基于校准内容认证的真实图像认证

反演已知生成器测试重合成保真度并校准阈值：重建不了才认证为真实，否则弃权

前置知识

扩散模型反演（RF-Inversion）

给定图像 $x$，反演是寻找能让生成器 $G$ 尽量复现 $x$ 的输入（噪声隐变量加 prompt）。早期扩散反演需要逐样本优化，或沿弯曲去噪轨迹做脆弱的反向积分。整流流模型（SD3、FLUX）学习近直线路径的速度场 $dx_t/dt = v_\theta(x_t, t, c)$，反向积分因此稳定，RF-Inversion 可以免逐样本优化地得到重建 $\tilde{x} = G(\hat{G}^{-1}(x))$。

本文的认证信号完全建立在反演-重合成的保真度上，不理解反演就无法理解 A-index 到底在度量什么。

PGD 对抗攻击与 $\ell_\infty$ 预算

投影梯度下降在输入上迭代叠加小扰动以最大化目标（此处是最大化 A-index），每步之后把扰动投影回 $\|\delta\|_\infty \le \epsilon$ 的可行集并裁剪到有效像素范围。$\epsilon = 8/255$ 表示扰动人眼不可感知，用于模拟“内容含义不变但骗过检测器”的攻击者。

论文的 security 阈值正是对校准样本做 PGD 最大化后校准出来的，所有攻击实验也都围绕这一扰动预算展开。

FPR 校准与分位数阈值

把误报率（生成内容被错误认证为真实的比率）控制在目标 $\alpha$ 的标准做法：取负类（生成样本）分数分布的 $(1-\alpha)$ 分位数作为判定阈值，从构造上保证至多 $\alpha$ 比例的负类越过阈值。由于校准样本由防御者自己生成，可以任意增大样本量 $n$ 来收紧抽样误差。

本文“可靠检测器”的核心承诺——至多 1% 的生成内容被错误认证——就是靠分位数校准实现的，这也是它与未校准二分类检测器的分水岭。

四个图像相似度指标

PSNR 度量像素级保真（dB，越高越像）；SSIM 度量局部亮度、对比与结构相似性；$1-\mathrm{LPIPS}$ 用深度特征距离的补数度量感知相似；CLIP 余弦相似度在联合嵌入空间度量语义一致性。四者互补：像素接近不代表语义接近，反之亦然。

A-index 就是这四个指标的加权 sigmoid 组合，各指标的学习权重与消融结论（CLIP 贡献最大、PSNR 权重近零）是读懂实验部分的前提。

主动水印与被动检测之争

主动溯源（Google SynthID、C2PA 元数据）在生成时嵌入信号，准确但依赖平台配合，且水印可被微调去除、元数据会被常见转发流程剥除；被动检测只凭内容判断，不需要任何配合，但对新生成器泛化差。对开源或不予配合的生成器，被动检测是唯一可行防线。

论文的动机与威胁模型都建立在“主动信号缺位”之上，理解这条防线划分才能明白为什么需要一种可弃权、带错误率界的被动认证。

研究动机

被动式深伪检测正在节节败退。作者搭建了横跨四年的基准：20 个最新检测器对比 10 个生成器（从 2022 年 12 月的 SD2.1 到 2026 年的 FLUX.2、HiDream-O1、GPT Image-2），每个生成器发布时可得的最佳检测准确率从 2022 年的 99.5% 一路跌到 2026 年的 76%，最佳检测器本身换了三代（PROBE→SICA→D3），多数检测器在新生成器上已接近 50% 随机水平。对抗攻击下更惨：在 $\ell_\infty$ 扰动 $\epsilon=8/255$ 的 PGD 攻击下，全部 20 个检测器准确率跌破 2%，最强的 D3 也只剩 1.75%，相当于攻击者完全反转了检测器给出的标签。现实代价已经显现：2025 年 6 月中东冲突期间，AI 生成的导弹袭击视频在社交媒体疯传，仅三条最热视频就累计超过 1 亿次观看，而 X 平台的 Grok 对同一段视频多次给出错误或自相矛盾的验证结论。作者进一步指出根本性困难：生成器可能通过记忆化精确复现真实内容，因此仅凭内容原则上就无法判定真实来源——一个不可信的检测结论比没有结论更糟，因为它会助长“说谎者红利”（把真内容污蔑为假的）。

本文的目标是本文要构造一个“可靠”（sound）而非“完备”（complete）的检测器：它不试图对每个输入都强制给出真/假判断，而是只在错误率可测量的前提下做出“认证为真实”这一强断言，否则弃权。具体拆成四个设计目标：(G1) 每一张认证都必须附带实测的错误率上界（本文取误认证率 FPR ≤ 1%）；(G2) 每一次弃权都必须附带任何人可复核的证据（重建图像与所用生成器）；(G3) 决策阈值必须在被攻击的样本上校准，而不能只在干净样本上；(G4) 新生成器出现时只需重新校准阈值，不需要重新训练任何模型。作者还想用同一套方法回答更宏观的问题：随着生成器能力增强，公开内容中“还能被认证为真实”的份额萎缩得多快，把认证份额本身变成可长期追踪的退化指标。

与已有工作不同的是，已有工作把重建误差（DIRE、AEROBLADE、FIRE）当作二分类依据，对每个输入强制输出真/假标签，分数未经校准、错误率不可控；选择性预测在不确定性高时弃权，但弃权依据是模型置信度而非“内容可被复现”这一可验证事实。本文的独特切入有三重反直觉之处。其一，把检测信号从“内容长什么样”换成“已知生成器能把它重合成得多像”——前者因记忆化问题在原则上不可判定，后者是可测量的物理量。其二，输出单侧证书：只有当所有已知生成器都重建失败才认证，任何一次忠实重建都判“可否认性成立”并弃权，弃权证据（重建图 + 生成器名）人人可复核。其三，作者首次针对自适应攻击者做校准：区分覆盖普通用户的“安全阈值”（safety）与覆盖 $\|\delta\|_\infty \le \epsilon$ 有界攻击的更严“安全阈值”（security），并给证书标注生成器集合与校准日期，使其可随新生成器发布而被撤销。

核心方法

直觉是：生成图像落在其生成器可合成的分布内，反演-再生成会高度保真；而真实图像常含精细文字、低对比纹理和复杂空间结构，当前反演先验难以复现，因此“抗重合成性”可以充当认证信号。技术路线分四步：(1) 用 BLIP-2 为待检图像 $x$ 生成字幕 $c$，因为反演需要 prompt 条件（部署时由字幕模型提供）；(2) 对每个已知开源生成器 $G$，用免重建的 RF-Inversion 计算 $\tilde{x} = G(\hat{G}^{-1}(x))$，即先反推噪声隐变量再重合成；(3) 在像素、结构、感知、语义四个层面计算互补相似度 PSNR、SSIM、$1-\mathrm{LPIPS}$、CLIP 余弦，加权求和后经 sigmoid 归一化得到 $[0,1]$ 区间的 A-index $a_G(x)$，分数越低代表重建越忠实；(4) 与每个生成器各自的校准阈值比较：只要存在某个 $G$ 使 $a_G(x) < \tau_G$ 就弃权并返回 $(\tilde{x}_G, G)$ 作为证据；全部通过才认证 $x$ 相对于 $\mathcal{G}$ 为真实。校准完全离线进行：安全阈值取生成校准样本分数的 $(1-\alpha)$ 分位数，security 阈值再在被 PGD 攻击后的同批样本上重新计算。

核心创新是把“判定来源”改写为“限定可证伪的断言”，与所有二分类检测器有本质区别。第一，认证是有据可查的单侧声明：检测器只说“我测过的所有生成器都无法忠实重建它”，而不是“它是真的”；一旦某生成器重建成功，就给出图像对 $(x, \tilde{x}_G)$ 作为可复核证据，任何人拿到 $G$ 都能复现这一判断——这把不可证伪的概率判断变成了可机械验证的事实。第二，错误率是校准出来的而非事后估计的：校准样本由防御者自己生成，$\tau_G$ 取生成分数的 $(1-\alpha)$ 分位数就从构造上保证 $\Pr_{x\sim G}[a_G(x) \ge \tau_G] \le \alpha$；又因为认证要求每个生成器的阈值都被同时满足，无论攻击者混用哪些生成器，总体 FPR 都被 1% 界住。第三，双阈值对抗自适应攻击：防御者知道攻击类别（$\|\delta\|_\infty \le \epsilon$）但不知道具体被攻击样本，于是先对自己的生成样本求解 $\max_{\|\delta\|_\infty \le \epsilon} a_G(x+\delta)$，再取分位数得到更严的 $\tau_G^{security}$；由于最大化把未扰动样本包含为可行点，必有 $\tau_G^{security} \ge \tau_G^{safety}$。

方法步骤详情

完整流程对应 Algorithm 1，分校准与部署两阶段。校准阶段：先在互不相交的拟合集 $D_{fit}$（De-Factify 4 的 2,000 张 512×512 图：1,000 真 + 1,000 假，假图各 200 张来自 SD2.1、SDXL、SD3、DALL·E 3、Midjourney 6）上用差分进化（种群 20、变异因子 0.6、交叉概率 0.7、至多 300 代）拟合组合权重，目标是最小化真假分数分布重叠，得到 $\alpha_1 = -0.0181$（PSNR）、$\alpha_2 = 1.380$（SSIM）、$\alpha_3 = -4.058$（$1-$LPIPS）、$\alpha_4 = 8.066$（CLIP），sigmoid 尺度 $\sigma = 0.9$；然后对每个生成器 $G$ 反演其留出生成样本，取分数的 $(1-\alpha)$ 分位数（$\alpha = 1\%$）得到安全阈值，实测为 SD2.1: 0.015、SD3 Medium: 0.0365、SD3.5 Medium: 0.0365、FLUX.1 Dev: 0.035、FLUX.1 Dev + Realism LoRA: 0.038；再对同批样本做 $\epsilon = 8/255$ 的 PGD 最大化（穿过反演管线的可微近似求梯度），同样取分位数得 security 阈值（如 SD3 Medium 从 0.0365 收紧到 0.038）。部署阶段：对可疑图像逐一生成器反演打分，任何一个 $a_G(x) < \tau_G$ 即弃权并返回证据，全部通过才认证；单张图像单个生成器耗时 11.67 秒（RTX 5000 Ada）。视频扩展为每隔 30 帧采样 8 帧、逐帧走图像管线打分后取平均 $a_{video} = \frac{1}{k}\sum_i a(f_i, \tilde{f}_i)$。

技术新颖性

技术新颖性体现在四个层面。范式层面：这是首个带实测错误率上界的深伪认证器，把检测问题从不可判定的来源推断转译为可判定的复现测试，并与检测不可能性结果相容——它不恢复来源，只通过弃权约束错误认证。校准层面：已有重建误差类检测器（DIRE/AEROBLADE/FIRE）从不校准；选择性预测弃权于不确定性，本文弃权于“可复现证据”，而且是首个对自适应攻击者校准阈值的工作，明确区分 safety 与 security 两个操作点。工程层面：完全不训练任何组件，权重用 4 参数线性 + sigmoid（有效 AUC 0.8852），与 RBF-SVM（0.9125）只差 0.0273 却保持可解释且稳定（对权重做 30% 乘性扰动，重叠仅从 0.3436 升到 0.3917）；新生成器乃至同一底模的 LoRA 适配器只需一次再校准即可纳入，如 FLUX.1 加 Realism LoRA 后阈值从 0.035 收紧到 0.038。系统层面：证书标注生成器集合、阈值与校准日期，可随 $\mathcal{G}$ 扩大被重检并撤销，从而把“认证份额的萎缩”变成可度量的长期指标——3,000 张 Reddit 图的可认证份额两年内从 37.2% 缩到不超过 2.63%。

**Fig. 2**: Conceptual illustration of our method. (A) Traditional post-hoc detectors separate real from fake using feature cues but struggle as generators improve. (B) Our method instead tests whether a generator can resynthesize the query image x. The similarity s(x, x̃) between x and its resynthesis x̃ is calibrated into an authenticity score, where high similarity implies plausible deniability and low similarity indicates likely authentic.

**Fig. 3**: Computing of the Authenticity Score. Given an input image x, a reconstruction-free inverter produces an inverted reconstruction x̃. We then compute complementary similarities between x and x̃: pixel fidelity (PSNR), structural fidelity (SSIM), perceptual distance (1−LPIPS), and semantic consistency (CLIP cosine). A calibrated weighted combiner produces a scalar s(x, x̃), yielding the A-index in [0, 1].

**Fig. 4**: Reconstruction fidelity separates real and fake images. Distribution of the A-index obtained by inverting both real and fake images with SD3 Medium. Fake images are concentrated at lower scores because they are reconstructed more faithfully, whereas real images are shifted toward higher scores.

**Fig. 5**: Examples of easy- and hard-to-invert images. Panels (a), (c), (e), and (g) are real inputs, while panels (b), (d), (f), and (h) are their generated reconstructions. The top row shows easy-to-invert images, and the bottom row shows hard-to-invert images.

**Fig. 10**: Frame-aggregated video authentication. We sample eight frames at 30-frame intervals, reconstruct and score each frame independently, and average their A-index values to obtain a_video. Lower values indicate that the sampled frames are easier to reconstruct, while higher values provide stronger authentication evidence.

**Algorithm 1**: Sound detection via reconstruction (calibration and deployment).

实验结果

实验回答六个问题。(1) 度量组合：四指标 A-index 把真假分数分布重叠降到 0.3436（有效 AUC 0.8852，Cohen’s d 1.5870），优于最佳单指标 CLIP（0.4401/0.8546）；生成图确实重建得更忠实（平均 PSNR 23.69 对 22.00 dB，CLIP 相似度 0.9666 对 0.9293）。(2) 基线退化：20 检测器 × 10 生成器基准中，最佳平衡准确率从 SD2.1 的 99.5%（PROBE）跌到 2026 生成器的 76%；零样本设置下默认准确率 36.95%–93.25%，但七个检测器把 96.2%–99.5% 的真图判对、只有 0.1%–5.5% 的假图判对，校准到 1% FPR 后多数基线 TPR 趋近 0（含默认准确率 93.25% 的 OmniAID）。(3) PGD（$\epsilon=8/255$）：12/20 基线降到 0.00%，最高的 D3 从 83.90% 跌到 1.75%；而 A-index 分布保持双峰分离，security 阈值 0.0365→0.038 即维持 1% 界。(4) 中等资源攻击者：从单 prompt 采 100 候选（约 19.5 分钟顺序反演）最高分仅 0.0148（阈值的 40.5%），PGD 精修只 +0.0006 到 0.0154，仍远低于阈值 0.0365/0.038。(5) 24 种语义变换：23 种被压在安全阈值之下（水平翻转 0.0045、20% 裁剪 0.0067、15° 旋转 0.0074、JPEG Q10 0.0272），唯一例外 $\sigma=25$ 高斯噪声 0.0366 把 SSIM 打到 0.33、属于自毁画质，且仍低于 security 阈值 0.038。(6) 真实内容：3,000 张 Reddit 图经 SD3 Medium 反演后，SD2.1 阈值能认证 1,116 张（37.2%），四个 2024 配置只剩 55–79 张（FLUX.1 Dev 79、SD3.5 Medium 64、SD3 Medium 61、FLUX.1+Realism LoRA 55，即 1.83%–2.63%），两年萎缩超 14 倍。视频上 8 帧聚合保留真假排序（真视频偏高分）但分布重叠，基线 GenConViT/StyleFlow/FTCN 的 AUC 仅 0.615/0.509/0.483，无视频阈值校准。

**Table I**: Results before/after PGD ($\epsilon=8/255$) on 2,000 images (1,000 fake + 1,000 real, 512×512). Only samples classified correctly before the attack are perturbed, so accuracy can only drop. Attack success is the fraction of those correct samples flipped.

**Table II**: Video detectors transfer poorly to Deepfake-Eval-2024. Results on 50 authentic and 50 generated videos; no baseline exceeds 0.615 AUC or 0.59 precision.

**Table IV**: Balanced accuracy (%) of twenty detectors on ten generators. Each cell uses 100 authentic and 100 generated images at 512×512. Bold marks the best detector per generator.

**Table XII**: A-index of generated SD3 images under semantic edits and transformations. The safety threshold is τ_safety = 0.0365 and the security threshold is τ_security = 0.038 (SD3 Medium). Every edit remains below τ_safety except Gaussian noise, which remains below τ_security.

**Fig. 6**: C2PClip score distributions overlap under zero-shot distribution shift. Predictions on a balanced test set of 1,000 real and 1,000 fake images from unseen generators. C2PClip correctly classifies most real images but assigns most fake images to the real class.

**Fig. 7**: PGD perturbations collapse binary detectors but preserve separated A-index distributions. Panel (d) shows that D3 declines from 83.90% to 1.75% accuracy, the highest post-attack accuracy among the twenty baselines. Panel (e) shows that PGD shifts both A-index distributions, while the distributions retain distinct peaks.

**Fig. 8**: Best-of-100 search does not reach the calibrated thresholds. The attacker samples 100 candidates from one prompt and selects the highest A-index before PGD refinement. The selected candidate increases from 0.0148 to 0.0154 after PGD, remaining below the safety and security thresholds.

**Fig. 9**: Calibrated thresholds retain different subsets of 3,000 unverified internet images. We apply five generator-specific thresholds to the same SD3 inversion-score distribution: 1,116 images exceed the SD2.1 threshold, compared with 55–79 for the four newer configurations.

**Fig. 11**: Frame-aggregated A-index scores retain the expected ordering on video. Each score averages eight independently processed frames from one of 100 Deepfake-Eval-2024 videos. Authentic videos generally receive higher scores and generated videos generally receive lower scores, although the distributions overlap.

查看结构化数据

任务	指标	本文	基线	提升
认证可靠性（生成内容被错误认证）	FPR 上界	≤1%（分位数校准保证，五个生成器配置均成立）	传统二分类检测器无任何错误率界	首个带实测错误率上界的深伪认证
PGD 攻击鲁棒性（$\epsilon=8/255$，2,000 张）	攻击后准确率	A-index 分布保持双峰分离；security 阈值 0.0365→0.038 维持 1% 界	最佳 D3 从 83.90% 跌至 1.75%；12/20 降至 0.00%	在基线全灭的同一攻击下仍保持可校准的分离
真假可分性（反演保真度信号）	分布重叠 / 有效 AUC	0.3436 / 0.8852（四指标 A-index，Cohen's d 1.5870）	最佳单指标 CLIP：0.4401 / 0.8546	重叠降低 0.0965，有效 AUC 提升 0.0306
零样本检测 @1% FPR（1,000 真 + 1,000 假）	TPR（真实图认证召回）	A-index 分布在同一 FPR 下保持分离，保留对真实图的召回	多数基线 TPR 趋近 0（含默认准确率 93.25% 的 OmniAID）	揭示默认准确率与部署召回的脱节
中等资源攻击（best-of-100 + PGD，SD3 Medium）	候选最高 A-index	0.0154，仍低于 $\tau_{safety}=0.0365$ 与 $\tau_{security}=0.038$，检测器正常弃权	无对应基线	约 19.5 分钟搜索仅关闭候选与阈值间差距的不到 3%
语义变换鲁棒性（24 种常见编辑）	超过安全阈值的编辑数	1/24（$\sigma=25$ 高斯噪声 0.0366，超过 $\tau_{safety}$ 但仍低于 $\tau_{security}=0.038$）	无对应基线测试	23/24 种编辑被压在 $\tau_{safety}=0.0365$ 之下
视频深伪检测（Deepfake-Eval-2024，100 段）	AUC	8 帧聚合 A-index 保留真假排序（分布有重叠，未校准视频阈值）	GenConViT 0.615 / StyleFlow 0.509 / FTCN 0.483	所有基线不超过 0.615 AUC 或 0.59 精度；本文未声称数值改进
真实网络图可认证份额（3,000 张 Reddit）	超过阈值的图像数	同一 SD3 分数分布上：SD2.1 阈值保留 1,116 张（37.2%）→ 2024 配置仅 55–79 张（1.83%–2.63%）	无对应基线	量化两年内 14 倍以上的事后可验证性侵蚀

局限与改进

作者承认的局限：单张图像单生成器需 11.67 秒，只适合司法取证式核验而非全量筛查；security 阈值只覆盖校准时用过的攻击，更强的优化器或新攻击类别可能突破，只能靠再校准应对；变换族与参数的组合呈组合爆炸，开放式编辑（拼图、拼接、截图、图生图）根本无法枚举，且图像级分数无法定位合成区域；证书不覆盖无法反演的私有/闭源生成器。我的补充观察：其一，认证对 caption 高度敏感——反演以 BLIP-2 字幕为条件，字幕错误会直接改变重建保真度进而影响阈值有效性，论文未量化这条误差传播链；其二，可用覆盖率低得惊人，2024 年生成器下仅 1.8%–2.63% 的真实网络图能被认证，意味着实际部署中“认证不了多少东西”，价值更多在于提供有界弃权而非大规模背书；其三，分布重叠 0.3436 仍不可忽视，真实图在 1% FPR 下的 TPR 同样受限，而正文未给出这一具体数值；其四，防御者要为每个新攻击族重新生成校准样本并重算分位数，运维成本随生成器数与攻击族数的乘积增长；其五，Reddit 语料按九组关键词采样，结论对整体网络图像的外推性有限。

独立分析的弱点

独立分析的弱点与改进方向：(1) 覆盖率坍缩是范式级软肋——现代生成器下认证份额不足 3%，证书近乎象征性；改进方向是与 C2PA/水印做混合认证（有主动信号走主动路径，无信号走被动认证），或按生成器家族而非单模型校准以减少阈值数量。(2) caption 条件化引入单点故障：BLIP-2 字幕错误直接污染反演条件；可改用免 prompt 反演，或对多条候选字幕的分数做边缘化平均以消除偏差。(3) 11.67 秒/图的延迟限制场景：可用蒸馏把 A-index 近似为前馈学生模型做初筛，仅对边界样本回退到完整反演管线。(4) 攻击覆盖靠枚举且组合爆炸：可引入随机平滑式的聚合认证，或对变换族做分布鲁棒优化，用认证鲁棒性界替代经验分位数。(5) 只做图像级判定：对部分篡改图（真实底图 + AI 元素）会整体弃权或整体认证，可结合重建误差的空间图输出 mask，把证书细化到区域级。(6) 权重在 De-Factify 4 数据分布上拟合，跨域（艺术插画、截图、强压缩内容）可能漂移，应建立多域校准与定期再校准流水线。

未来方向

作者提出的方向：未来检测器应统一以固定 FPR 下的 TPR 报告性能、把自适应攻击纳入评测、并持续追踪公开内容的可认证份额——本文方法本身就是测量仪器，每个新生成器发布后再校准一次即可量化侵蚀；视频方向需在生成校准视频上标定专属阈值并建模时间一致性与运动线索；模态扩展到音频需要可反演的音频生成器、专属相似度指标和独立的双阈值；自动化与泛化每个模型的校准流程以应对模型快速迭代。基于本文成果可延伸的：把证书撤销机制做成实时服务（新权重发布后批量重检已认证内容并自动撤销被复现的证书）；系统研究攻击者在知道阈值后用更大候选池或更强优化器（CMA-ES、多目标搜索）能否跨越阈值，给出搜索预算与成功率的实证曲线；把忠实重建反过来用作训练数据记忆化的检测信号（真实图被高度保真重建可能提示该生成器见过它）；以及与 EU AI Act 自 2026 年 8 月生效的 AI 内容标识义务对接，为平台提供弃权友好的内容审核中间件。

复现评估

复现条件良好。代码已开源（github.com/Sarim-MBZUAI/content-authentication），包含 SD2.1/SD3/SD3.5 的 RF-Inversion、A-index 打分、全部 20 个基线检测器的适配器、针对每个基线的 PGD 攻击以及结果聚合脚本；反演超参数全部固定并公开（28 步推理、guidance 3.5、FlowMatchEulerDiscrete 调度器、种子 42、float16，见附录表 III），权重拟合用差分进化（种群 20、$F=0.6$、$CR=0.7$、至多 300 代，权重边界 $[-10, 10]$）。算力门槛低：论文全部计时在单张 NVIDIA RTX 5000 Ada 上完成；校准成本为每张校准图每生成器一次反演（校准集 2,000 张 × 5 个生成器配置，约几小时量级），部署阶段 11.67 秒/图/生成器。数据不随代码分发：De-Factify 4 与 Deepfake-Eval-2024 需从原始来源获取，Reddit 图因隐私原因不重新分发（附录 I 给出九组关键词与采样方法）。主要复现风险在于多生成器（FLUX.1/FLUX.2 级别）的显存需求、反演管线可微近似的实现细节，以及 PGD 穿过反演时的梯度稳定性；总体难度中等，有单卡 GPU 的研究者数天内可复现主表结果。

基于校准内容认证的真实图像认证 Certification of Real Images through Calibrated Content Authentication