Calipia : le blog

Quand la technique fonctionne mais que le problème persiste

Il y a une leçon récurrente dans l’histoire de la sécurité informatique : une solution technique impeccable ne suffit jamais à résoudre un problème systémique. Ars Technica vient d’en administrer une nouvelle démonstration en testant concrètement SynthID, la technologie de filigrane invisible développée par Google DeepMind. Verdict du test : l’outil tient remarquablement bien la route face aux manipulations courantes. Mais le constat de fond, lui, est nettement moins réjouissant : étiqueter le contenu généré par IA pourrait être une bataille perdue par construction, indépendamment de la qualité de l’arme utilisée.

Pour mesurer l’ampleur du problème, un chiffre suffit. Le Starling Lab, collaboration de recherche entre Stanford et l’USC, estime qu’il a fallu 149 ans après l’invention de la photographie pour que l’humanité produise 1,5 milliard d’images. L’IA générative a fait de même en 18 mois. Le rythme n’est plus comparable, et aucun système de labellisation, aussi robuste soit-il, ne peut prétendre couvrir un tel volume s’il ne repose pas sur une adoption universelle. 

Comment fonctionne SynthID, concrètement

SynthID n’est pas une métadonnée que l’on accole à un fichier. C’est un signal encodé directement dans le contenu au moment de sa génération : dans les pixels pour une image ou une vidéo, dans la forme d’onde pour un fichier audio, et dans le processus même de sélection des tokens pour du texte (un logits processor appliqué après les étapes de Top K et Top P sampling, pour les architectes qui apprécient le détail). Cette approche a un avantage décisif sur une métadonnée classique : elle survit au recadrage, à la compression, aux filtres, voire à une simple capture d’écran, exactement les manipulations qui détruisent en un clic un standard comme le C2PA (Coalition for Content Provenance and Authenticity).

C’est d’ailleurs toute la limite du C2PA, sur lequel Google s’appuie en parallèle : la métadonnée est cryptographiquement fiable tant qu’elle est présente, mais elle est triviale à faire disparaître. Un simple export, une capture d’écran, et l’historique de provenance s’évapore. SynthID, à l’inverse, est pensé comme un signal qui résiste à l’usage réel du contenu sur Internet, un contenu qui circule, se redimensionne, se recompresse et se republie sans jamais rester dans son format d’origine.

L’échelle atteinte par le système est significative : Google affirme que SynthID a déjà été utilisé pour marquer plus de 100 milliards d’images et de vidéos, ainsi que 60 000 ans d’audio. Ces volumes ne sont pas anecdotiques, car un détecteur de filigrane n’a de valeur que si le contenu qu’il analyse a une chance réelle de contenir la marque recherchée.

Un système par nature adversarial

Pushmeet Kohli, chercheur chez Google DeepMind, résume bien la philosophie du projet en affirmant qu’une technologie de ce type sera toujours attaquée. Ce n’est pas une coquetterie de communicant : c’est la reconnaissance explicite que le watermarking n’est pas une fonctionnalité de labellisation passive, mais un système en confrontation permanente avec ceux qui cherchent à le contourner. Certains utilisateurs joueront le jeu, d’autres l’ignoreront, et une partie active tentera délibérément de retirer la marque.

Le point faible le plus net reste le texte. Contrairement à l’image ou l’audio, il n’y a pas de pixels ni de forme d’onde à modifier discrètement : le filigrane repose sur des choix statistiques de mots, une approche que Google reconnaît elle même comme fragile. Une réécriture profonde ou une traduction suffit à faire chuter la confiance de détection, et l’efficacité du marquage diminue encore sur les contenus factuels ou le code, où le modèle dispose de peu de liberté lexicale pour insérer un signal sans nuire à l’exactitude. Pour des architectes qui envisageraient de s’appuyer sur ce type de détection dans une chaîne de conformité, c’est une réserve à ne surtout pas ignorer.

L’extension à l’écosystème, une bonne nouvelle à relativiser

Le développement le plus significatif de ces derniers mois n’est pas technique, mais stratégique : Google a noué des partenariats pour intégrer SynthID au-delà de son propre périmètre. Nvidia l’implémente dans ses modèles Cosmos, OpenAI dans ses systèmes d’image GPT, tandis que Kakao et ElevenLabs suivent le mouvement. C’est une avancée réelle, car un système de watermarking n’a de sens à l’échelle que si un nombre suffisant d’acteurs y participe. Avant cette extension, SynthID ne servait essentiellement qu’à identifier les contenus produits par les propres outils de Google, ce qui laissait un angle mort considérable.

Mais cette extension ne referme pas le vrai problème, elle le déplace. Les modèles open source restent largement hors du dispositif, peuvent être modifiés ou entraînés en privé, et certains utilisateurs choisiront délibérément des outils qui ne marquent rien. Surtout, et c’est là le cœur du raisonnement d’Ars Technica, l’absence de filigrane ne prouve strictement rien. Un contenu non marqué peut avoir été généré par un système qui n’utilise pas SynthID, avoir subi une modification qui a dégradé le signal, ou tout simplement être authentique. Un résultat négatif n’est jamais une preuve d’humanité.

Ce que cela change pour les DSI et les RSSI

Pour un directeur des systèmes d’information ou un responsable sécurité, la conclusion pratique n’est pas de renoncer au watermarking, mais d’en ajuster le niveau de confiance accordé. SynthID est un signal parmi d’autres, pas un arbitre. Il ne peut fonder à lui seul une politique de vérification de contenu, de détection de deepfake d’un dirigeant ou de contrôle de conformité éditoriale. Il doit s’inscrire dans une défense en profondeur, combinant watermarking, métadonnées C2PA, politiques de plateforme, vérification de source et, ce qui reste finalement la variable la plus fiable, la vigilance humaine formée à ce nouveau contexte.

L’accès au détecteur public de Google reste d’ailleurs volontairement restreint, limité à des testeurs et à une liste d’attente pour journalistes et chercheurs. Un choix cohérent : ouvrir trop largement les outils de vérification, c’est aussi donner aux attaquants un moyen simple de tester si leur tentative de suppression du filigrane a fonctionné.

En résumé, SynthID fait exactement ce qu’on attend d’un bon système technique : il résiste, il s’étend, il s’améliore. Le problème, c’est que la question posée n’a jamais été purement technique. Tant que l’adoption ne sera pas universelle et que l’absence de marque continuera de ne rien prouver, la labellisation de contenu IA restera une course où la technologie peut gagner chaque manche sans jamais remporter le match.