Filigrane et détection de l'IA générative : méthodes et limites

Vous pensez qu'il est facile de dire si une image ou un texte a été créé par une machine ? Détrompez-vous. Avec la qualité stupéfiante des modèles comme DALL-E ou GPT-4, nos yeux et notre intuition ne suffisent plus. C'est là que le filigrane numérique (watermarking) entre en jeu. L'idée est simple sur le papier : cacher un signal invisible dans le contenu généré pour prouver son origine artificielle. Mais en pratique, c'est un combat constant entre les ingénieurs qui tentent d'ancrer ce signal et les attaquants qui cherchent à l'effacer.

Pourquoi le filigrane est devenu indispensable

Le problème n'est pas nouveau, mais il a explosé avec l'avènement des grands modèles de langage (LLM) et des générateurs d'images diffusifs. Sans marqueur clair, comment distinguer une photo réelle d'une synthèse parfaite ? Le risque va bien au-delà de la curiosité technique. Il touche à la confiance publique, aux droits d'auteur et à la lutte contre la désinformation. En Europe, le règlement sur l'IA (EU AI Act), adopté en 2024, impose désormais aux fournisseurs de systèmes génératifs de marquer leurs sorties dans un format lisible par machine. Aux États-Unis, les engagements volontaires signés par OpenAI, Google et Microsoft en 2023 poussent dans la même direction. Le message est clair : si vous créez du contenu synthétique, vous devez pouvoir le prouver.

Mais attention, "marquer" ne veut pas seulement dire ajouter un logo visible. Les solutions modernes reposent sur des algorithmes complexes qui modifient subtilement le contenu lui-même, sans que l'utilisateur humain ne perçoive la différence. C'est un équilibre délicat entre trois axes : la qualité visuelle ou textuelle, la détectabilité statistique et la robustesse face aux modifications.

Comment fonctionne le filigrane pour le texte ?

Générer du texte, c'est choisir des mots un par un selon des probabilités. Les chercheurs ont trouvé le moyen de biaiser légèrement ces choix pour y insérer une signature. Prenez la méthode proposée par Scott Aaronson chez OpenAI ou celle de Kirchenbauer et al. en 2023. Au lieu de choisir le mot le plus probable, le modèle utilise une clé secrète pour favoriser certains tokens (mots ou sous-mots) par rapport à d'autres. Par exemple, il peut être programmé pour préférer les mots appartenant à une "liste verte" définie par la clé.

Pour un lecteur humain, le texte reste parfaitement fluide. Mais pour un logiciel détecteur disposant de la même clé secrète, la proportion anormalement élevée de mots de la "liste verte" agit comme une preuve statistique. Des tests internes ont montré une précision de détection supérieure à 99 % pour des textes longs. Cependant, cette méthode a ses faiblesses. Si quelqu'un réécrit le texte avec un autre outil d'IA ou simplement à la main, le schéma statistique est perturbé. La détection chute alors souvent au niveau du hasard.

Images et audio : le défi de la robustesse

Pour les images, la situation est différente. On ne peut pas simplement changer quelques pixels sans altérer la qualité. Deux grandes familles de techniques s'affrontent. D'un côté, le SynthID de Google DeepMind, lancé en 2023, utilise un réseau de neurones pour encoder un filigrane directement dans les pixels après la génération. De l'autre, des méthodes intégrées comme Stable Signature modifient le décodeur du modèle de diffusion lui-même pour garantir que chaque image produite contient le signal.

Ces systèmes sont impressionnants. SynthID, par exemple, distribue l'information de manière holographique sur toute l'image. Même si vous recadrez 50 % de l'image, le signal reste souvent détectable. Pour l'audio, le principe est similaire : on perturbe légèrement l'enveloppe spectrale ou le spectrogramme. Mais ici aussi, la limite est claire. Si je prends une image générée par IA, que je fais une capture d'écran avec mon téléphone, puis que je la renvoie sur les réseaux sociaux (qui compressent agressivement), le filigrane disparaît probablement. C'est ce qu'on appelle le "trou analogique" : dès que le contenu quitte le flux numérique pur, la traçabilité devient extrêmement difficile.

La complémentarité avec les métadonnées C2PA

Il serait erroné de voir le filigrane comme la seule solution. C'est pourquoi l'industrie pousse fortement vers le standard C2PA (Coalition for Content Provenance and Authenticity). Fondée par Adobe, Microsoft et Intel, cette coalition propose une chaîne de confiance cryptographique. Chaque étape de création ou d'édition est enregistrée dans un fichier de métadonnées signé numériquement.

Concrètement, lorsque vous utilisez Photoshop ou Bing Image Creator, les informations sur l'outil utilisé et l'heure de création sont attachées au fichier JPEG ou PNG. Contrairement au filigrane, qui est fragile et probabiliste, les métadonnées C2PA offrent une preuve forte : soit la signature est valide, soit elle ne l'est pas. Le problème ? Ces métadonnées sont volatiles. Un simple copier-coller, une conversion de format ou une publication sur Instagram les supprime instantanément. Le filigrane survit mieux à ces manipulations basiques, tandis que C2PA offre une meilleure preuve quand il est présent. La stratégie idéale combine les deux : le filigrane comme filet de sécurité résiduel, et C2PA comme preuve principale tant que le fichier original circule.

Les limites inévitables et les attaques

Soyons honnêtes : aucun filigrane actuel n'est inviolable. Les chercheurs ont identifié plusieurs vecteurs d'attaque majeurs. Le premier est la paraphrase. Pour le texte, passer une réponse de ChatGPT dans un outil de reformulation suffit souvent à brouiller les pistes statistiques. Pour les images, appliquer un filtre artistique ou utiliser un autre modèle de diffusion pour "restaurer" l'image peut effacer le signal tout en gardant le sujet reconnaissable.

Un autre problème crucial est celui de la prolifération des modèles open source. Stable Diffusion ou LLaMA peuvent être exécutés localement sans aucune obligation de filigrane. Si un utilisateur génère une image avec un modèle non marqué, l'absence de filigrane ne prouve pas qu'elle est humaine ; cela prouve juste qu'elle n'a pas été créée par un système marqué spécifique. Cela crée un flou juridique et technique important. De plus, les attaques par collusion-où l'on mélange des contenus de différentes sources-rendent la détection ambiguë. Faut-il signaler un contenu partiellement synthétique ? Et à quel seuil ?

Que faire en tant qu'utilisateur ou créateur ?

Si vous êtes une entreprise ou un média, la recommandation actuelle est d'adopter une approche en couches. N'utilisez jamais le filigrane seul comme preuve absolue devant un tribunal ou pour une décision critique. Utilisez-le comme un indicateur fort parmi d'autres. Intégrez les standards C2PA dans vos workflows de production pour conserver la traçabilité interne. Soyez conscient que les outils de détection grand public (comme ceux utilisés par Turnitin pour les étudiants) sont souvent moins fiables que les solutions intégrées aux modèles, car ils doivent deviner l'origine sans avoir accès à la clé secrète du générateur.

L'avenir verra probablement une normalisation accrue. Avec l'entrée en vigueur progressive des régulations européennes et américaines, le filigrane deviendra une fonctionnalité "par défaut" pour les grands acteurs commerciaux. Mais pour les modèles open source et les utilisateurs avancés, la course entre le marquage et le dé-marquage continuera. La transparence restera donc un effort collectif, combinant technologie, politique et éthique, plutôt qu'une simple case à cocher technique.