该论文研究「被动图像溯源」问题：仅凭像素本身能否判断一张图片的来源——来自人类、来自某一类 AI 生成模型，还是来自某个特定的生成器。作者指出，一旦源图像在到达验证器之前可以被编辑（篡改、加噪、重编码、对抗扰动等），溯源就从单纯的分类问题变成了「源—目标验证」问题，即在对抗性分布偏移下判断图像是否属于目标来源类别。论文给出两项理论结果。第一，针对任何只使用图像信息的验证器，给出了精确的最优界：稳健的目标接受率差距（robust target-acceptance gap）等于目标分布与被攻击源分布集合之间的最小全变差（total variation）距离；该量只取决于源分布、目标分布和编辑类别，与验证器架构无关，因此构成了不可逾越的统计上限——即「信息层面」的上限，而非模型能力问题。第二，论文解释了为什么已部署的公开验证器往往在这个统计上限远未到达之前就已经失效：如果攻击者能在攻击区域上以误差 ε 模拟（emulate）验证器，那么一个替代黑盒攻击就能达到白盒最优值减去 2ε 加优化误差的目标接受率；论文证明基于公开特征的、会暴露分数的 logistic 与 softmax 头部是可辨识的（identifiable），近似分数访问也能给出稳定的恢复界。作者用一个有限状态实验验证了该 minimax 等式的两侧都可计算。在真实/扩散模型同提示词（same-prompt）基准上，被测的公开 CLIP 验证器在定向像素攻击下失效，而一个 ResNet-18 受害模型表现出部分「假到真」的迁移。带弃权（abstention）的二元反馈能降低实测攻击成功率，但论文强调：正的经验性差距上界并不能证明稳健性。总体结论是：评估被动溯源系统时，必须把「源—目标统计天花板」和「部署验证器实际泄露的信息量」分开评估。