Google hat seinen SynthID Detector für alle geöffnet. Lesen Sie das Kleingedruckte.

Google hat seinen SynthID Detector am 7. Oktober für die Öffentlichkeit geöffnet, sodass jeder eine Bild-, Video- oder Audiodatei auf ein verborgenes KI-Wasserzeichen prüfen kann. Das Portal unter synthid.com ist weltweit auf Englisch live. Melden Sie sich mit einem Google-, OpenAI- oder Apple-Konto an und laden Sie eine Datei hoch.

Dies ist eine echte Verbesserung gegenüber dem vorherigen Zustand, als die einzige Möglichkeit, außerhalb von Googles vertrauenswürdigem Testerprogramm auf SynthID zu prüfen, darin bestand, Gemini zu fragen und zu interpretieren, was auch immer zurückkam. Wasserzeichen zu erkennen, sollte kein Gespräch mit dem Modell erfordern, das sie angewendet hat. Bis diese Woche lag der Detector bei einer Testgruppe aus Journalisten, Medienfachleuten und Forschern, die letztes Jahr auf der Google I/O Zugang erhielten, und die Antwort kam oft als ein Absatz Prosa, wenn man eigentlich nur ein einzelnes Bit wollte.

Wie Skalierung aussieht

Die Zahlen hinter SynthID sind groß. Seit dem Start 2023 hat Google nach eigenen Angaben mehr als 180 Milliarden Bilder und Videos sowie 240.000 Jahre Audioinhalte mit Wasserzeichen versehen. Verifizierungsläufe in der Suche, in der Gemini-App und in Chrome bewältigen jetzt täglich über eine Million Anfragen.

Der Mechanismus ist der interessante Teil. SynthID bettet ein Signal direkt in die Pixel eines Bildes oder Videos und in die Frequenzkomponenten von Audio ein, statt in Metadaten, die entfernt werden können. Bei Bildern und Videos wird das Wasserzeichen im Moment der Erstellung geschrieben und ist darauf ausgelegt, Zuschneiden, Filter, Änderungen der Bildrate und verlustbehaftete Kompression zu überstehen. Bei Audio ist es so konstruiert, dass es zusätzlichem Rauschen, MP3-Kompression und Änderungen der Wiedergabegeschwindigkeit standhält. Das Text-Wasserzeichnen der Gemini-App funktioniert anders: Es passt die Wahrscheinlichkeitswerte an, die das Modell Kandidatenwörtern zuweist, sodass die sichtbare Ausgabe unverändert bleibt.

Dieser Unterschied darin, wo das Signal lebt, ist der Grund, warum SynthID Operationen übersteht, die Metadaten vollständig entfernen. Ein Screenshot, eine Neukodierung und eine Metadaten-Bereinigung entfernen alle Herkunftskennzeichnungen, aber sie entfernen kein Muster, das in die Pixelwerte selbst eingewoben ist. Der Kompromiss ist, dass das Signal auf Pixelebene auch dasjenige ist, das bei aggressiver Transformation am ehesten beschädigt wird, weshalb der Detector nach der höchsten Dateiqualität verlangt, die Sie haben.

Die unterstützten Formate sind vielfältig: JPG, PNG, WEBP, HEIC und mehrere andere Bildtypen; MP4, MOV und WEBM für Video; WAV, MP3, OGG, FLAC, AAC und M4A für Audio.

Die Partnerschaft ist die eigentliche Erweiterung

Der Detector prüfte zuvor nur auf Googles eigenes SynthID. ChatGPT-Bilder trugen ebenfalls SynthID, doch Googles Tool markierte sie nicht. Diese Einschränkung ist weg. Der Detector unterstützt jetzt Wasserzeichen aller SynthID-Partner, darunter OpenAI, NVIDIA und Kakao, wobei Apple bald hinzukommt.

Der praktische Effekt ist, dass ein einziger Upload die Ausgabe mehrerer großer Anbieter identifizieren kann, statt eine separate Prüfung auf der jeweiligen Verifizierungsseite jedes Unternehmens zu erfordern. OpenAI unterhält weiterhin eine eigene Seite, sodass ein mutmaßliches ChatGPT-Bild zwei Stellen hat, an denen man nachsehen kann.

Die Grenzen verdienen gleichermaßen Beachtung

Die Website stellt ausdrücklich klar, dass sie kein allgemeiner KI-Detektor ist, und der Haftungsausschluss ist wichtiger als die Funktion. Sie kann Medien nur von Unternehmen identifizieren, die SynthID übernommen haben. Microsoft und Meta betreiben eigene Wasserzeichen- und Verifizierungsstandards, und keines von beiden erscheint auf der Partnerliste. Metas Detektor wurde bereits dabei erwischt, einige der eigenen zugeschnittenen KI-Bilder zu übersehen.

Dann ist da das Open-Weight-Problem. Jeder kann ein Open-Weight-Modell auf eigener Hardware ausführen und Ausgaben erzeugen, die überhaupt kein Wasserzeichen und keine Metadatenkennzeichnung haben. Solche Inhalte werden im Detector nie auftauchen.

Ein negatives Ergebnis bedeutet daher, dass die Herkunft der Datei unbekannt ist. Es bedeutet nicht, dass die Datei authentisch ist. Sie kann von einem Modell außerhalb des Partnernetzwerks stammen, oder starke Veränderungen können das Signal so beeinträchtigt haben, dass es nicht mehr erkannt wird. Die Website selbst empfiehlt, die höchste verfügbare Qualität hochzuladen und mehrere Datenpunkte zu sammeln, bevor man eine Schlussfolgerung zieht.

Die Website weist außerdem auf den entgegengesetzten Fehlermodus hin, der weniger Beachtung findet. In seltenen Fällen kann der Detector bei Inhalten, die überhaupt kein Wasserzeichen tragen, fälschlich anschlagen. Ein falsch positives Ergebnis ist ein schädlicherer Fehler als ein falsch negatives, weil es jemanden dazu verleitet, ein echtes Foto als synthetisch zu beschuldigen. Beide Fehlerrichtungen existieren, und keine von beiden ersetzt die Prüfung, woher eine Datei stammt.

Der Zugang ist bewusst begrenzt

Das Tool ist kostenlos, aber zugangsbeschränkt. Nutzer erhalten ein tägliches Kontingent von ungefähr 10 Bild-, Video- und Audioprüfungen und müssen angemeldet sein. Google-Ingenieure haben gesagt, dass die Grenze existiert, um zu verhindern, dass Leute die Prüfungen nutzen, um Werkzeuge zum Entfernen von SynthID zu entwickeln. Die Kontingentzahl wird vage beschrieben, weil das System Sie möglicherweise früher aussperrt, wenn Sie viele sehr ähnliche Dateien prüfen. Dieses Muster sieht aus, als würde jemand an einer Umgehung feilen.

Hochgeladene Medien werden in Echtzeit verarbeitet und nach Rückgabe der Ergebnisse gelöscht, so die Datenschutzhinweise, wobei jedoch eine digitale Signatur der Datei 24 Stunden lang aufbewahrt wird, um Kontingente durchzusetzen. Die Bedingungen verbieten das Reverse Engineering der Erkennungslogik, die Automatisierung von Abfragen und das Erstellen mehrerer Konten, um Limits zu umgehen.

Zwei Philosophien der Herkunft

SynthID ist proaktives Wasserzeichnen: die KI-Inhalte kennzeichnen. Der alternative Ansatz besteht darin, stattdessen authentische Inhalte zu kennzeichnen, indem kryptografische Standards wie C2PA verwendet werden, um Herkunftsinformationen im Moment der Aufnahme in Dateien zu signieren. Googles Pixel-Telefone gehören zu den wenigen Geräten, die dies tun.

Die beiden Ansätze scheitern auf unterschiedliche Weise. Wasserzeichnen hängt davon ab, dass der Generator kooperiert, wozu Open-Weight-Modelle keinen Anreiz haben. Kryptografisches Signieren hängt davon ab, dass das Aufnahmegerät kooperiert, was es auf Hardware beschränkt, die die Fähigkeit mitbringt. Keiner von beiden deckt das gesamte Problem allein ab, und die praktische Empfehlung lautet, beide zu nutzen, zusammen mit der wenig glamourösen Arbeit, Quelle, Datum und Kontext zu prüfen.

Es gibt einen strukturellen Grund, warum der Wasserzeichen-Ansatz zuerst ausgeliefert wurde. Er erfordert keine neue Hardware und keine Änderung daran, wie Inhalte konsumiert werden. Er kann mit einem Update nachträglich in bestehende Modelle integriert werden. Kryptografische Herkunft erfordert ein Ökosystem aus Aufnahmegeräten, Bearbeitungswerkzeugen und Viewern, die sich alle auf einen Standard einigen, und dieses Ökosystem ist noch größtenteils Wunschdenken. Der einfachere Weg wurde zuerst gebaut, und der einfachere Weg hat den größeren blinden Fleck.

Dann gibt es die gegnerische Frage, auf die niemand eine gute Antwort hat. Wasserzeichen sind darauf ausgelegt, haltbar zu sein, was nicht dasselbe ist wie unentfernbar. Jedes öffentliche Erkennungstool liefert ein Trainingssignal für jeden, der versucht, es zu besiegen, und genau deshalb begrenzt Google das Kontingent und verbietet automatisierte Abfragen. Der Detector ist nützlich, und der Detector ist zugleich eine Karte für die Leute, die die Markierung löschen wollen.

Was Sie mitnehmen sollten

Das nützliche mentale Modell ist, dass SynthID Ihnen ein starkes Ja und ein sehr schwaches Nein gibt. Ein positiver Treffer deutet auf eine bestimmte Gruppe von Anbietern hin. Ein negativer Treffer sagt Ihnen fast nichts. Wer Letzteren als Unbedenklichkeitsbescheinigung behandelt, verwendet das Tool falsch, und Googles eigene Dokumentation ist diesbezüglich ungewöhnlich offen.

Ein breiterer Zugang zur Erkennung ist ein echter Gewinn für die Medienkompetenz. Der Gewinn ist schmaler, als die Ankündigung es klingen lässt, und die Einschränkungen sind der Ort, an dem der eigentliche Nutzen liegt.