谷歌AI水印系统SynthID真的被破解了吗？

有一定道理，但也并非完全如此，情况较为复杂。

一位软件开发者声称已对谷歌DeepMind的SynthID系统进行了逆向工程，并展示了如何从生成图像中剥离AI水印，或将其手动嵌入其他作品。对此，谷歌方面表示，该说法并不属实。

这位开发者以用户名"Aloshdenny"为网络身份，已在GitHub上开源了其研究成果，并记录了整个过程。据其描述，这一切只需要200张由Gemini生成的图像、一些信号处理知识，以及"大把闲暇时光"。

"不需要神经网络，不需要专有访问权限，"Aloshdenny在Medium上写道，"事实证明，只要你没有工作，把足够多的'纯黑色'AI生成图像取平均，每一个非零像素就是水印本身，就这么简单。"

SynthID是一套几乎不可见的水印系统，专门为谷歌AI工具生成的内容打上标记，在图像创建之初便将水印嵌入像素层中。该系统在设计上具备高度抗删除性——强行去除水印会明显损伤图像质量。目前，SynthID已被广泛应用于谷歌旗下各类AI产品，包括Nano Banana和Veo 3等模型的输出内容，甚至YouTube上由AI生成的创作者虚拟克隆内容也加载了SynthID水印。

以下是一组对比图：左侧为仍保留SynthID水印的图像，右侧为水印被部分移除、足以欺骗检测器后的效果。两者之间仅有细微的视觉差异，说明去除过程对图像质量的损耗极为有限。

Aloshdenny表示，他认为SynthID是"真正优秀的工程作品"，并坦承在测试中始终无法将水印彻底清除，最终只能采用干扰SynthID解码器读取水印图像的方式来绕过检测。

破解谷歌水印底层机制的过程，对于非开发者而言具有相当的技术门槛。如有兴趣，可前往Aloshdenny的Medium页面阅读完整分析（据称是在特定状态下撰写的）。以下是简化版说明：

第一步，使用Gemini生成200张全黑或纯白图像，增强对比度与饱和度，再对饱和度进行降噪处理，以此暴露水印图案。

第二步，对所有图案取均值，找出每个频率区间、每个通道上水印信号的幅度与相位。

第三步，在目标图像中搜寻这些频率的踪迹，并以水印嵌入时的相同角度，将其部分移除。

"我最多只能做到让解码器产生混乱、令其放弃读取，而不是真正删除水印——这本身就说明它的设计有多出色，"Aloshdenny表示，"它并不完美，但它的目标也不是做到无懈可击，而是将滥用成本提高到让大多数人望而却步的程度。"

笔者尚未亲自测试Aloshdenny这个针对谷歌SynthID水印系统的逆向工程项目，因此无法对其实际效果作出保证。就目前情况而言，SynthID似乎并未真正意义上被破解——至少还没有到任何人都能下载工具、一键去除或伪造谷歌水印以欺骗AI检测系统的程度。谷歌方面同样不认可Aloshdenny的相关声明。

"声称该工具可以系统性地去除SynthID水印，这种说法是错误的，"谷歌发言人Myriam Khan向The Verge表示，"SynthID是一套针对AI生成内容的强健、高效水印工具。"

Q&A

Q1：SynthID是什么？它是如何工作的？

A：SynthID是谷歌DeepMind开发的一套近乎不可见的AI内容水印系统。它在图像生成之初便将水印直接嵌入像素层，设计上具备高度抗删除性——强行去除会明显损伤图像质量。目前，SynthID已被广泛部署于谷歌旗下AI产品，包括Nano Banana、Veo 3等模型的输出内容，以及YouTube上的AI生成虚拟克隆内容。

Q2：Aloshdenny是如何尝试破解SynthID的？

A：Aloshdenny使用Gemini生成了200张纯黑或纯白图像，通过增强对比度、饱和度并进行降噪处理来暴露水印图案，再对图案取均值找出水印信号的频率特征，最终在目标图像中定位并部分移除相关频率。整个过程不涉及神经网络或专有访问权限，仅依赖信号处理技术。

Q3：SynthID有没有被彻底破解？

A：目前来看没有。Aloshdenny本人也承认，其最多只能干扰SynthID解码器使其放弃读取，而无法将水印彻底删除。谷歌发言人也明确表示，该工具无法系统性地去除SynthID水印，SynthID仍是一套针对AI生成内容的强健有效的水印工具。