und verknüpft sie mit der ursprünglichen Signatur von OpenAI, um eine unveränderliche „Kette“ aus digitalen Signaturen verschiedener Anbieter zu bilden. Jeder, der dieses Bild betrachtet, kann seinen gesamten Lebensweg klar erkennen: Er stammt aus OpenAI ChatGPT Images 2.0, wurde in Adobe Photoshop bearbeitet, jeder Teil trägt die digitale Signatur des entsprechenden Anbieters. Sobald jemand versucht, einen beliebigen Teil gewaltsam zu löschen oder zu ändern, bricht die gesamte Datenkette ab, was von Überprüfungstools sehr einfach erkannt werden kann.

Es gibt kein absolut sicheres System

Wie alle digitalen Systeme der Welt hat auch C2PA Schwachstellen – es ist auf der Metadatenebene der Datei angehängt, nicht auf der Pixelebene. Wenn Sie ein Bild über soziale Apps wie WeChat, QQ oder Weibo senden, entfernen die Plattformen möglicherweise alle Metadaten und EXIF-Informationen, einschließlich der C2PA-Informationen, um Bandbreite zu sparen.

Sobald das Bild also von der Originaldatei getrennt wird, verliert der „digitale Personalausweis“ von C2PA seine Wirkung vollständig – selbst ein einfacher Screenshot reicht aus, um die gesamte C2PA-Überprüfung zu umgehen.

Dieses Bild wurde aufgenommen, aber das darin geöffnete Bild wurde von ChatGPT Images 2.0 generiert

Um dieser Art von Umgehung entgegenzuwirken, müssen KI-Anbieter eine noch verborgenere und sicherere Technologie einsetzen.

Unsichtbares SynthID-Wasserzeichen: „Die Worte in Stein meißeln“

Luo Zhi zeigte auf die Steintafeln und sagte: „Wir haben alle Speichermethoden ausprobiert: CDs, Festplatten, Flash-Speicher, Quantenspeicher... Die längste Haltbarkeit beträgt nur einige hundert Jahre. Schließlich haben wir festgestellt, dass nur dies mehr als 100 Millionen Jahre überdauern kann.“ Er klopfte an die Steintafel neben sich: „Die primitivste Methode ist am dauerhaftesten.“

„Robuste Steganographie“

Von der Geheimhaltung von Nachrichten durch Tätowierungen auf der Kopfhaut und gewachste Holzplatten im antiken Griechenland, über die Übermittlung von militärischen Informationen mit unsichtbarem „Tinte“ aus Zitronensaft und Mikrofilmen in den Weltkriegen, bis hin zur modernen Versteckung von Informationen in digitalen Bildern mittels diskreter Kosinustransformation – die menschliche Steganographie spielt seit Tausenden von Jahren ein Katz-und-Maus-Spiel mit Erkennungstechnologien.

Im digitalen Zeitalter ändert die herkömmliche Steganographie normalerweise das am wenigsten signifikante Bit (Least Significant Bit, LSB) der Bildpixel. Zum Beispiel wird der RGB-Wert eines Pixels von (0,0,0) auf (1,1,1) leicht angepasst, was das menschliche Auge nicht erkennen kann, aber ein Computer schon.

Das Problem ist jedoch, dass diese „herkömmliche Steganographie“ sehr anfällig ist: Sobald das Bild leicht verlustbehaftet komprimiert wird oder etwas Rauschen hinzugefügt wird, werden alle versteckten Informationen im Bild zerstört. Für KI-generierte Bilder brauchen wir eine robuste Steganographie: Das Wasserzeichen muss auch nach verlustbehafteter Kompression, Screenshots, Zuschnitten, sogar nach Hinzufügen von Filtern und Gaußschem Weichzeichnen noch genau gelesen werden können.

Technisches Prinzip des unsichtbaren SynthID-Wasserzeichens

SynthID ändert nicht einfach grob die Pixelfarben, sondern dringt in den Frequenzbereich des Bildes ein.

Wenn Sie mit Audiobearbeitung vertraut sind, wissen Sie, dass die Fourier-Transformation Ton in Wellen unterschiedlicher Frequenz zerlegen kann (ja, die Fourier-Transformation, die Studenten der Ingenieurwissenschaften Kopfschmerzen bereitet, verfolgt mich immer noch...). Das Gleiche gilt für Bilder: Durch mathematische Transformationen (z. B. diskrete Kosinustransformation) kann ein Bild in Niederfrequenzinformationen (grobe Konturen und Farbflächen) und Hochfrequenzinformationen (Kanten, Texturen und Rauschen) zerlegt werden. Leser, die sich damit nicht so gut auskennen, können sich die beiden folgenden Bilder ansehen.

Das Bild zeigt Niederfrequenzinformationen

Das rechte Bild zeigt Hochfrequenzinformationen, das Bild vor der Bearbeitung wurde von ChatGPT Images 2.0 generiert

Der Algorithmus von SynthID injiziert in einem sehr frühen Stadium der Bildgenerierung leise ein mikroskopisches Rauschen, das für das menschliche Auge unsichtbar ist, in einen bestimmten Hochfrequenzbereich des Bildes. Das ist wie das Hinzufügen von „Ultraschall“ zu einem Lied: Man hört es überhaupt nicht, aber Geräte können es erkennen.

Mechanismus des adversarischen Trainings

Das raffinierteste Design von SynthID ist, dass es adversarisch trainiert wurde. Beim Training des Informations-Injektionsmodells von SynthID haben die Ingenieure von Google DeepMind ein Modell erstellt, das genau das Gegenteil des Injektionsmodells bewirkt: Wenn das Injektionsmodell ein Wasserzeichen hinzufügt, versucht dieses Gegenmodell mit allen Mitteln, das Wasserzeichen zu zerstören – bis zur völligen Überkompression, mit vollem Rauschen, sogar mit anderen KI-Zeichnungsmodellen, um es zu „reinigen“. In diesem Wettbewerb muss das Injektionsmodell seine Strategie zum Einbetten von Wasserzeichen ständig anpassen, bis das Wasserzeichen unabhängig davon, wie das „Gegen-Injektionsmodell“ es manipuliert, immer noch erkannt werden kann. Das ergibt die unvergleichliche Robustheit von SynthID.

Aktueller Stand: Der Wettbewerb zwischen Speer und Schild

Sie haben es bis hierher geschafft – erinnern Sie sich noch an den Titel des dritten Abschnitts des ersten Kapitels dieses Artikels?

Es gibt kein absolut sicheres System.

Gibt es Fälle, in denen die „Prägung“, die Anbieter auf KI-generierten Bilder aufbringen, durchbrochen wurde? Natürlich. Im Bereich der Cybersicherheit erweist sich jedes System, das behauptet, „unmöglich zu knacken“ zu sein, letztendlich als arrogant. Das führt uns zum zweiten Teil des Satzes: Es gibt kein absolut sicheres System, nur einen ständig eskalierenden Wettbewerb.

Schwäche und Unwissenheit sind keine Hindernisse für das Überleben – Arroganz ist es.

Zum Beispiel im April dieses Jahres behauptete ein Entwickler namens @Aloshdenny von GitHub, dass er mit nur mehr als 200 von Gemini generierten Bildern die von SynthID injizierten Wasserzeichen stören könne, „den Dekoder verwirren und ihn dazu bringen, das Lesen aufzugeben“. Google DeepMind hat sofort eine äußerst wirksame Gegenmaßnahme ergriffen: Der Frequenzbereich, in dem das Wasserzeichen eingebettet wird, wird dynamisch geändert, sodass kein Algorithmus das SynthID-Wasserzeichen direkt entfernen kann.

Verfügbare Überprüfungsmethoden für Sie

Gleichzeitig mit der Einführung von C2PA und der unsichtbaren SynthID-Wasserzeichentechnologie hat OpenAI auch ein Überprüfungstool veröffentlicht. Selbst wenn das menschliche Auge es nicht erkennen kann, hilft uns das Tool, „Echtheit von Fälschung zu unterscheiden“.

Und wenn Sie als Urheber beweisen möchten, dass Ihr Werk nicht von einer KI generiert wurde, können Sie den folgenden Weg nutzen:

Aktivieren der Content Credentials-Funktion

Wenn Sie Software von Adobe verwenden, können Sie beim Exportieren Ihrer Werke die Content Credentials-Funktion aktivieren. Sie fügt der exportierten Datei Ihre digitale Signatur hinzu.

Ein „Vorteil“ für Nutzer bestimmter Anbieter

Neue Kameras von Herstellern wie Leica und Sony haben bereits C2PA-S