Michel Meintz vom SprintML-Lab des CISPA untersuchte, ob sich Wasserzeichen nach dem Training eines weiteren generativen Bildmodells noch erkennen lassen. Dafür erzeugten die Forschenden zunächst markierte Bilder und verwendeten sie als Trainingsdaten für ein zweites Modell. Anschließend prüften sie die Wasserzeichensignale in den Bildern, die dieses Modell neu erzeugte. Die Ergebnisse ihrer Studie „Watermark Degradation Across Model Iterations“ stellten sie beim ACM Workshop on Information Hiding and Multimedia Security in Florenz vor.
Verglichen wurden vier Verfahren: TrustMark, StableSignature, TreeRing und BitMark. Die Tests umfassten Diffusionsmodelle und autoregressive Bildmodelle. Statt einzelne Bilder zu beurteilen, werteten die Forschenden die Signale aus mehreren Bilddatensätzen gemeinsam statistisch aus. Damit sollte erkennbar werden, ob ein Modell auf markierten Daten trainiert worden war.
Die Wasserzeichen hielten unterschiedlich gut: Einige waren nach einem Trainingsdurchlauf nicht mehr nachweisbar, andere blieben länger erhalten. BitMark, entwickelt vom SprintML-Lab, schnitt in den Tests besonders gut ab. Im untersuchten Modell Infinity-2B ließ sich das Signal zuverlässig erkennen, obwohl nur 1 Prozent der Trainingsdaten markiert war. Wie gut ein Wasserzeichen übertragen wurde, hing laut der Studie auch von der Modellarchitektur und dem verwendeten Generierungsverfahren ab.
Die Ergebnisse betreffen eine mögliche Methode, synthetische Bilder in Trainingsdaten aufzuspüren oder herauszufiltern. Laut CISPA kann das relevant sein, wenn KI-generierte Bilder erneut zum Training verwendet werden: Bei wiederholtem Training mit eigenen synthetischen Daten kann die Modellqualität sinken. Eine praktische Hürde entsteht, wenn Anbieter verschiedene Wasserzeichen einsetzen. Dann kann ein Anbieter möglicherweise nur das eigene Verfahren erkennen und markierte Bilder anderer Anbieter übersehen. Ein von mehreren Anbietern nutzbares Wasserzeichen könnte die Erkennung erleichtern; unterschiedliche Anforderungen und Interessen erschweren laut Meintz jedoch eine gemeinsame Lösung.