Robustheitsbericht

Wie gut unsere Markierungen standhalten, gemessen auf unseren eigenen Rechnern und veröffentlicht, wie es Verpflichtung 3 des Verhaltenskodex verlangt. Gemessen am 23. Oktober 2026 auf CPU, mit dem Code und den Modellen, die die API ausführt.

Zwei Ebenen, zwei Arten von Stärke

Das C2PA-Manifest besteht aus signierten Metadaten: Es beweist, wer was signiert hat, und wird erkennbar ungültig, wenn sich die Datei ändert. Die meisten Plattformen entfernen Metadaten, wenn sie einen Upload neu codieren, deshalb übersteht es ein erneutes Posten selten.
Das Wasserzeichen (TrustMark, Variante Q) steckt in den Pixeln und trägt eine 61-Bit-ID. Es übersteht das übliche Neucodieren und Skalieren, und seine ID führt zu den dauerhaften Content Credentials der Datei, dem Manifest, das wir aufbewahren. Dieser Bericht misst es.

So wurde gemessen

78 KI-generierte Bilder (Alltagsszenen; Median 0,7 Megapixel), jedes wie in der API mit einer zufälligen ID als Wasserzeichen versehen, dann auf jede der unten genannten Arten bearbeitet und zurückgelesen. Ein Erfolg ist die exakte ID; alles andere, auch kein gefundenes Wasserzeichen, zählt als Fehlschlag. Dieselben Bearbeitungen an den Bildern ohne Wasserzeichen zeigen, wie oft der Wasserzeichen-Leser eine Markierung meldet, die nicht da ist. Die Intervalle sind 95-%-Konfidenzintervalle nach Wilson.

Das Wasserzeichen nach jeder Bearbeitung

Nach jeder Bearbeitung zurückgelesene Wasserzeichen-IDs
Bearbeitung	ID zurückgelesen	95-%-Intervall	Unmarkierte Bilder als markiert gelesen
Unverändert (PNG)	100 % (78/78)	95,3 %–100 %	0
JPEG, Qualität 95	100 % (78/78)	95,3 %–100 %	0
JPEG, Qualität 85	100 % (78/78)	95,3 %–100 %	0
JPEG, Qualität 75	100 % (78/78)	95,3 %–100 %	0
JPEG, Qualität 60	100 % (78/78)	95,3 %–100 %	0
JPEG, Qualität 50	100 % (78/78)	95,3 %–100 %	0
WebP, Qualität 80	100 % (78/78)	95,3 %–100 %	0
Lange Seite 1080 px, JPEG 85 (Upload in einem sozialen Netzwerk)	100 % (78/78)	95,3 %–100 %	0
Auf 75 % skaliert	100 % (78/78)	95,3 %–100 %	0
Auf 50 % skaliert	100 % (78/78)	95,3 %–100 %	0
Auf 25 % skaliert	100 % (78/78)	95,3 %–100 %	0
Auf die mittleren 90 % jeder Seite zugeschnitten	100 % (78/78)	95,3 %–100 %	0
Auf die mittleren 75 % jeder Seite zugeschnitten	52,6 % (41/78)	41,6 %–63,3 %	0
Auf die mittleren 50 % jeder Seite zugeschnitten	0 % (0/78)	0 %–4,7 %	0
Helligkeit +20 %	88,5 % (69/78)	79,5 %–93,8 %	0
Helligkeit −20 %	100 % (78/78)	95,3 %–100 %	1
Kontrast +20 %	100 % (78/78)	95,3 %–100 %	0
Kontrast −20 %	100 % (78/78)	95,3 %–100 %	0
Sättigung +30 %	100 % (78/78)	95,3 %–100 %	0
Graustufen	98,7 % (77/78)	93,1 %–99,8 %	1
Gaußscher Weichzeichner, Radius 1 px	100 % (78/78)	95,3 %–100 %	0
Gaußscher Weichzeichner, Radius 2 px	100 % (78/78)	95,3 %–100 %	0
Gaußsches Rauschen, σ 5	100 % (78/78)	95,3 %–100 %	0
Gaußsches Rauschen, σ 10	100 % (78/78)	95,3 %–100 %	0
Um 2° gedreht und gerade zugeschnitten	100 % (78/78)	95,3 %–100 %	0
Um 5° gedreht und gerade zugeschnitten	41,0 % (32/78)	30,8 %–52,1 %	0
Horizontal gespiegelt	100 % (78/78)	95,3 %–100 %	0

Das Wasserzeichen kostet wenig: ein PSNR von im Median 42,2 dB gegenüber dem Original (der niedrigste: 39,0 dB). Auf einer Laptop-CPU dauerte das Einbetten im Median 0,15 s und das Lesen 0,06 s.

Wo es schwächer wird: bei Zuschnitten, die weniger als etwa 80 % jeder Seite behalten (bei 75 % übersteht die Hälfte der IDs, bei 50 % keine), bei Drehungen um wenige Grad (41 % bei 5°) und bei starkem Aufhellen. Bearbeitungen, die es absichtlich entfernen sollen, wurden nicht getestet. Ein fehlendes Wasserzeichen beweist nichts über ein Bild. Ein gefundenes ist so viel wert, wie seine Content Credentials aussagen: Der Wasserzeichen-Leser meldete bei 2.106 Lesevorgängen 2-mal eine Markierung auf einem unmarkierten Bild, jedes Mal mit einer zufälligen 61-Bit-ID, die so gut wie sicher zu keinen Content Credentials führt; schlagen Sie die ID also immer nach.

Die Fehlalarme der Sicherheitsprüfung

Dieselben 78 Alltagsbilder durch die Sicherheitsprüfung, unter beiden Richtlinien: Alltagsbilder sollten alle zugelassen werden.

Alltagsbilder, die die Sicherheitsprüfung vorgemerkt oder blockiert hat
Richtlinie	Zugelassen	Vorgemerkt oder blockiert	95-%-Intervall der Fehlalarme
`ai-act`	78/78	0	0 %–4,7 %
`safe-only`	78/78	0	0 %–4,7 %

Eine Prüfung dauerte auf einer Laptop-CPU im Median 0,12 s. Wie oft explizite Bilder erkannt werden, wird hier nicht gemessen: Keiner unserer Tests erstellt oder speichert ein sexuelles Bild. An seine Stelle tritt die veröffentlichte Evaluation des Nacktheitsklassifikators selbst, und die an den Gesichtern von FairFace gemessenen Fehlerraten der Schätzung des scheinbaren Alters stehen auf der Seite der Sicherheitsprüfung, mit ihren bekannten Grenzen.