PP-Mark propõe watermarking de imagens de IA à prova de forja com prova de conhecimento zero
Como detectores de watermark tornam-se vulneráveis a forjas e ataques adversariais no momento em que são publicados para verificação pública, o PP-Mark ancora uma marca d'água estatística leve a uma prova de conhecimento zero do próprio processo de geração, de forma que conteúdo forjado não consiga passar pela verificação completa por construção. Os autores validam formalmente a infalsificabilidade sob premissas criptográficas padrão e testam o esquema contra forja black-box, otimização white-box e ataques de regeneração em dois modelos de difusão latente (SD2.1 e SDXL).
Watermarking é hoje a principal aposta para provar a proveniência de conteúdo gerado por IA e apoiar o combate a deepfakes, mas existe uma tensão inerente no design desses esquemas: para que qualquer pessoa possa verificar uma marca d'água de forma independente, o detector precisa ser público — e, uma vez público, o próprio detector se torna a informação que um atacante precisa para aprender a forjar ou remover a marca.
O PP-Mark resolve essa tensão combinando dois componentes de natureza diferente: um detector estatístico leve, rápido o suficiente para verificação em escala, e uma prova de conhecimento zero que certifica criptograficamente que o processo de embutir a marca seguiu o protocolo correto. O resultado é que, mesmo com o algoritmo de detecção totalmente público, falsificar uma marca sem ter de fato participado do processo de geração original não passa pela verificação completa — a garantia vem de construção matemática, não de obscuridade.
A validação formal de infalsificabilidade sob premissas criptográficas padrão, somada a testes empíricos contra três categorias de ataque — forja sem acesso ao modelo (black-box), otimização adversarial com acesso completo ao sistema (white-box) e tentativas de regenerar a imagem para remover a marca — em dois modelos de difusão latente amplamente usados (SD2.1 e SDXL), dá ao esquema uma base de evidência mais sólida do que watermarks que só mostram robustez empírica sem garantia formal.
Isso importa na prática porque o cenário realista de adoção de watermarking envolve múltiplos verificadores terceirizados — plataformas, reguladores, veículos de imprensa — que precisam confirmar a autenticidade de uma imagem sem depender da boa-fé ou da infraestrutura da empresa que a gerou; um esquema cuja segurança não depende de manter o detector em segredo encaixa melhor nesse cenário de verificação distribuída, embora a generalização para outras modalidades (vídeo, áudio) e o custo da prova de conhecimento zero em produção ainda não estejam testados.