AI画像の電子透かしは回転で消える｜研究解説

研究・論文

【更新 2026-08-02】本記事を見直し、修正しました。主な修正点：精度の表で「ShapeMark + AnchorMark」としていた±30°・±60°の数値は、論文では「Gaussian Shading + AnchorMark」の報告値だったため手法名を訂正しました（論文のShapeMark + AnchorMarkは同条件で検出率100%・ビット精度99.99〜100%）。あわせて、回転単体の比較実験がStable Diffusion v2.1で行われている点など、実験条件の記述を論文の記載に合わせて訂正しました。

AIが生成した画像に埋め込む「電子透かし」は、画像を回転させるだけで読み取れなくなることがあります。この弱点に正面から取り組み、回転角を推定して補正する手法「AnchorMark」が、2026年7月30日にarXivで公開されました（査読前のプレプリント）。

折しも、EU AI Actの透明性義務は2026年8月2日から適用が始まり、生成AIの出力には機械可読なマーキングが求められます。「透かしが入っているから本物／AI製と判定できる」という前提が、どこまで成り立つのか。情シスの実務目線で整理します。

この記事でわかること

  • 拡散モデルの「インバージョン型」電子透かしが、回転に弱い理由
  • AnchorMarkが見つけた「回転同期性（Rotation Synchrony）」と、報告された精度
  • EU AI Act第50条（2026年8月2日適用開始）との関係と、日本の状況
  • 現場で「電子透かし」をどこまで信用してよいか

AnchorMarkとは何か

AnchorMarkとは、拡散モデルの生成過程に透かしを埋め込む「インバージョン型」手法の弱点だった回転耐性を、追加学習なし（training-free）で大きく改善する技術です。既存手法を置き換えるのではなく、既存手法に上乗せして使うモジュールとして提案されている点が実務的に重要です。

論文は Yuqi Qian 氏らによる「AnchorMark: Robust Diffusion Watermarking via Latent-Space Rotation Synchrony」（arXiv:2607.27551、2026年7月30日投稿、cs.CR）です。現時点で査読を経た論文誌・国際会議への採択は確認できません。以下の数値はすべて著者らが自ら実施した実験の報告値である点にご留意ください。

なぜ電子透かしは回転で壊れるのか

生成AI画像の透かしには、大きく3つの流派があります。

方式 やり方 代表例
後付け型（post-hoc） できあがった画像に後から透かしを埋める DwtDctSvd、RivaGAN
ファインチューニング型 モデル自体を再学習して透かしを出させる Stable Signature
インバージョン型 生成の出発点である「潜在空間」に透かしを仕込む Tree-Ring、RingID、Gaussian Shading、ShapeMark

いま注目されているのはインバージョン型です。画像そのものを加工しないため見た目の劣化がほとんどないという利点があります。読み取るときは、画像を生成の逆方向にたどって「出発点の潜在表現」を復元し、そこに仕込んだパターンを照合します。

回転が致命傷になる理由は？

読み取りが空間的な位置の対応関係に依存しているからです。潜在空間のどの位置にどのパターンを置いたかを手がかりに照合するため、画像が回転すると対応がずれ、照合そのものが成立しなくなります。

論文の実験では、代表的なインバージョン型手法である Gaussian Shading が、小さな角度を超える回転を加えられただけで検出率がほぼ0%まで落ちると報告されています。SNSへの投稿、スマートフォンでの撮り直し、資料への貼り付け——実際の流通経路で画像が数度傾くことは珍しくありません。

AnchorMarkの発想：「回転同期性」

著者らが見つけたのは、画像を回転させると、復元される潜在表現も同じ角度だけ回転するという性質です。これを「回転同期性（Rotation Synchrony）」と呼んでいます。

ならば話は単純で、潜在空間の中央付近に「基準点（アンカー）」を仕込んでおけば、読み取り時にそのアンカーがどれだけ傾いているかを見て回転角を推定し、元に戻してから照合できる、という設計です。方位磁石を画像の中に埋めておくようなイメージです。

報告されている精度

条件 手法 検出率(TPR) ビット精度
±30°回転 Gaussian Shading + AnchorMark 100% 98.02%
±60°回転 Gaussian Shading + AnchorMark 99.60% 96.89%
回転＋各種劣化の複合攻撃（SD v2.1） Gaussian Shading + AnchorMark 約99.8% 95.98%
回転＋各種劣化の複合攻撃（SD v2.1） ShapeMark + AnchorMark 100% 97.22%

実験は、回転単体の比較が Stable Diffusion v2.1（512×512）で、回転と他の劣化を組み合わせた複合攻撃の評価が Stable Diffusion v1.5 / v2.1 / v3.5 Medium と FLUX.1-dev で行われました。評価用プロンプトは Stable-Diffusion-Prompts から500件、画質評価には COCO2017 から1,000件を使用しています。画質指標も FID は既存手法と同水準（おおむね56〜59）、CLIP-Score は約0.308で、見た目や意味の忠実さを大きく損なわずに耐性だけを上げられたと報告されています。

EU AI Act第50条：2026年8月2日から適用

この研究がタイムリーなのは、法規制側の期限が目前に迫っているからです。

EU AI Act第50条(2)は、生成AIの提供者に対し、AIが生成・改変したコンテンツを機械可読な形式でマーキングし、AI生成であると検知可能にすることを求めています。この透明性義務は2026年8月2日から適用されます。欧州委員会のFAQによれば、2026年8月2日より前に市場に出ていたAIシステムについては、第50条(2)のマーキング義務への対応に2026年12月2日までの移行期間が置かれています。また、AI生成コンテンツの表示に関する行動規範（Code of Practice）が公表され、欧州委員会とAI Boardが適切（adequate）と評価しており、これに署名することが遵守を示す道筋の一つとされています。

一方、日本では現時点で同等の法的義務は確認できません。総務省・経済産業省の「AI事業者ガイドライン（第1.2版、2026年3月31日）」が、偽情報等への留意を含む自主的な取組の考え方を示している段階です。

情シスに直接の義務はかかるのか？

多くの日本企業では、直ちに自社が第50条(2)の名宛人になるわけではありません。義務の中心は生成AIシステムの提供者（provider）です。ただし、EU域内でAI生成コンテンツを扱う事業を持つ場合や、自社サービスに生成AIを組み込んで顧客に提供している場合は、提供者側に回る可能性があります。ここは自社の立ち位置を早めに整理しておくべき論点です。

現場目線：透かしを「真贋判定の道具」と思わないこと

技術の進歩は歓迎すべきですが、情シスの立場でこの研究を読むと、正直なところ実務で使えるようになるにはまだ距離があると感じます。理由を3つ挙げます。

  • 「透かしが無い＝AI生成ではない」は成り立たない。 悪用する側は、透かしを埋め込まないオープンなモデルを選べば済みます。透かしは正直な提供者の出力を追跡するための仕組みであり、悪意ある生成物を検知する仕組みではありません。ここを混同すると、判定結果を過信した誤った意思決定を招きます。
  • 回転は数ある加工の一つにすぎない。 AnchorMarkが解いたのは回転という特定の歪みです。SNS投稿時の再エンコード、トリミング、スクリーンショット、さらには生成AIによる「描き直し」まで含めた実際の流通経路すべてに耐えられるかは、この論文だけでは判断できません。なお、論文中に限界や今後の課題を明示した記述は確認できませんでした。査読前という点も含め、鵜呑みにはできない部分です。
  • 読み取る側のツールが現場に無い。 仮に透かしが頑健になっても、情シスが全社員に「この画像の透かしを確認せよ」と配れる検証ツールがあるわけではありません。当面は、社外から流れてきた画像の真贋を技術的に確定する運用は成立しないと考えるのが現実的です。

限られた人員で日々の脆弱性対応に追われる中、こうした先端技術は「いつか効いてくる布石」として頭の片隅に置きつつ、いま効く手を優先するしかありません。もどかしさはありますが、判断の優先順位としては妥当だと考えます。

では、いま現場で何をすべきか

透かしの成熟を待つのではなく、「画像や音声を信じてよいかを、技術以外で担保する」方向に投資するのが現実的です。

  • 自社が発信する側の来歴を整える。 広報・IR素材に生成AIを使ったかどうかを社内で記録し、必要に応じて開示できる状態にしておく。EU AI Actへの対応が必要になったときに、ここが出発点になります。
  • 「本人確認は画像・音声でしない」を業務ルールに落とす。 なりすまし対策として最も効くのは技術検知ではなく、送金・権限変更などの重要操作に別経路での確認を必須にする運用です。
  • 従業員への地道な啓発を続ける。 「AI生成かどうかは見た目では分からない」という前提を全社で共有するだけでも、初動は変わります。IPAの対策のしおりはエンドユーザ向けの啓発資料として使いやすく、社内配布の素材として適しています。
  • 体制づくりは公的指針に沿う。 自前でチェックリストを作り込む前に、IPAの中小企業の情報セキュリティ対策ガイドラインや、総務省・経済産業省のAI事業者ガイドライン（第1.2版）を土台にするほうが、経営層への説明も通しやすくなります。

関連して、AI生成コンテンツの検知そのものについてはディープフェイク検知の新研究｜音声と映像で94%判別、生成AIの悪用が本人確認をどう揺さぶるかについては生成AIによる身分証偽造、eKYC本人確認の限界を研究に学ぶもあわせてご覧ください。AIへの攻撃手法全体の見取り図はAIへの敵対的攻撃を一元整理、LLMから画像・マルチモーダルまでで整理しています。

まとめ

  • 拡散モデルのインバージョン型電子透かしは回転に弱く、既存手法では小さな角度を超えると検出率がほぼ0%になると報告されています。AnchorMarkは「回転同期性」を利用してこれを補正し、±60°回転でもビット精度96.89%（著者らの報告値・査読前）を示しました。
  • EU AI Act第50条(2)の機械可読マーキング義務は2026年8月2日から適用（既存システムは2026年12月2日まで移行期間）。日本には同等の法的義務は現時点で確認できず、AI事業者ガイドラインによる自主的取組の段階です。
  • 情シスの実務では、透かしを真贋判定の道具と考えないこと。「透かしが無い＝AI生成ではない」は成り立たず、重要操作の別経路確認と従業員啓発のほうが今は確実に効きます。

出典

タイトルとURLをコピーしました