Il watermark SynthID di Google promette di riconoscere i contenuti generati dall’intelligenza artificiale, ma la realtà è più complicata di quanto sembri. La quantità di immagini e video prodotti dalle macchine ha ormai proporzioni difficili da immaginare. Per farsi un’idea basta un dato curioso messo insieme da Starling Lab, laboratorio nato dalla collaborazione tra Stanford e la University of Southern California, secondo cui l’umanità ci ha messo 149 anni dall’invenzione della fotocamera per arrivare a 1,5 miliardi di immagini. La AI generativa ha replicato lo stesso numero in appena 18 mesi. E non si è fermata lì.
Durante la conferenza I/O di questa primavera, Google ha raccontato che i suoi strumenti sono stati usati per creare oltre 100 miliardi tra immagini e video in un paio d’anni. E Google, va detto, è solo una delle tante sorgenti in circolazione. Insieme a questo numero da capogiro l’azienda ha annunciato una serie di collaborazioni per estendere l’uso di SynthID, la tecnologia che serve a etichettare i contenuti creati dalle macchine e, in teoria, ad aiutare le persone a distinguere il vero dal finto.
Un marchio quasi indelebile
Oggi ci sono due strade per etichettare i contenuti AI. Da un lato i watermark invisibili come SynthID, dall’altro gli schemi di metadati come lo standard C2PA della Coalition for Content Provenance and Authenticity. Google usa entrambi, ma C2PA non nasce per nascondersi dentro l’immagine. È crittograficamente sicuro, quindi non lo puoi falsificare, però basta pochissimo per eliminarlo. Un ritocco, un salvataggio, uno screenshot e sparisce.
I watermark come SynthID invece vivono dentro i pixel di un’immagine o di un video, oppure dentro l’onda sonora di un audio. I contenuti che girano in rete si rovinano con la compressione, i ridimensionamenti, le modifiche continue. Eppure Google sostiene che SynthID resista anche nei meme più consumati. Pushmeet Kohli, scienziato di Google DeepMind, ha spiegato che il team ha lavorato molto proprio su questo punto. “Durante tutto lo sviluppo abbiamo dato per scontato che una tecnologia del genere sarebbe stata attaccata”, ha raccontato. Filtri, ritagli, trasformazioni di ogni tipo sono stati usati per rendere il rilevatore più solido possibile.
Google però è sempre stata avara di dettagli tecnici su come funziona davvero SynthID. Per questo vale la pena mettere alla prova le sue affermazioni. Test simulati di compressione e ridimensionamento ripetuti, portati avanti centinaia di volte su immagini generate con Nano Banana Pro, hanno mostrato che dopo 300 cicli il watermark era ancora lì. Anche uno screenshot dell’immagine intera manteneva il marchio, perché i pixel speciali si trasferiscono nel nuovo file.
Dove SynthID inizia a cedere
Il limite però esiste. Dopo quei 300 cicli di compressione, ritagliare appena il 20 percento del bordo è bastato a rendere SynthID non rilevabile. Con un taglio del 50 percento il watermark salta anche prima, intorno alle 250 iterazioni. Il punto è che a quel punto le immagini sono già poltiglie irriconoscibili, quindi la degradazione naturale non è un vero grimaldello. I problemi seri sono altri. SynthID non è l’unica tecnologia del genere. Meta ha rilasciato di recente il suo Content Seal, ma è emerso che spesso bastava un ritaglio per farlo sparire. E lo stesso paper originale di Google ammette che il watermark non è pensato per reggere agli attacchi mirati. Qualcuno ha già sostenuto di aver bucato SynthID, anche se né i test indipendenti né lo stesso team di Kohli sono riusciti a replicare quei presunti trucchi.
C’è poi la questione dell’accesso. Non esiste una API pubblica né una pagina web per verificare. Bisogna chiedere a Gemini di chiamare il verificatore, con un limite di circa 10 controlli al giorno che scatta ancora prima se si caricano immagini troppo simili. E la frammentazione peggiora tutto: OpenAI e Runway usano la stessa tecnologia di base, ma i watermark sono diversi. Il rilevatore di Google non riconosce quello di OpenAI, e viceversa. Un portavoce di Google ha ammesso che l’esperienza è tutt’altro che ottimale e ha parlato di piani per rendere la verifica più unificata e interoperabile.