<<Google SynthID 不可見 AI 來源浮水印之韌性評估：從傳統訊號處理、生成式重建至潛在空間轉換之實證研究 >>

Robustness Evaluation of Google SynthID Invisible AI Provenance Watermarks: An Empirical Study from Conventional Signal Processing to Generative and Latent-Space Transformations

研究類型：生成式人工智慧安全、數位浮水印、內容來源驗證、數位鑑識與資訊安全

研究原型系統：https://jplopsoft.idv.tw/utility_clear_jpg_ai_info.php

一、摘要

隨著生成式人工智慧大量應用於影像生成與影像編輯，人工智慧生成內容之來源辨識、可信度以及數位內容溯源逐漸成為資訊安全與數位鑑識的重要研究議題。Google DeepMind 所提出之 SynthID，透過在人工智慧生成內容中嵌入人類不易感知但可由特定驗證機制辨識之數位訊號，作為辨識 Google 人工智慧生成或修改內容的重要內容來源技術。相較於可被直接裁切或覆蓋的可見浮水印，不可見式人工智慧浮水印必須同時兼顧不可感知性、內容品質、可辨識性與對常見內容轉換之韌性。

本研究以 Google SynthID-Image 為主要研究對象，從資訊安全與紅隊韌性測試角度，建立一套不可見式人工智慧浮水印之系統化驗證架構。研究方法將可能影響浮水印辨識能力之內容轉換方式區分為傳統訊號處理、壓縮與重新取樣、幾何轉換、頻率域處理、對抗式擾動、生成式重建、局部語意重建、Novel-view Synthesis 與 Latent-space Transformation 等類別，並以處理前後之 SynthID 偵測結果、影像品質、視覺相似度與語意一致性作為評估指標。

本研究另完成一套 Web-based Proof-of-Concept 實驗平台，用以執行研究樣本之轉換與驗證流程。先導實驗顯示，在研究者控制之測試樣本中，部分原先可辨識 SynthID 訊號之影像，經特定內容轉換後可能產生驗證結果下降或未檢出之現象，說明不可見浮水印除了面對傳統壓縮與影像處理外，也必須考量生成式重新表示與潛在空間轉換所形成之新型威脅。

然而，本研究特別區分 Detection Evasion 與真正的 Watermark Removal。當驗證器無法辨識浮水印時，僅能證明特定驗證條件下之偵測失效，不能僅依單一 Negative Detection 結果推論底層浮水印資訊已完全消失。本研究因此提出以 Detection Rate、Detection Evasion Rate、SSIM、PSNR、LPIPS、語意相似度以及 Quality-Evasion Pareto Frontier 共同評估 SynthID 韌性，使不可見人工智慧浮水印之安全評估不再侷限於單一「成功或失敗」結果。

Keywords

SynthID、Digital Watermark、Generative AI、AI-generated Image、Content Provenance、Detection Evasion、Robustness Evaluation、Latent Space、Digital Forensics、Adversarial Machine Learning

二、Abstract

The rapid adoption of generative artificial intelligence for image generation and editing has made content provenance, authenticity, and forensic attribution increasingly important research topics. Google DeepMind's SynthID embeds imperceptible signals into AI-generated or AI-edited content and provides a mechanism for identifying content produced by supported Google AI systems. Unlike visible watermarks that can be directly cropped or overlaid, invisible AI provenance watermarks must simultaneously maintain perceptual fidelity, detectability, robustness, and resistance to content transformations.

This study investigates the robustness of Google SynthID-Image from an information-security and red-team evaluation perspective. A systematic evaluation framework is constructed to classify potential watermark-impacting transformations into conventional signal processing, compression and resampling, geometric transformation, frequency-domain processing, adversarial perturbation, generative regeneration, semantic partial reconstruction, novel-view synthesis, and latent-space transformation. SynthID detection outcomes before and after transformation are jointly evaluated with perceptual quality and semantic similarity metrics.

A Web-based proof-of-concept evaluation platform was also implemented to support controlled experiments. Preliminary observations indicate that, for selected researcher-controlled samples, certain transformations can cause initially detectable watermarked images to become less detectable or undetected by the tested verification workflow while retaining substantial visual content. These observations are consistent with recent research showing that modern watermark robustness must consider not only conventional pixel-space distortions but also generative reconstruction and latent-space transformations.

Importantly, this study distinguishes detection evasion from complete watermark removal. A negative detector response demonstrates only that the tested detector failed under a particular condition and does not, by itself, prove that all underlying watermark information has been physically eliminated. Accordingly, Detection Rate, Detection Evasion Rate, PSNR, SSIM, LPIPS, semantic similarity, and quality-evasion Pareto analysis are proposed as complementary evaluation metrics. The resulting framework provides a reproducible methodology for studying the practical limitations and future design requirements of invisible provenance watermarking systems.

Keywords

SynthID; Digital Watermark; Generative Artificial Intelligence; Content Provenance; Detection Evasion; Robustness Evaluation; Latent Space; Digital Forensics

三、研究背景

近年生成式人工智慧已能建立具有高度視覺真實感的影像、影片、聲音與文字，使人工智慧產生內容與自然人創作內容之間的辨識難度持續提高。內容來源驗證因此逐漸成為人工智慧治理、網路平台安全、數位新聞查核及數位鑑識的重要技術問題。

Google DeepMind 自 2023 年起推動 SynthID，並逐步延伸至影像、影片、音訊及文字。Google 於 2026 年公布之資料指出，SynthID 已被整合至大規模生成式媒體服務，累計標記超過一千億張影像與影片內容以及相當於數萬年的生成音訊，使其成為目前最具規模之人工智慧內容來源浮水印技術之一。

SynthID-Image 之技術研究指出，大規模不可見浮水印必須同時處理 Effectiveness、Fidelity、Robustness 與 Security 等問題。官方設計亦將壓縮、裁切、濾鏡以及其他常見影像轉換納入韌性需求。因此，僅以 JPEG 重新壓縮、改變解析度或簡單濾鏡評估現代人工智慧浮水印，已不足以完整描述其安全性。

另一方面，近年學術研究逐漸證明，生成式模型本身亦可能成為重新建立影像 representation 的工具。例如 Regeneration Attack、Controllable Regeneration、Semantic Partial Regeneration、Novel-view Synthesis 與 On-manifold Latent Manipulation 等研究，皆顯示「保持主要內容但重新建立影像訊號」是一項不同於傳統影像破壞的新型威脅模型。

因此，現代不可見浮水印韌性評估之核心問題，已逐漸從「浮水印能否抵抗 JPEG 壓縮」轉變為「攻擊者是否能在保留視覺與語意內容的情況下，重新建立一個與原內容高度相似、但與原浮水印統計訊號失去關聯的新內容實例」。

四、研究動機

目前一般使用者對不可見人工智慧浮水印之理解，經常停留於 EXIF、Metadata、JPEG 標記或簡單像素資訊，因此網路討論中經常將移除 Metadata、重新截圖、重新壓縮或格式轉換直接等同於「移除 AI 浮水印」。然而，SynthID 並非單純依賴 EXIF 或普通檔案 Metadata，其核心問題應由浮水印訊號與驗證器的偵測能力進行評估。

此外，學術文獻中存在多種不同浮水印系統與攻擊模型，不同研究使用的資料集、Detector、影像品質指標與威脅模型並不完全一致，使不同研究之成果不容易直接比較。

本研究因此希望建立一個統一的測試流程，使用相同來源影像，同時執行傳統處理與較新型生成式轉換，並在相同驗證框架下比較其 Detection Evasion 與內容品質，以回答「哪些方法只是在破壞圖片」、「哪些方法可能真正形成高品質 Detection Evasion」以及「何種威脅模型值得未來 SynthID 類系統優先防禦」等問題。

五、研究目的

建立一套可重複執行之 SynthID-Image 韌性評估流程。
比較一般影像處理與生成式內容轉換對 SynthID Detection Rate 之影響。
分析 Pixel-space、Frequency-domain 與 Latent-space 方法之差異。
評估 Detection Evasion 與視覺品質損失之取捨關係。
建立 Detection Evasion、Watermark Removal 與 Watermark Forgery 三者之明確定義。
建立 Web-based Proof-of-Concept 研究平台，驗證研究架構之可實作性。
提出未來不可見 AI Provenance Watermark 在新型生成式威脅下之安全設計方向。

六、研究問題

編號	研究問題
RQ1	不同影像轉換方法是否對 SynthID Detection Rate 產生顯著差異？
RQ2	生成式重建是否較傳統壓縮及像素處理具有較高 Detection Evasion 能力？
RQ3	Latent-space 類方法能否在較高內容保真度下造成浮水印偵測能力下降？
RQ4	Detection Evasion Rate 與影像品質之間是否存在可量化的 Trade-off？
RQ5	單一 Detector 的未檢出結果是否足以推論浮水印已完全移除？

七、研究方法

7.1 研究設計

本研究採控制實驗法與重複量測設計。每一張原始測試影像均首先確認其 SynthID Baseline Detection 狀態，再由同一張影像產生不同內容轉換版本。由於各實驗組使用相同 Source Image，因此可以降低不同圖片內容、紋理與語意差異所造成的干擾。

AI Generated Image
        |
        v
Baseline SynthID Verification
        |
        v
Immutable Original Sample
        |
        +-----------------------------+
        |             |               |
        v             v               v
 Conventional    Generative      Latent-space
 Processing      Reconstruction  Transformation
        |             |               |
        +-------------+---------------+
                      |
                      v
             Post-processing Detection
                      |
          +-----------+-----------+
          |           |           |
          v           v           v
       Detection     Visual      Semantic
       Result        Quality     Fidelity
          |           |           |
          +-----------+-----------+
                      |
                      v
              Robustness Analysis

7.2 威脅模型

Threat Model A：一般內容處理者。研究者不知道浮水印金鑰、模型權重及嵌入方式，只能對輸入影像進行一般內容處理。

Threat Model B：Black-box Evaluator。研究者無法存取浮水印模型，但可取得驗證結果，並比較內容轉換前後之 Detection Outcome。

Threat Model C：Model-assisted Adaptive Evaluator。研究者可使用公開影像模型、生成模型、語意模型或替代模型建立內容轉換，但仍無法取得 Google 實際 SynthID secret key 或 production watermark model。

7.3 實驗樣本

正式實驗建議建立至少 1,000 張可確認具有 SynthID 的人工智慧生成或修改影像。資料應涵蓋人物、動物、自然景觀、都市與建築、產品、食品、插畫以及高複雜度場景，以避免研究結果只反映單一圖片類別。

類型	建議比例
人物	20%
自然與動物	20%
都市與建築	15%
產品與食品	20%
藝術、插畫與複雜場景	25%

7.4 內容轉換類型

分類	研究方向	目的
A	壓縮、Resize、Crop、Filter、Noise、Brightness、Contrast	建立 Conventional Baseline
B	Rotation、Perspective、Resampling、Local Deformation	測試 Spatial Alignment Robustness
C	Frequency-domain Transformation	比較訊號頻率變換影響
D	Adversarial / Transfer Perturbation	研究 Detector Evasion 與 Transferability
E	Generative Regeneration	重新建立影像 representation
F	Partial / Semantic Reconstruction	在保留主要語意下改變部分訊號
G	Novel-view / Latent-space Transformation	研究新型生成式與潛在空間威脅

7.5 處理強度

各方法不得只測試單一參數，而應至少建立 Original、Low、Medium、High 四個 Level。不同演算法之參數尺度並不相同，因此不宜直接以數值大小比較，而應進一步以 SSIM、LPIPS 或其他 Perceptual Quality 指標對影像品質損失進行標準化。

7.6 評估指標

Detection Rate：

DR = N_detected / N_total × 100%

Detection Evasion Rate：

DER = N(originally detected and subsequently undetected)
      / N(originally detected) × 100%

影像品質部分建議同時使用 PSNR、SSIM 與 LPIPS。PSNR 可衡量像素失真程度；SSIM 評估亮度、對比與結構相似性；LPIPS 則利用深度特徵評估 Perceptual Difference。若生成式重建造成像素差異較大，但圖片語意仍高度一致，可再加入 CLIP Cosine Similarity 或其他 Image Embedding Similarity 指標。

7.7 Detection Evasion 與 Watermark Removal 定義

Detection Evasion:
D(original) = Positive
D(processed) = Negative

Watermark Removal:
底層原始 watermark information 已實際失去可恢復性。

Watermark Forgery:
原本沒有特定 watermark 的內容，
經操作後被 detector 誤判為具有該 watermark。

因此，本文不將單一次 Negative Detection 直接稱為「完全去除 SynthID」，而以 Detection Evasion 作為主要實驗術語。此區分對數位鑑識尤其重要，因為 Detector Failure 與 Signal Absence 在證據意義上並不相同。

7.8 統計分析

若 SynthID 結果為 Positive 與 Negative 之二元資料，可使用 McNemar Test 分析同一影像處理前後是否存在顯著差異；多組 paired binary conditions 可使用 Cochran's Q Test。若可以取得連續 Detector Score，則依資料分布使用 Repeated Measures ANOVA 或 Friedman Test。

進一步可建立 Logistic Regression 或 Generalized Linear Mixed Model，以 Evasion Outcome 為應變數，Transformation Family、Transformation Strength、SSIM、LPIPS 與 Semantic Similarity 為自變數，並將 Source Image 設定為 Random Effect。多重比較應採 Holm 或其他校正方法控制 Family-wise Error。

八、研究結果

8.1 Proof-of-Concept 實作結果

本研究已依據前述研究分類完成 Web-based Proof-of-Concept 實作。研究原型可供研究者上傳自行控制之測試圖片，執行不同類型之內容轉換並產生處理後樣本，以供後續 SynthID Verification 與品質分析。

依研究者目前完成之先導測試，多類內容轉換均已能實際執行，部分原先可被 SynthID 驗證流程辨識之測試圖片，在處理後產生驗證結果下降或未檢出現象，說明本研究提出之攻擊面分類具有實際可實作性，而非僅停留於理論推論。

九、研究發現

不可見 AI 浮水印之韌性不能只以 Metadata Removal 或檔案格式轉換判斷。
傳統 JPEG、Resize、Crop、Filter 等方法仍適合作為 Baseline，但不足以代表現代浮水印最強威脅。
生成式重建改變的不是單一像素，而是重新建立內容 representation，因此形成與傳統破壞不同的威脅模型。
Semantic Reconstruction 顯示浮水印系統不能只考量圖片是否「看起來相同」，亦須考量重新生成後之訊號統計關係。
2026 年 RAVEN 與 MarkNull 類研究進一步顯示 Novel-view 與 Latent-space manipulation 已成為不可忽略的研究方向。
真正具安全意義的攻擊不是單純讓 Detector Failure，而是在維持高 Perceptual Fidelity 與 Semantic Fidelity 的前提下形成 Detection Evasion。
Detector Negative 不等於 Watermark Signal 已物理消失，因此研究論文應避免將單一偵測失敗過度描述為「完全移除」。

十、研究貢獻

將分散於不同文獻中的浮水印攻擊方式整合成一致之研究分類架構。
以 Google SynthID-Image 為實際大型 AI Provenance Watermark 案例進行研究。
將 Detection Evasion 與 Image Fidelity 納入同一套評估架構。
完成 Web-based Proof-of-Concept，證明研究架構具有工程可實作性。
提出 Detection Evasion、Removal 與 Forgery 三層次分類，以提升數位鑑識研究用語之精確性。

十一、未來可延伸研究

11.1 大規模自動化 Benchmark

未來可將目前 Web PoC 擴充為批次實驗平台，自動產生不同 Transformation Level、計算品質指標、保存 SHA-256 與產生 CSV/JSON 實驗資料，以支援數千張以上圖片之統計分析。

11.2 Detector Ensemble

未來應避免只依單一驗證介面判斷結果。如研究條件允許，可使用不同時間、不同驗證器版本或多個合法 Detector 建立 Ensemble Verification，以降低單一服務版本或 Threshold 所造成的偏差。

11.3 Watermark Re-detection

若未來可以取得更細緻 Detector Score，可研究處理後再經第二次內容轉換時 watermark signal 是否重新變得可偵測，以區分真正 signal destruction 與 temporary detector evasion。

11.4 Video、Audio 與 Text

SynthID 已擴展至影像以外之內容，因此可將相同 Robustness Framework 延伸至影片重新編碼與生成式重建、音訊訊號處理與 Re-synthesis，以及 SynthID-Text 面對 Paraphrasing、Back-translation 與 Semantic Rewriting 時之韌性。

11.5 攻擊偵測與防禦

除了研究如何使 watermark detector 失效之外，更值得延伸之研究是辨識影像是否經過異常 Regeneration 或 Latent Manipulation。例如建立 transformation detector、watermark consistency score 或多層 provenance evidence，使未來 AI Content Provenance 不必只依賴單一不可見浮水印。

十二、研究倫理與限制

不可見浮水印具有 AI 內容來源辨識與防止誤導之用途，因此 Robustness Evaluation 具有 Dual-use 特性。本研究應限定於研究者自行生成、合法取得或具有測試權限之資料，不應用於冒充特定自然人、詐欺、假訊息散播或掩飾惡意生成內容來源。

公開論文應完整揭露威脅模型、測試環境、資料集、測量指標與研究限制，使結果可被學術界驗證；但不應將單一測試成功結果描述為對所有 SynthID 版本、所有圖片及所有 Detector 均具有普遍有效性。

十三、參考文獻

Google DeepMind, “SynthID,” Google DeepMind. https://deepmind.google/models/synthid/
S. Dathathri et al., “Scalable watermarking for identifying large language model outputs,” Nature, Vol. 634, 2024. https://doi.org/10.1038/s41586-024-08025-4
S. Gowal et al., “SynthID-Image: Image Watermarking at Internet Scale,” arXiv:2510.09263, 2025. https://arxiv.org/abs/2510.09263
Google DeepMind, “Tools to understand how content was created and edited,” May 19, 2026. https://deepmind.google/blog/making-it-easier-to-understand-how-content-was-created-and-edited/
X. Zhao et al., “Invisible Image Watermarks Are Provably Removable Using Generative AI,” arXiv:2306.01953. https://arxiv.org/abs/2306.01953
Y. Hu, Z. Jiang, M. Guo, and N. Gong, “A Transfer Attack to Image Watermarks,” International Conference on Learning Representations, 2025. https://arxiv.org/abs/2403.15365
Y. Liu, Y. Song, H. Ci, Y. Zhang, H. Wang, M. Z. Shou, and Y. Bu, “Image Watermarks are Removable Using Controllable Regeneration from Clean Noise,” International Conference on Learning Representations, 2025. https://arxiv.org/abs/2410.05470
K. Tallam, J. K. Cava, C. Geniesse, N. B. Erichson, and M. W. Mahoney, “Removing Watermarks with Partial Regeneration using Semantic Information,” arXiv:2505.08234, 2025. https://arxiv.org/abs/2505.08234
F. Shamshad, N. Lukas, and K. Nandakumar, “RAVEN: Erasing Invisible Watermarks via Novel View Synthesis,” arXiv:2601.08832, 2026. https://arxiv.org/abs/2601.08832
J. Cao, Q. Li, Z. Zhang, X. Wu, L. Liu, X. Li, and J. Ni, “MarkNull: Model-Agnostic Watermark Removal in AI-Generated Images via On-Manifold Latent Manipulation,” arXiv:2608.10166, 2026. https://arxiv.org/abs/2608.10166
X. Han et al., “Robustness Assessment and Enhancement of Text Watermarking for Google's SynthID,” arXiv:2508.20228, 2025. https://arxiv.org/abs/2508.20228
Google DeepMind, “SynthID Detector: A New Portal to Help Identify AI-Generated Content,” May 20, 2025. https://deepmind.google/blog/synthid-detector--a-new-portal-to-help-identify-ai-generated-content/
S. R. Tamim and A. L. Khan, “AI Watermark Evidence Fails Forensic Readiness: An Empirical Evaluation,” arXiv:2607.16010, 2026. https://arxiv.org/abs/2607.16010

附件 A：完整研究實驗步驟

A.1 樣本建立

建立研究者自行控制之 AI-generated image。
記錄生成日期、來源模型、解析度、格式與檔案大小。
對原圖計算 SHA-256。
使用合法 SynthID 驗證流程確認 Baseline Detection。
Baseline 無法確認者另行標記，不混入主要 Detection Evasion 分母。
將原圖以唯讀方式保存，所有後續處理均由副本產生。

A.2 傳統影像處理測試

建立 JPEG Recompression 實驗組。
建立 Resize 與重新取樣實驗組。
建立 Crop 後重新調整尺寸之實驗組。
建立 Blur、Sharpen、Noise Reduction 等 Filter 實驗組。
建立 Brightness、Contrast、Gamma、Saturation 等色彩處理組。
所有方法至少區分 Low、Medium、High 三個強度。
每次輸出均重新計算 Hash 並記錄處理參數。

A.3 幾何與頻率域測試

建立 Rotation、Scaling、Perspective 與 Resampling 測試樣本。
建立低頻、高頻及不同程度 Frequency Filtering 實驗組。
研究過程不預設 SynthID 一定位於某特定頻帶，而採 Black-box Comparative Evaluation。

A.4 對抗式與 Transfer 類實驗

定義 White-box、Black-box 與 No-box / Transfer 三種能力層級。
研究重點應為小幅內容擾動是否能影響 Detection Outcome，而不是單純增加大量隨機雜訊。
若使用 Surrogate Model，必須記錄其模型來源、版本與訓練資料來源。
同時記錄 Detection Result 與 LPIPS、SSIM，避免以明顯破壞內容方式取得虛假的高成功率。

A.5 Generative Regeneration 實驗

以原始 watermarked image 作為內容參考。
擷取或保留主要語意、構圖或空間資訊。
利用生成模型重新建立影像 instance。
產生不同 regeneration strength，以分析影像一致性與 Detection Evasion 之 Trade-off。
每個輸出均進行 SynthID Detection、SSIM、LPIPS 與 Semantic Similarity 評估。

A.6 Semantic / Partial Regeneration 實驗

識別圖片中的主要前景物件與背景區域。
建立不同區域比例之 Partial Reconstruction。
比較只改變背景、局部區域與全圖 regeneration 之差異。
加入 foreground-specific SSIM 或 masked SSIM，以避免背景改變掩蓋主要物件保真程度。

A.7 Novel-view 與 Latent-space 實驗

將 Novel-view Synthesis 視為與普通 Pixel Manipulation 不同的研究 family。
比較同一語意場景在不同 representation 下之 watermark detectability。
Latent-space 實驗應完整記錄使用模型、模型版本、Seed 與輸出 Hash。
避免僅挑選成功案例，所有成功與失敗結果均應納入統計。
比較 Latent-space 與相同品質區間之 Pixel-space 方法，以判斷是否存在顯著優勢。

A.8 每一張圖片的完整紀錄欄位

Sample_ID
Source_Model
Generation_Date
Source_Category
Original_File_Name
Original_SHA256
Original_Width
Original_Height
Original_File_Size
Baseline_SynthID_Result
Transformation_Family
Transformation_Method
Transformation_Level
Transformation_Parameters
Random_Seed
Output_SHA256
Output_File_Size
Detection_After
Detector_Date
Detector_Version_or_Interface
PSNR
SSIM
LPIPS
Semantic_Similarity
Human_Quality_Score
Detection_Evasion
Notes

附件 B：建議之正式實驗操作流程

[01] 建立合法研究樣本
          |
          v
[02] 計算 Original SHA-256
          |
          v
[03] Baseline SynthID Verification
          |
          +---- Negative / Uncertain ----> 分開記錄
          |
       Positive
          |
          v
[04] Conventional Transformation
[05] Geometric Transformation
[06] Frequency-domain Transformation
[07] Adversarial / Transfer Evaluation
[08] Generative Regeneration
[09] Semantic Partial Reconstruction
[10] Novel-view / Latent-space Evaluation
          |
          v
[11] 每個輸出重新驗證 SynthID
          |
          v
[12] 計算 SHA-256 / PSNR / SSIM / LPIPS
          |
          v
[13] 計算 Semantic Similarity
          |
          v
[14] 儲存所有成功與失敗結果
          |
          v
[15] 建立 Master Dataset
          |
          v
[16] McNemar / Cochran Q / Friedman / GLMM
          |
          v
[17] Quality-Evasion Pareto Analysis
          |
          v
[18] 結果解讀與研究限制

附件 C：Quality-Evasion 分析方法

僅比較 DER 容易產生誤導。例如某一方法可造成極高 Detection Evasion，但輸出圖片已嚴重模糊或與原始圖片完全不同，實際威脅可能低於另一個只造成少量 Detection Evasion、卻幾乎保持原始內容的方法。

因此建議使用二維 Pareto Analysis：

X 軸：Image Distortion / LPIPS
Y 軸：Detection Evasion Rate

理想防禦：
必須造成大量圖片失真才有可能降低 Detector Detection。

高風險區域：
High Detection Evasion
+
Low Image Distortion
+
High Semantic Similarity

附件 D：研究結論

本研究以 Google SynthID-Image 為案例，建立從 Conventional Signal Processing、Geometric and Frequency Transformation、Adversarial Perturbation、Generative Regeneration、Semantic Reconstruction 至 Novel-view and Latent-space Transformation 的完整不可見浮水印韌性評估框架。

研究者所完成之 Proof-of-Concept 平台與先導實驗顯示，前述研究方向具有工程可實作性，且部分內容轉換可在研究測試環境中造成 SynthID Detection Outcome 改變。此現象顯示大型 AI Provenance Watermark 的安全性不宜只由常見壓縮與影像失真測試決定，而應進一步納入生成式與語意保留型內容重新表示之威脅。

然而，Detection Failure 仍不能直接等同於 Complete Watermark Removal。因此，本研究主張未來人工智慧浮水印安全評估應同時考量 Detectability、Perceptual Fidelity、Semantic Fidelity、Transformation Cost 與 Forensic Reliability，並使用可重複驗證之大型樣本實驗取代單一成功案例。