ScrambleMark burla marcas d'água de fala sintética do Google SynthID e outras plataformas comerciais sem removê-las

Marcação d'água (watermarking) em fala sintética é uma das principais defesas propostas para rastrear a origem de áudio gerado por IA e sustentar direitos de autoria e autenticação de conteúdo. Plataformas comerciais como o Google SynthID vêm fechando as brechas que ataques anteriores exploravam: por exemplo, o TrustedAudio restringe a detecção a usuários autenticados e nega qualquer retorno útil de detecção a partes não autorizadas, de forma que um atacante comum não sabe se uma amostra está marcada nem qual técnica de watermark foi aplicada, nem consegue removê-la de forma confiável sem degradar a qualidade do áudio.

A contribuição central do ScrambleMark é uma mudança conceitual no que significa "evadir" uma marca d'água: os autores mostram que não é necessário apagar o padrão embutido, apenas quebrar a consistência estrutural que o detector usa para reconhecê-lo. Eles identificam a estrutura harmônica do áudio como superfície de ataque eficaz, já que perturbá-la rompe essa consistência sem degradar perceptivelmente a qualidade da fala. O ataque combina um motor determinístico, que descobre perturbações harmônicas transferíveis entre diferentes amostras, com um modelo generativo que aprende padrões de "scrambling" aleatorizados, evitando depender de uma regra de ataque fixa que poderia ser detectada e neutralizada por uma defesa adaptativa.

O resultado prático é expressivo: contra três plataformas comerciais reais — Google SynthID, Resemble AI e TrustedAudio — o ScrambleMark foi o único ataque testado capaz de evadir a detecção e manter a fala natural simultaneamente, atingindo cerca de 97% de evasão com avaliação humana de qualidade de 4,2 em 5, muito acima da faixa de 1,1 a 1,7 obtida por ataques anteriores (que degradavam o áudio a ponto de ficar perceptivelmente artificial). O ataque também resiste a tentativas adaptativas de recuperação da marca d'água, o que indica que não se trata de uma brecha pontual facilmente corrigível com um ajuste defensivo simples.

Isso importa na prática porque watermarking de áudio vem sendo apresentado por grandes provedores como uma salvaguarda relativamente madura contra deepfakes de voz, fraudes por telefone e desinformação sintética — e o ScrambleMark demonstra que essa salvaguarda pode ser contornada em regime de caixa-preta total, sem qualquer acesso privilegiado ao detector ou conhecimento do esquema de marca d'água usado, mantendo qualidade de áudio indistinguível do original. Para plataformas que dependem de watermarking como parte de sua resposta a regulações de transparência de conteúdo sintético, o resultado sugere que a defesa de estrutura única (apenas marcar a saída) precisa ser complementada por outras camadas de verificação, já que o pressuposto de que "preservar qualidade exige preservar a marca" se mostrou falso.