So entfernst du das SynthID-Wasserzeichen aus Gemini-Bildern

Ich bin auf ein GitHub-Repository gestoßen, das behauptet, Googles „unknackbares“ KI-Wasserzeichen reverse-engineered zu haben. Das hat mich in ein richtiges Kaninchenloch geschickt, und dieser Beitrag ist das, was ich geschrieben habe, als ich versucht habe, SynthID-Wasserzeichen-Schutz von einem von Gemini generierten Bild zu entfernen, und ob das überhaupt eine gute Idee ist.

Was ist SynthID eigentlich?

SynthID ist Google DeepMinds KI-Bildwasserzeichen-System, und es deckt auch Text, Audio und Video ab. Es bettet leise ein Signal in Inhalte ein, in dem Moment, in dem sie von Tools wie Gemini, Imagen, Veo und Lyria erstellt werden.

Bei Bildern ist das Wasserzeichen kein Logo und kein Stempel. Es ist ein Muster, das direkt in die Pixelwerte eingebacken ist, über das ganze Bild verteilt, statt in einer Ecke zu sitzen. Das unterscheidet sich stark von dem kleinen Funkel-Icon, das Gemini zusätzlich in die Ecke eines Bildes klatscht, was nur ein sichtbares Logo ist, das obendrauf liegt.

Google hat SynthID so gebaut, dass das Signal normales Bearbeiten überlebt: Größenänderung, Zuschneiden, Neukomprimierung, Screenshots, sogar Farbanpassungen. Ein Detektor kann die Datei später scannen und sie mit ziemlich hoher Sicherheit als KI-generiert markieren, laut Google DeepMind.

Warum das Entfernen des sichtbaren Wasserzeichens nicht reicht

Hier stolpern die meisten Leute. Wenn du das kleine Gemini-Logo wegschneidest oder drübermalst, hast du nur die kosmetische Schicht bearbeitet. Das unsichtbare SynthID-Signal sitzt immer noch in den Pixeln, unangetastet!

Das ist wichtig, weil das sichtbare Logo und das unsichtbare Wasserzeichen zwei völlig getrennte Systeme sind. Eines zu löschen ändert nichts am anderen. Jeder, der einen SynthID-Detektor auf dein „bereinigtes“ Bild laufen lässt, bekommt immer noch einen positiven Treffer, weil die eigentlichen Wasserzeichendaten nie angefasst wurden.

Okay, manchmal reicht visuelle Entfernung

Fairerweise interessieren sich viele Leute nur für das sichtbare Logo, nicht für das unsichtbare Herkunftssignal. Wenn dein Ziel nur ein sauber aussehendes Bild ohne das Funkel-Icon in der Ecke ist, schaffen das ein paar kostenlose Tools problemlos.

• Photopea, eine kostenlose Photoshop-Alternative, die im Browser läuft, hat ein Spot Healing Brush Tool, das den Wasserzeichen-Bereich in ein paar Sekunden mit den umliegenden Pixeln verschmilzt. Es funktioniert gut bei kleinen Logo-Wasserzeichen auf einfachen Hintergründen.
• geminiwatermarkremover.io ist ein kostenloser Gemini-Wasserzeichen-Entferner, speziell für das Gemini-Logo gebaut. Alles läuft lokal in deinem Browser, also verlässt das Bild nie dein Gerät.

Wenn du nur einen Screenshot ohne Eck-Logo für eine Präsentation oder ein Mockup brauchst, sind diese Tools völlig in Ordnung und schnell.

Was ist das reverse-SynthID GitHub-Repo?

Hier wird es richtig interessant. reverse-SynthID ist ein Open-Source-Forschungsprojekt von Entwickler Alosh Denny, das versucht, Google Gemini SynthID mit reiner Signalverarbeitung zu reverse-engineeren, ohne Zugriff auf Googles echten Encoder oder Decoder.

Wie es funktioniert

Statt das Wasserzeichen als Bild zu behandeln, das man übermalen muss, behandelt das Projekt es als verstecktes Signal, das in der Frequenzdomäne eines Bildes vergraben ist. Jedes Bild kann mit einer FFT, einer Fast Fourier Transform, in eine Frequenzdarstellung umgewandelt werden, die ein Bild als Summe von Wellenmustern statt als Pixel beschreibt. SynthIDs Signal taucht in dieser Darstellung als eine Handvoll spezifischer, sich wiederholender Wellenfrequenzen auf, sogenannte Carrier, die an festen Positionen sitzen.

Um diese Carrier-Positionen ohne Zugriff auf Googles eigenen Detektor zu finden, haben die Forscher Gemini reine schwarze und reine weiße Bilder gefüttert. Auf einem schlichten schwarzen Bild ist fast der gesamte Pixelinhalt tatsächlich das Wasserzeichen, weil es keinen echten Fotoinhalt gibt, in dem man es verstecken könnte. Der Vergleich von Schwarz- und Weiß-Versionen ließ sie bestätigen, welche Frequenzen wirklich zu SynthID gehörten und nicht Rauschen waren, indem sie prüften, ob die Phasenwerte so ausgerichtet waren, wie man es von einem invertierten Signal erwarten würde.

Zwei Erkenntnisse machten das schwer. Erstens sind die Carrier-Positionen auflösungsabhängig, das heißt, ein 1024x1024-Bild versteckt sein Wasserzeichen an völlig anderen Frequenzpositionen als ein 1536x2816-Bild, also ist ein für eine Größe gebauter Fingerabdruck auf einer anderen nutzlos. Zweitens ist das Phasenmuster des Wasserzeichens bei jedem Bild aus demselben Gemini-Modell konsistent und tritt am stärksten im grünen Farbkanal auf, weshalb das Projekt Grün-, Rot- und Blaukanäle beim Entfernen unterschiedlich gewichtet.

Diese Erkenntnisse werden in dem gespeichert, was das Projekt SpectralCodebook nennt, im Wesentlichen eine Nachschlagetabelle von Carrier-Frequenzen und Phasenwerten für jede Bildauflösung, die Gemini ausgeben kann. Beim Entfernen matcht das Tool ein Bild mit dem nächstliegenden Auflösungsprofil im Codebook und subtrahiert dann das bekannte Wasserzeichensignal direkt aus dem Frequenzspektrum des Bildes in mehreren Durchläufen, jeder schwächer als der letzte, damit es nicht überkorrigiert. Das Projekt hat drei Versionen dieses Ansatzes durchlaufen: angefangen mit einfacher JPEG-Neukomprimierung, über breitere mehrstufige Transformationen bis hin zu dieser direkten spektralen Subtraktion, die die eigenen Benchmarks des Repos als stärkste melden: ungefähr 75 Prozent weniger Carrier-Energie und über 90 Prozent weniger Phasenkohärenz, während die Bildqualität (PSNR) über 43 dB bleibt, was bedeutet, dass das Bild für das menschliche Auge im Grunde identisch aussieht.

Wie kannst du es nutzen?

Das Projekt ist ein Satz Python-Skripte, keine One-Click-App, also braucht die Nutzung etwas Setup. In groben Zügen:

1. Klone das Repository von GitHub und installiere die im Repo gelisteten Python-Abhängigkeiten.
2. Lade die Referenz-Schwarz-Weiß-Gemini-Bilder aus dem Hugging-Face-Dataset des Projekts mit dem mitgelieferten Download-Skript herunter.
3. Erstelle ein SpectralCodebook aus diesen Referenzbildern, das die Carrier-Frequenzen für jede Auflösung abbildet.
4. Führe das V3-Bypass-Skript gegen dein eigenes Bild aus, zeige auf die Codebook-Datei und wähle eine Stärkestufe von sanft bis maximal.
5. Führe optional danach das mitgelieferte Detektor-Skript aus, um zu prüfen, ob das Wasserzeichensignal tatsächlich gesunken ist.

Der Maintainer bittet aktiv Mitwirkende, mehr rein schwarz-weiße Gemini-Ausgaben auf Hugging Face einzureichen, denn mehr Referenzbilder bei mehr Auflösungen machen das Codebook genauer.

Die eigene README des Projekts ist beim Umfang ehrlich: Das ist Signalverarbeitungs-Forschung, gebaut ohne Zugriff auf Googles proprietären Encoder oder Decoder, und die Ergebnisse variieren je nach Auflösung und danach, wie aggressiv du das Signal entfernst.

Warum du SynthID wahrscheinlich gar nicht entfernen solltest

Hier ist meine ehrliche Einschätzung, nachdem ich das alles durchgelesen habe. SynthID und ähnliche Wasserzeichen-Systeme existieren genau dafür, Menschen zu helfen, echte Fotos von KI-generierten zu unterscheiden. Dieses Signal rauszustreifen macht den ganzen Sinn zunichte und kann echten Schaden anrichten.

Journalisten, Faktenchecker und Plattformen verlassen sich auf diese Signale, um KI-generierte Desinformation einzufangen, bevor sie sich verbreitet. Wenn ein gefälschtes Bild einer öffentlichen Person oder eines Ereignisses sein SynthID-Wasserzeichen weggewischt bekommt, wird es viel leichter als authentisch durchzugehen, und genau dieses Szenario soll Wasserzeichen verhindern.

Es gibt auch einen Fairness-Aspekt. Manche Künstler und Fotografen nutzen eigene Wasserzeichen, um die Urheberschaft ihrer Arbeit zu belegen. Jedes Wasserzeichen zu entfernen, ob KI oder menschengemacht, und das Ergebnis als eigene Originalschöpfung auszugeben, rutscht in die Irreführung, und in manchen Kontexten kann das echte Fragen zum geistigen Eigentum aufwerfen.

Selbst das reverse-SynthID-Repo sagt unmissverständlich, dass das Projekt für Forschungs- und Bildungszwecke gedacht ist und ausdrücklich davor warnt, es zu nutzen, um KI-generierte Inhalte als menschengemacht darzustellen. Dem solltest du folgen, egal welches Tool du verwendest.