你这图「保真」吗？AI 生图时代的信息防伪

Matrix精选 2026年07月13日 8 分钟阅读 当 ChatGPT Images 2.0 能够以假乱真，AI 厂商是如何给图像打上「钢印」的？ 主作者 关注 SNbing54 少数派作者 SNbing54 关注 SNbing54 少数派作者 联合作者 关注 SNbing54 少数派作者 SNbing54 关注 SNbing54 少数派作者 8 分钟阅读 微信扫码分享 以图片分享 分享到微博 点击下方按钮可复制链接 分享 收藏 举报 Matrix 首页推荐 Matrix 是少数派的写作社区，我们主张分享真实的产品体验，有实用价值的经验与思考。我们会不定期挑选 Matrix 最优质的文章，展示来自用户的最真实的体验和观点。 文章代表作者个人观点，少数派仅对标题和排版略作修改。 阅前提示 ：本文所有文字内容均由本人写作，但部分图片内容为 AI 生成，每张图片均在图片标注中注释了明显的 AI 生成提示（包括生成图片的模型及版本号）。 由 ChatGPT Images 2.0 生成 上图是一张 AI 生成的图片，如果不是因为颇显离奇的出镜人物，即便你定睛细看、甚至放大数倍观察文字和毛发边缘，也极难看出这是 AI 生成的图片。你可能会认为这是《生活大爆炸》的整活。 1 「罪魁祸首」之一便是 OpenAI 在今年 4 月发布的 ChatGPT Images 2.0，这款模型首次将 Agentic 推理能力引入了图像生成模型中，借此它能够生成更加逼真、复杂的光影效果。更恐怖的是，它几乎彻底攻克了以往 AI 图片生成模型「不会写字」的顽疾，从图像中的招牌、宣传单到包装上的文字，渲染准确率极高。 2 「眼见为实」这句人类奉行了数千年的真理，在 2026 年的今天，正式宣告破产。 当造假门槛低到就连普通人都只需输入几句提示词，就能制造几乎完美的图片作为证据时，我们的视觉信任体系已然樯倾楫摧。幸运的是技术引发的危机，依然可以凭借技术来解决：就在 ChatGPT Images 2.0 发布一个月后的 5 月 20 日，OpenAI 又公开了一项重大举措：全面引入 C2PA 开放标准和来自 Google DeepMind 的 SynthID 隐形水印技术。 C2PA：AI 生成图片的「数字身份证」 要让别人知道一张图是 AI 生成的，最直观的方法是什么？给图片贴个标签。这是 C2PA（Coalition for Content Provenance and Authenticity，内容来源与真实性联盟） 3 正在做的事。 你可能会有些疑问：图片 EXIF 信息的修改不是很容易就能做到吗，为什么还要单独搞一个联盟？代码工程师们确实可以偷懒只写一写 EXIF 信息，然后把代码交上去给大老板们看，但 C2PA 的技术背景要复杂的多。 PKI（公钥基础设施）与数字签名 C2PA 的底层架构，依赖的是网安从业人员非常熟悉的 PKI（公钥基础设施） 。当 AI 模型生成完成一张图像后，AI 厂商的服务器会自动用私钥对图片进行数字签名，这就相当于给了图片一个独一无二 4 的「数字身份证」。当你拿到这张图，可以使用厂商公开的公钥去验证签名，确认这张图片是否是这个厂商的 AI 模型生成的。 链式记录 C2PA 还有一个能够把信息记录得非常详尽的设计：链式记录 。如果你在一张图片的处理过程中使用了多个支持 C2PA 的硬件/软件，它们的所有信息都会一条不落、按照顺序被记录下来。 举个例子：假设你有一张带有 C2PA 签名的由 ChatGPT Images 2.0 生成的图像，你把它放进 Photoshop 里又裁剪了一下，Photoshop 此时不会覆盖掉 OpenAI 的原始签名，而是会增加一条来自 Adobe 的新签名，并将其与 OpenAI 的原始签名链接在一起，形成一条由各厂商数字签名组成的、不可篡改的「链条」。任何人查看这张图时，都能清晰地看到它的一生：出生地是 OpenAI ChatGPT Images 2.0、在 Adobe Photoshop 长大，每一个部分都有对应厂商的数字签名，一旦有人试图用某些手段强行抹除或修改其中任何一个部分，整个数据链条就会断裂，也能非常轻易地被验证工具检测出来。 没有绝对安全的系统 和全世界所有的数字系统一样，C2PA 同样存在弱点——它附加在文件的元数据层而非像素层，所以当你在微信、QQ、微博等社交软件上发送了一张图片，平台为了节省带宽，可能会直接暴力的去除掉所有元数据和 EXIF 信息，包括 C2PA 信息。 所以一旦脱离了原始文件，C2PA 的「数字身份证」作用就彻底失效了——甚至我们只需要像这样截个图，就可以规避掉所有的 C2PA 验证。 本图片为实拍，但本图片中打开的图片由 ChatGPT Images 2.0 生成 为了对付这种脱壳行为，AI 厂商必须祭出另外一个更加隐蔽、安全性也更高的技术。 SynthID 隐形水印：「把字刻在石头上」 罗辑指着那些石碑说，「我们试过所有的存储方式，光盘、硬盘、闪存、量子存储……最长的保质期也不过几百年。最后我们发现，能保存一亿年以上的，只有这个。」他拍了拍身边的石碑，「最原始的方法，反而最持久。」 「鲁棒性隐写术」 从古希腊利用头皮刺青和涂蜡木板隐藏密信，到世界大战中利用柠檬汁隐形「墨水」与微缩胶片传递军情，再到现代利用离散余弦变换在数字图像中隐藏信息，人类的隐写术始终在与检测技术进行着跨越数千年的猫鼠游戏。 在数字时代，传统的隐写术通常是修改图像像素的最低有效位（Least Significant Bit，LSB）。比如将一个像素的 RGB 值从（0,0,0）微调成（1,1,1），人眼分辨不出来，但计算机可以。 但问题就在于这种「传统隐写术」相当脆弱，只要图片被稍微有损压缩一下或者加一点噪点，图片里隐藏的信息就全毁了。针对 AI 生成的图像，我们更需要鲁棒性隐写术，即水印必须在经历有损压缩、截图、裁剪、甚至加上滤镜和高斯模糊后，依然能被准确读取。 SynthID 隐形水印的技术原理 SynthID 不只是简单粗暴地修改像素颜色，它深入到了图像的频域中。 如果你熟悉音频处理机制，就会知道傅里叶变换可以将声音分解为不同频率的波形（是的，让理工科学子头疼的傅里叶还在追我……），图像也是如此。通过数学变换（例如离散余弦变换），图像可以被分解为低频信息（大致的轮廓和色块）和高频信息（边缘、纹理和噪点），不太懂的网友可以看看下面两张图片。 SynthID 的算法会在图像生成的极早期阶段，悄悄地在图像的某个特定高频频段中，注入一种人眼看不到的微观噪声。就像是在一首歌里加入一些「超声波」，你完全听不到，但是仪器能检测到。 对抗性训练机制 SynthID 最精妙的设计在于它经受过对抗性训练。在训练 SynthID 的信息注入模型时，Google DeepMind 的工程师设计了一个和注入模型作用完全相反的模型，注入模型加水印，它就绞尽脑汁的尝试破坏水印：压缩到包浆、加满噪点、甚至用其他 AI 绘图模型来「净化」它。在这样的对抗中，注入模型必须不断调整自己的水印嵌入策略，直到无论这个「反注入模型」怎么折腾水印仍然能被识别，才能造就 SynthID