Ataque de forjamento quebra marca d'água Tree-Ring de imagens geradas por difusão mesmo sem acesso à chave secreta
Pesquisadores reproduziram, em hardware modesto, o ataque de forjamento "Reprompt" contra a marca d'água semântica Tree-Ring usada em modelos de difusão como o Stable Diffusion XL, conseguindo fazer o detector legítimo aceitar como autênticas imagens que o atacante nunca assinou com a chave secreta do sistema. O resultado reforça que watermarking, cotado como mecanismo de prova de proveniência de conteúdo gerado por IA, pode ser forjado, e não apenas removido, por quem nunca teve acesso ao segredo do esquema.
Tree-Ring é um esquema de marca d'água semântica que embute um padrão detectável no ruído latente inicial de um modelo de difusão, funcionando como mecanismo de prova de proveniência: se o detector encontra o padrão, a imagem é tratada como legitimamente gerada por aquele sistema. Trabalho anterior de Müller et al. já havia demonstrado que esses esquemas podem ser forjados — um atacante sem a chave de watermarking consegue produzir imagens que o detector aceita como watermarked —, e o presente artigo reproduz esse ataque, chamado Reprompt, contra o Tree-Ring rodando sobre o Stable Diffusion XL, usando o código original dos autores.
A reprodução foi feita em hardware bem mais modesto que o estudo original: duas GPUs T4 gratuitas com apenas 14,6 GB de memória utilizável por dispositivo, contra as GPUs A40 usadas no trabalho de referência, o que por si só já é um dado relevante — o ataque não exige infraestrutura cara. Em seis tentativas cobrindo três braços experimentais, o detector aceitou corretamente 6 de 6 imagens genuínas, rejeitou corretamente 0 de 6 imagens limpas (sem marca d'água) como falsos positivos, e aceitou 5 de 6 imagens forjadas como autênticas, com cada ataque levando entre 325 e 332 segundos.
Os pesquisadores foram além da simples reprodução: o detector liberado publicamente calcula uma estatística qui-quadrado não central internamente, mas só devolve o valor de sua CDF; os autores recuperaram a estatística descartada e, com ela, dois escores alternativos que separam melhor imagens forjadas do grupo limpo, com AUC de 0,861 e 0,972 sobre as mesmas dezoito observações. Rodar o SDXL em meia precisão exigiu corrigir chamadas diretas ao autoencoder no pipeline, e uma sonda controlada confirmou que esse ajuste não altera a estatística do detector, dando confiança de que os resultados refletem o ataque em si, não um artefato da adaptação de hardware. Os autores também relatam, com honestidade metodológica, uma previsão que fizeram a partir da leitura do código do detector e que suas próprias medições depois contradisseram.
O caso importa porque watermarking semântico como o Tree-Ring é frequentemente proposto como base técnica para provar que uma imagem foi gerada por IA, detectar deepfakes ou fazer cumprir políticas de plataforma sobre conteúdo sintético. Uma reprodução bem-sucedida do ataque de forjamento em hardware barato e acessível mostra que esse tipo de garantia de proveniência pode ser quebrado por atacantes com recursos limitados, minando tanto a confiabilidade do esquema como prova positiva de autenticidade quanto a confiança geral no mecanismo, já que qualquer imagem forjada aceita pelo detector destrói a premissa de que "passou na verificação" implica "foi gerada legitimamente por aquele sistema".