MarkNull remove marcas d'água de imagens geradas por IA, incluindo o SynthID do Google, sem degradar a qualidade visual

Marcas d'água em imagens geradas por IA — como o SynthID do Google — são hoje um dos principais mecanismos técnicos propostos para rastrear proveniência e sinalizar conteúdo sintético, com aplicação direta em combate a deepfakes e desinformação. O MarkNull ataca justamente essa camada de segurança: os autores mostram que imagens marcadas carregam uma dependência estatística mensurável entre o ruído latente inicial usado no processo de geração e a representação latente final, e exploram essa dependência para desmarcar a imagem sem tocar em pixels de forma perceptível.

Tecnicamente, o ataque formaliza essa dependência através de uma métrica própria (Noise-Latent Alignment Score) e otimiza a representação latente para descorrelacioná-la da marca d'água embutida, preservando a fidelidade semântica da imagem. É um ataque de manipulação on-manifold: em vez de adicionar ruído aleatório na esperança de destruir o sinal do watermark, o que normalmente degrada a imagem visivelmente, o MarkNull se move dentro do espaço latente aprendido pelo próprio modelo gerador, removendo o sinal da marca sem sair da distribuição de imagens plausíveis — daí a ausência de degradação perceptível mesmo com a acurácia de detecção caindo para 53,14%, essencialmente aleatória.

O resultado mais notável é que o ataque generaliza entre paradigmas de watermarking diferentes (pós-processamento, fine-tuning do gerador, e embutimento via ruído inicial) e entre modalidades (imagem e vídeo), além de comprometer com sucesso um sistema real em produção, o SynthID-Image do Google. A variante amortizada, MarkNull-A, destila o ataque para um único forward pass, levando 0,5 segundo por imagem, o que a torna praticável em escala, não apenas uma prova de conceito de laboratório.

Para quem depende de watermarking como controle de segurança — plataformas de mídia social, ferramentas de verificação de fatos, ou requisitos regulatórios de rotulagem de conteúdo sintético — a lição prática é que os esquemas atuais não devem ser tratados como garantia forte de proveniência quando o atacante tem acesso ao próprio sistema gerador ou a um substituto suficientemente próximo. Os autores propõem um mecanismo de detecção do próprio ataque como contramedida, mas isso reabre a corrida armamentista clássica entre marcação e remoção, e reforça que a defesa contra desinformação gerada por IA provavelmente vai exigir camadas adicionais além de watermarking isolado.