该论文研究开放世界(open-world)条件下的图像取证问题:篡改类型涵盖完全合成图像、局部编辑、拼接与换脸/替换等,而现有取证检测器大多只针对单一篡改族,难以覆盖真实场景。作者提出并系统剖析了一个免训练(training-free)的智能体(agentic)框架:以多个专业检测器作为工具,引入逐检测器分诊(triage)、提示工程(prompting)与冲突感知的证据仲裁(conflict-aware evidence arbitration),并由多模态大模型担任最终裁决者。为厘清究竟是哪些组件在真正驱动性能、以及这些收益能否在分布漂移下保持,作者在六种框架配置与三个多模态大模型骨干上,分别于分布内与分布外数据上进行了消融式评估,重点考察分诊、提示与推理质量三者的作用。主要发现包括:(1)朴素地直接融合多个检测器输出会在真实(未篡改)图像上产生严重误报;(2)分诊与提示能持续提升表现,机制在于过滤不可靠证据并暴露各检测器的适用范围局限;(3)真正的主导因素是推理本身——更强的裁决模型显著优于较弱的裁决模型,且在分布漂移条件下差距进一步放大;(4)最值得注意的是,篡改召回率在几乎所有配置下都接近饱和。作者由此得出结论:开放世界图像取证的核心挑战已不再是从图像中发现篡改痕迹,而是如何校准对专业取证工具的信任、并在相互冲突的证据之间做出可靠仲裁。

局部图像水印（local watermarking）与传统的全图水印不同，它只把不可见信号嵌入到图像的特定区域内，而不是平铺到整幅图像上，因此可以从某个目标物体或指定区域中恢复出载荷（payload）并给出该区域的大致定位（localization）。这一特性使其非常适合溯源、内容真实性核验以及 AI 生成图像的标注等场景。然而，论文指出现有研究存在明显的方法论缺陷：各篇工作几乎只评测自己提出的方法，所使用的图像变换种类、数据集和评价指标彼此不一致，导致不同方法之间无法直接横向比较，也让人们对“局部水印到底有多鲁棒”缺乏整体认知。为填补这一空白，作者构建了首个针对局部图像水印的系统化鲁棒性基准，覆盖 55 种图像变换，并将其划分为四大类：(i) 信号失真类变换；(ii) 图像坐标对齐改变（几何/同步类）；(iii) 间接的局部编辑；(iv) 直接针对水印的编辑。基准评测了 MaskWM、WAM、OmniGuard、TrustMark 和 PixelSeal 五种方法，这些方法要么原生支持定位，要么只需极少改造即可支持定位。实验结论包括：所有被评测方法都会在某些变换下失效；MaskWM 在载荷恢复与定位上表现最强，但在干净图像上的画质最差；引入同步（synchronization）机制能提升 MaskWM 在若干几何变换下的载荷恢复能力，但会进一步牺牲画质；一个关键发现是，局部水印的鲁棒性强依赖于变换的性质——最强的几种方法往往能容忍信号失真，而几何错位以及生成式局部编辑（如 inpainting、outpainting）可能彻底破坏载荷恢复。论文还观察到载荷恢复与区域定位相关但并不等价，二者都强烈取决于变换对水印区域的破坏程度。该工作为后续局部水印研究提供了统一的评测口径与可复现的比较基线。

本文是团队"Go To Germany"参加ImageCLEF 2026深度伪造检测与生成任务的系统描述，并在官方任务之外额外开展了基于净化的对抗检测研究。在图像生成任务中，作者使用FLUX.1-dev与PuLID进行身份保持的人脸合成，并设计了一种针对12个检测器同时进行的多模型PGD对抗攻击，该攻击集成了DiffJPEG可微压缩环、MI/DI/EoT多种梯度优化策略、自适应权重以及两阶段热启动机制。该攻击使生成图像对组织方检测器逃脱率达90%，对参赛方检测器逃脱率57.6%，最终生成得分为0.4170。在图像检测任务中，作者组合了两种互补检测器：SigLIP+DINOv2用于识别AI生成图像，GenD-DINOv3用于识别人脸操作，通过最大概率集成，在基线深度伪造上达到99.4%的准确率，但在真实图像上产生较高的假阳性率，最终检测得分为0.6986。在官方提交之外，作者自主探索了基于净化的对抗检测方法，比较了三种检测信号家族，并基于共享CLIP ViT-L/14骨干的六个检测器进行了实验。结果表明，在采用中值滤波（median-3）净化后，通过EFFORT检测器使用的原始|Δlogit|（净化前后logit差异绝对值）能够在四种对抗源类型上将对抗输入与干净输入分离，AUROC达到0.81-0.98。这一发现反驳了简单的骨干保留假说（即净化会破坏对抗扰动，从而暴露对抗样本），并揭示了在JPEG质量因子Q70处存在一个尖锐的质量悬崖，当质量低于该阈值时，检测信号会突然崩溃。该研究为深度伪造检测与对抗鲁棒性提供了实证洞察。

该论文研究了训练无关（training-free）的参考式合成图像溯源方法，即通过将待检测图像与已知生成源的参考图像进行比较来识别其来源。此类方法无需针对新生成器重新训练分类器，仅需添加特定来源的参考即可扩展，具有可扩展性强的优点。然而，其性能依赖于两个耦合因素：用于比较的表示空间（representation space）以及源特定参考的构建方式。目前这两者之间的相互作用尚未被充分探索。本文使用现成的预训练表示（CLIP和DINOv2的不同网络层）以及三种参考选择方法（任意参考、语义对齐参考、基于重合成的参考）进行了受控分析。实验发现，溯源准确度在中间层表示达到峰值，表明生成器判别性特征在强语义抽象主导之前更易获取。中间层表示并非完全语义中性，因此参考选择至关重要：语义约束的参考可减少查询-参考不匹配，尤其在参考数量有限时提升性能。重合成参考在参考极少的场景下最有效，而语义对齐参考在中等参考池规模时提供更好的准确度-成本权衡。研究结论指出，训练无关的参考式合成图像溯源应理解为一个系统问题，涉及图像比较的位置、参考集的构建方式以及可用参考数量三者之间的交互。本文适合图像取证、AI生成内容检测领域的研究者和工程师阅读。

随着扩散模型等生成模型的快速普及，数字水印技术已成为识别AI生成图像的关键手段。现代后处理水印方法通常采用神经网络，旨在实现极低的误报率，同时保持对常见图像变换的鲁棒性。然而，这些现代方法与经典水印方法（如Broken-Arrows方案）之间缺乏系统的比较，尤其是在鲁棒性和安全性优先于极低误报率的实际场景中。本文提出了一种公平的比较框架，评估现代与经典后处理水印方法在面对各种经典图像增强和最新复杂攻击时的鲁棒性与安全性。实验结果表明，在现实场景下，经典水印方法在保持同等鲁棒性的同时，在安全性方面优于现代技术。该研究为AI生成图像检测的水印方案选型提供了重要参考，提示安全从业者在实际部署中不应盲目追求低误报率而忽视经典方法的优势。

本文提出了一种基于物理反射定律的深度伪造图像检测方法，名为 Light2Lie。当前深度伪造图像生成技术（如 GANs、扩散模型）在保留人脸纹理和几何方面已非常逼真，但往往忽略真实物理环境中光照与物体表面相互作用的固有约束。作者指出，伪造图像中的光照方向、反射强度及阴影分布常存在物理不一致性，而人眼难以察觉。为此，该方法利用双向反射分布函数（BRDF）等物理模型，从单张图像中提取光照特征和反射特征，并通过统计学习或神经网络判断是否符合真实物理规律。具体地，论文设计了一个多尺度特征提取模块，分别计算全局光照一致性（如环境光方向）和局部表面反射属性（如菲涅尔效应）。在多个公开深度伪造数据集（如 FaceForensics++、Celeb-DF）上，该方法在 AUC 和准确率方面显著优于现有的基于频率、纹理或深度学习的检测器，尤其在跨数据集泛化测试中表现鲁棒。此外，作者进行了消融实验，验证了各物理特征分量的贡献。该工作为数字图像取证提供了新思路，表明结合物理先验能有效提升对逼真伪造图像的检测能力。适合研究人员和取证分析师阅读。