AI画像に証明を付ける「AiWaterMarker」

【更新履歴】

　・2026/4/19　バージョン1.0公開。
　・2026/4/19　バージョン1.1公開。
　・2026/4/19　バージョン1.2公開。
　・2026/4/20　バージョン1.3公開。
　・2026/4/20　バージョン1.4公開。
　・2026/4/20　バージョン1.5公開。（フォルダ振り分け、判定理由、
　　　　　　　　　　　　　　　　　　詳細リスト出力など）
　・2026/4/20　バージョン1.6公開。（任意条件での判定を追加）

・ダウンロードされる方はこちら。↓

・AIによる意味理解判定を行う場合は、
　以下のセットアップが必要です。↓

【 llama.cppを使用する場合 】

モデルファイルは、こちらからダウンロードできます。↓

CLIP(mmproj)ファイルは、こちらからダウンロードできます。↓

※設定画面を開いて、このファイルのパスを指定しておいて下さい。

【 Ollamaを使用する場合 】

・モデル名に llava を指定して保存してください。

《 各機能の説明 》

・本ツールは「自分の作品を守る」機能（サブ画面）と、
　「他人の画像を検証する」機能（メイン画面）の
　2つの顔を持っています。

【防衛・証明機能】（サブ画面）

① AI判定妨害（アドバーサリアル攻撃）

・画像全体に
　人間の目には見えない微小な数学的ノイズ
　（高周波ヒューリスティック、
　またはVAE潜在空間攻撃）を付加します。

・これにより、
　第三者が「この画像はAI生成か？」と
　判定ツールにかけた際、
　AIの判定アルゴリズムを狂わせます。

② 来歴証明（DCT透かし ＋ ZKコミットメント）

・ブロックチェーンを使わず、
　秘密の文字列（ソルト）と画像のハッシュを掛け合わせた
　「ゼロ知識証明型」の署名を生成します。

・これをEXIFメタデータだけでなく、
　画像のピクセル（DCT周波数領域）に直接、
　タイリング（多数決）方式で強力に埋め込みます。

③ 耐性シミュレーター

・SNS（Xなど）にアップロードした際のJPEG圧縮劣化や、
　縮小・ぼかし処理をメモリ上で疑似的に再現し、
　付加した「証明」が実運用で生き残るかを
　事前にテストします。

④ セキュアワイプ（完全消去）

・透かしを入れた後、
　ディスク上に残る「元の無防備な画像」を
　OSの標準削除ではなく、
　ディスクセクタレベルでゼロ埋めして完全破壊し、
　フォレンジック（データ復元）攻撃を防ぎます。

【検証・判定機能】（メイン画面）

⑤ ハイブリッドAI判定

・対象画像に対し、
　「数学的なノイズ（AI特有の格子アーティファクト）」をスキャンし、
　同時にVLM（視覚言語モデル）で
　「指の数やパースの狂いなどの意味論的矛盾」を解析させ、
　総合的に真贋を判定します。

⑥ ピクセル空間からの証明復元

・メタデータが剥がされた画像であっても、
　DCT空間から多数決方式でビットデータを抽出し、
　隠された来歴証明を復元します。

■RTX 3060 (12GB) 向けの具体的な推奨モデル

・VRAM 12GBという環境は
　ローカルAIにおいて非常に優秀ですが、
　Windowsのシステム（約1.5GB〜2GB）と
　コンテキストウィンドウ（約1GB）の消費を考慮すると、
　モデル本体に割けるVRAMの安全圏は
　「7GB〜8GB前後」となります。

・llama.cppをバックエンド（CUDA）で動かす場合、
　安定性と解析精度のバランスが最も良い
　「LLaVA v1.5 (7B)」の量子化モデルを推奨します。

① モデルファイル（LlamaModelPath）の推奨

具体的なファイル名: llava-v1.5-7b-Q4_K_M.gguf

容量: 　約 4.3 GB

理由:

・70億パラメータのモデルを4ビット量子化（Q4_K_M）したものです。

・VRAM消費が少なく、
　RTX 3060のCUDAコアであれば
　驚異的な速度（数十トークン/秒）で回答を生成できます。

・画像の矛盾を指摘する推論能力としては
　十分な賢さを持っています。

② CLIPプロジェクターファイル（LlamaMmprojPath）の推奨

具体的なファイル名: 　llava-v1.5-7b-mmproj-f16.gguf

容量:　 約 620 MB

理由:

・VLMが画像を解釈するための「目」となるファイルです。

・mmprojは、極端に量子化すると
　画像の細部（ノイズや指の崩れなど）を見落としやすくなるため、
　16ビット（f16）の標準サイズを使うのがベストプラクティスです。

・生成AIの真贋判定や
　来歴証明における「最強の盾」は存在せず、
　どのような技術にも、必ずトレードオフや
　物理的・数学的な弱点が存在します。

■Google「SynthID」の弱点

・SynthIDは、DeepMindが開発した
　ディープラーニングベースの電子透かし技術です。

・画像生成のプロセス（潜在空間）に直接介入し、
　AIモデル自体が透かしを学習して埋め込むため、非常に強力です。

◆エコシステムへの依存（クローズドな環境）

弱点:

・SynthIDはGoogleの生成モデル（Imagenなど）の生成プロセスに
　深く統合されることを前提としています。

・つまり、「ローカルのStable Diffusionで出力した画像」や
　「過去に描いた手描きのイラスト」に対して
　後から付与することが（技術的には可能でも）最適化されていません。

◆「AIによる洗浄（Denoising）」への脆弱性

弱点:

　・ニューラルネットワークが学習したパターンであるため、
　　別のニューラルネットワークを使って
　「洗浄」されるリスクがあります。

　・例えば、悪意あるユーザーが画像を
　　Stable DiffusionのImage-to-Image
　　（Denoising strength 0.2〜0.3程度）に通すと、
　　人間の目には同じ画像に見えても、
　　SynthID特有の微細なノイズパターンが
　　「再計算」によって破壊される可能性が指摘されています。

◆敵対的パッチ（Adversarial Attack）による誤検知

弱点:

　・検出もAI（ニューラルネットワーク）で行うため、
　　特定のピクセルノイズ（まさに本ツールで実装したような
　　妨害ノイズ）を上乗せされると、
　　検出AIが騙されて「透かしは入っていない」と判定してしまう
　　AI特有の脆弱性を抱えています。

■FakeInversionなどの弱点

・「FakeInversion」論文などの、AI判定回避技術
（潜在空間へのレゾナンス攻撃など）の弱点です。

◆特定の検出アルゴリズムに対する「過学習（Overfitting）」

弱点:

　・FakeInversionは、
　「DDIM（Denoising Diffusion Implicit Models）インバージョンを用いて
　　画像を一度ノイズに戻し、
　　再構成した時の誤差を見る」という
　　特定のAI判定手法の裏をかくことに特化しています。

　・そのため、全く別のアプローチ
　　（例えば、本ツールのメイン画面で実装したような
　　「周波数帯域の格子ノイズを見る手法」や、
　　LLaVAのような「意味論的・物理的な矛盾を見るVLM」）で
　　検査されると、
　　FakeInversionの妨害ノイズは完全に無視され、
　　あっさりとAI生成であることを見破られてしまいます。

◆画質のトレードオフ

弱点:

　・判定を強烈に妨害しようとバイアス（Intensity）を強くしすぎると、
　　画像全体に市松模様のような劣化や色収差が発生し、
　　作品自体の価値を損なってしまいます。

■本ツール（AiWaterMarker）の証明埋込の弱点

◆アナログ・ホール（Analog Hole）

弱点:

・透かしを入れた画像をモニターに表示し、
　それをスマートフォンで直接撮影（直撮り）されたり、
　スクリーンショットを撮って極端に斜めに歪められたりした場合、
　埋め込んだDCT（離散コサイン変換）のブロックが物理的に破壊され、
　同期マーカーを見失って証明を引き出せなくなります。

◆非可逆圧縮と再生成（Semantic Compression）による破壊

弱点:

・JPEG圧縮やリサイズには強い（シミュレーターで確認済み）ですが、
　悪意ある第三者が「AIによる超解像（アップスケーリング）」や
　「Image-to-Image」をかけた場合、
　画像のピクセル構造が根本から再計算されるため、
　周波数領域に仕込んだ透かしデータが蒸発します。

◆プラットフォームによるメタデータの剥奪

弱点:

・LINEや一部のブログサービスなど、
　アップロード時に
　EXIFメタデータを完全に削ぎ落とすプラットフォームを経由すると、
　高速な検証（ECDSA署名の確認）ができなくなります。

　（※この対策として、画像本体にDCT透かしを入れていますが、
　　　抽出には専用のツールが必要になるという運用の手間が発生します）

まとめ

・SynthIDは「強力だが、囲い込まれた環境用であり、
　AI同士のイタチごっこに弱い」。

・FakeInversion等は「特定の敵にはクリティカルヒットするが、
　別の視点（VLMなど）を持たれると無力」。

・AiWaterMarkerは「オフラインで完結し
　クリエイターの権利を強固に守るが、
　物理的な直撮り（アナログ・ホール）や
　AIによる再生成には耐えられない」。

　画像セキュリティにおいて
　「絶対に破られない技術」を一つ作るよりも、
　今回のように「メタデータ（EXIF）＋物理層（DCT）
　＋暗号層（ZK証明）」を
　ミルフィーユのように重ねておくことが、
　現実的な最大の防御となります。

SynthIDやその他の電子透かしを完全に無効化したり、
検出を回避したりすることは、
技術的には「いたちごっこ」の状態にあります。

結論から言えば、
「100%確実に消し去る」ことは非常に困難ですが、
いくつかの技術的アプローチによって検出を困難にさせる、
あるいは破壊することは可能です。

それぞれの技術的な性質と、
それに対する「回避策」の現実的な有効性について解説します。

1. SynthIDの性質と回避の難しさ

・GoogleのSynthIDなどは、単なるピクセル上の上書きではなく、
　画像の生成プロセス（潜在空間）や特定の周波数帯域に
　微細なパターンを埋め込む技術です。

耐性:

・トリミング、リサイズ、標準的なJPEG圧縮など、
　一般的な加工を行っても
　透かしが生き残るように設計されています。

回避の難点:

・人間の目には見えないレベルで
　画像構造全体に情報が分散しているため、
　Photoshopなどの一般的な編集ツールで一部を修正しても
　無効化するのは難しいです。

2. 透かしを無効化・破壊する技術的アプローチ

・もし技術的な観点から
　「透かしを機能させなくする」方法を考える場合、
　以下のような手法が挙げられます。

アドバーサリアル攻撃（敵対的ノイズ）:

・検出器（AI）を意図的に誤認させるための
　特殊な数学的ノイズを画像に加える手法です。

・ピクセルデータに微細な摂動を加えることで、
　人間には同じ画像に見えても、
　検出プログラム側で「透かしが存在しない」と判定させることが
　理論上可能です。

強い再生成（Image-to-Image / Denoising）:

・Stable DiffusionなどのAIを用いて、
　元の画像を「下絵」として
　別の画像に再生成（Denoising強度を高めに設定）する方法です。

・ピクセル構造が根本から再計算されるため、
　元の画像に埋め込まれていた周波数的な特徴や
　潜在空間のパターンが「洗浄」され、透かしが蒸発します。

アナログ・ホール（物理的再撮影）:

・デジタルデータを一度モニターに表示し、
　それを高精細なカメラで撮影（直撮り）する手法です。

・レンズの歪みやモアレ、物理的なノイズが加わることで、
　デジタル的な一貫性が完全に失われ、
　ほとんどの電子透かしは同期が取れなくなり
　抽出不能になります。

3. デメリットとリスク

・これらの回避策には、常にトレードオフが存在します。

画質の劣化:

・透かしを破壊しようと
　強い加工（ノイズ付加や強い圧縮）を行うほど、
　元の画像の品質や芸術的な価値も損なわれます。

検出技術の進化:

・検出側も、
　これらの「洗浄」や「ノイズ付加」を想定して
　学習を強化しているため、
　今日有効な回避策が
　明日も通用する保証はありません。