La Detección de Deepfakes: Avances Tecnológicos, Desafíos Adversarios y Estandarización de Procedencia (2024-2026)

Raymond Orta Martinez, Perito en Informática Forense. Investigación asistida por IA

1. Introducción: La Metamorfosis de la Amenaza Sintética

La evolución de la tecnología de deepfakes ha transitado desde una curiosidad académica emergente hacia una amenaza sistémica global entre 2024 y 2026. La capacidad de generar medios sintéticos hiperrealistas ya no es dominio exclusivo de expertos en aprendizaje profundo con recursos computacionales masivos; se ha democratizado mediante herramientas de consumo accesibles impulsadas por Modelos de Difusión Latente (LDMs) y Redes Generativas Antagónicas (GANs) de última generación.¹ Esta democratización ha exacerbado los riesgos asociados con la desinformación, el fraude financiero, la suplantación de identidad y la erosión de la confianza en las instituciones democráticas y los medios de comunicación.²

La transición tecnológica subyacente es fundamental para comprender el panorama actual de la detección. Mientras que las generaciones anteriores de deepfakes (circa 2019-2022) dependían principalmente de arquitecturas de autoencoders variacionales que dejaban artefactos visuales evidentes —como parpadeo irregular, texturas de piel plásticas o bordes mal definidos—, los modelos actuales, como Stable Diffusion 3.5, Flux y variantes avanzadas de StyleGAN3, han logrado una fidelidad perceptual que desafía la capacidad sensorial humana.¹ La detección pasiva basada en artefactos visuales simples ha quedado obsoleta, obligando a la comunidad científica a desarrollar métodos forenses de segundo y tercer orden que analizan la coherencia semántica, las señales fisiológicas invisibles y las huellas espectrales en el dominio de la frecuencia.

Este informe analiza exhaustivamente la infraestructura de detección actual, destacando la crisis de generalización revelada por nuevos benchmarks, la emergencia de la biometría forense (como la fotopletismografía remota y el análisis ocular), la guerra armamentista contra los ataques adversarios en el espacio latente y la consolidación de estándares de procedencia criptográfica como C2PA.

2. La Crisis de la Generalización y la Evaluación de Sistemas

La validación empírica de los detectores de deepfakes ha enfrentado un «momento de verdad» en el ciclo 2024-2025. Durante años, los investigadores optimizaron sus modelos para obtener puntuaciones casi perfectas en conjuntos de datos académicos cerrados, como FaceForensics++ (FF++). Sin embargo, la brecha entre el rendimiento en laboratorio y la eficacia en el mundo real se ha ampliado hasta convertirse en un abismo crítico.

2.1 El Colapso del Rendimiento en Deepfake-Eval-2024

El lanzamiento del benchmark Deepfake-Eval-2024 ha proporcionado la evidencia más contundente de esta crisis. A diferencia de los datasets académicos curados, Deepfake-Eval-2024 se compone de medios «in-the-wild» recolectados de 88 sitios web diferentes en 52 idiomas, abarcando las tecnologías de manipulación más recientes disponibles para los usuarios finales.⁴

Los resultados de la evaluación sobre este nuevo estándar revelaron una degradación catastrófica en la fiabilidad de los detectores considerados estado del arte (SOTA). Se observó una caída promedio en el Área Bajo la Curva (AUC) del 50% para modelos de video, 48% para modelos de audio y 45% para modelos de imagen.⁴ Este hallazgo sugiere que los detectores no estaban aprendiendo las características intrínsecas de la falsificación, sino que se habían sobreajustado (overfitting) a los artefactos de compresión específicos y a las distribuciones de datos limitadas de los benchmarks académicos antiguos. La «lección de atajos» (shortcut learning), donde los modelos aprenden a identificar el fondo o la iluminación específica de un dataset en lugar de la manipulación facial, se ha identificado como una causa raíz de este fracaso.⁵

2.2 La Necesidad de Datos Pareados y Entrenamiento Robusto

Para mitigar este problema de generalización, investigaciones recientes han demostrado la importancia crítica del entrenamiento con datos pareados (paired data). El estudio de LNCLIP-DF destaca que entrenar con pares de video real y falso derivados de la misma fuente exacta es esencial para evitar que el modelo aprenda atajos irrelevantes.⁶

Además, se ha refutado la noción de que la detección se vuelve estrictamente más difícil con el tiempo; más bien, la dificultad radica en la diversidad de las fuentes. Los modelos entrenados en datasets más antiguos pero diversos a menudo muestran una mejor capacidad de generalización que aquellos entrenados en datasets modernos pero homogéneos.⁶ Esto ha llevado al desarrollo de técnicas como el enmascaramiento de frecuencia (Frequency Masking), donde se ocultan partes del espectro de frecuencia durante el entrenamiento para forzar al modelo a aprender representaciones más robustas y globales, en lugar de depender de artefactos de alta frecuencia que pueden desaparecer con la compresión de las redes sociales.⁷

Tabla 1: Comparativa de Impacto en el Rendimiento de Detección (2025)

3. Biometría Forense: El Cuerpo Humano como Verificador de Verdad

Ante la capacidad de la IA generativa para replicar la apariencia visual, la investigación de vanguardia se ha desplazado hacia la detección de señales fisiológicas y biológicas que son inherentemente complejas de simular. La premisa es que, aunque una IA puede generar una imagen que parece un ojo o una piel, a menudo falla en replicar la función biológica subyacente.

3.1 Fotopletismografía Remota (rPPG) y Micropulsaciones

La fotopletismografía remota (rPPG) permite la extracción de señales cardíacas a partir de video analizando los cambios sutiles en la absorción de luz de la piel causados por el flujo sanguíneo.

• Fundamento Técnico: La hemoglobina absorbe la luz verde de manera diferente a la piel circundante. Las cámaras RGB estándar pueden captar las variaciones cíclicas de color (micropulsaciones) que corresponden al ciclo cardíaco.
• Detección de Anomalías: En un video real, estas señales rPPG son espacialmente coherentes (el flujo sanguíneo en la frente está sincronizado con el de las mejillas) y temporalmente consistentes. Los deepfakes generados por GANs o difusión, al construir el rostro mediante síntesis de texturas o inyección de características, a menudo rompen esta coherencia biológica.⁹
• Hallazgos Recientes (2025): Contrario a la creencia inicial de que los deepfakes eliminaban completamente la señal rPPG, estudios recientes utilizando videos de alta calidad han demostrado que las señales cardíacas del video fuente (driver) pueden «filtrarse» al deepfake. Sin embargo, la distribución espacial de estas señales a menudo permanece corrupta o inconsistente con la nueva identidad visual.¹⁰
• Implementación: Modelos avanzados integran redes TimeSformer y arquitecturas híbridas Transformer-CNN para analizar estas anomalías espacio-temporales en tiempo real, logrando una precisión superior al 97% en datasets como FaceForensics y FakeAVCeleb, superando a los métodos basados puramente en características visuales como EfficientNet.⁹

3.2 Análisis Ocular y de la Mirada (GazeForensics)

El ojo humano presenta propiedades geométricas y físicas estrictas que los modelos generativos luchan por mantener consistentemente.

• Geometría Pupilar: Las pupilas humanas sanas son casi perfectamente elípticas (o circulares, dependiendo del ángulo). Los generadores como StyleGAN2 a menudo producen pupilas con bordes irregulares o formas no convexas («ameba-like»). Algoritmos de ajuste de elipses basados en mínimos cuadrados se utilizan para detectar estas desviaciones geométricas.¹¹
• Reflejos Corneales (Especularidad): En una fotografía real, los reflejos en las córneas de ambos ojos deben ser consistentes con el mismo entorno luminoso. Si un ojo refleja una ventana y el otro no, o si la posición del reflejo difiere geométricamente, es un indicio fuerte de síntesis. Métodos de 2025 utilizan la métrica de Intersección sobre Unión (IoU) para cuantificar la similitud de los reflejos entre ambos ojos; una baja IoU es un predictor robusto de deepfakes.¹¹
• GazeForensics: Este marco innovador utiliza modelos de estimación de la mirada 3D para analizar la coherencia del vector de la mirada a lo largo del tiempo. Mientras que los humanos mantienen una estabilidad fisiológica en el enfoque visual, los deepfakes de re-enactment a menudo introducen «jitter» (temblor) o desviaciones en los vectores de mirada que no se alinean con la orientación de la cabeza. GazeForensics integra estas características biométricas con características generales de detección, utilizando un mecanismo de fusión de características «leaky» (con fugas) para evitar el olvido catastrófico de las características visuales generales.¹²

4. Forensia Multimodal: Sincronización Audio-Visual

La manipulación de medios a menudo implica alterar tanto el video como el audio, o generar uno para que coincida con el otro (lip-syncing). La detección unimodal (solo video o solo audio) es inherentemente ciega a las desincronizaciones semánticas entre estas modalidades.

4.1 El Marco CAD (Alineación y Destilación Transmodal)

El marco Cross-Modal Alignment and Distillation (CAD), introducido en 2025, representa un avance significativo en la integración de señales multimodales.

• Alineación Transmodal: Este componente aborda la consistencia semántica de alto nivel. Utiliza codificadores pre-entrenados masivos (CLIP para video, Whisper para audio) para verificar si el contenido fonético del audio coincide con la morfología visual de los labios («lip-speech mismatch»).
• Destilación Transmodal: Reconociendo que a veces solo una modalidad es falsa (ej. video real con audio clonado), este módulo utiliza destilación de conocimientos para preservar los artefactos forenses específicos de cada modalidad (como trazas espectrales en el audio) durante la fusión de características. Esto evita que la información «limpia» de una modalidad diluya la evidencia de falsificación en la otra.¹³

4.2 AV-Lip-Sync+ y HuBERT

El modelo AV-Lip-Sync+ aprovecha la arquitectura Audio-Visual HuBERT (AV-HuBERT), un modelo pre-entrenado mediante aprendizaje auto-supervisado (SSL).

• Mecanismo: El sistema se centra específicamente en la región labial para la extracción de características visuales, mientras que una red secundaria analiza el resto del rostro en busca de artefactos espaciales. Una red convolucional temporal multiescala (MS-TCN) captura las correlaciones temporales finas entre el flujo de audio y el movimiento visual.
• Resultados: Este enfoque ha demostrado ser superior en la detección de deepfakes multimodales en datasets desafiantes como FakeAVCeleb y DeepfakeTIMIT, donde las desincronizaciones pueden ser del orden de milisegundos, imperceptibles para el ojo humano pero evidentes para el modelo.¹⁵

5. Arquitecturas Generativas y Firmas Espectrales

La transición de GANs a Modelos de Difusión ha alterado las firmas forenses que los investigadores deben buscar.

5.1 Firmas de Ruido de Difusión vs. Artefactos GAN

Las GANs tradicionalmente dejaban huellas claras en el dominio de la frecuencia, como patrones de «tablero de ajedrez» (checkerboard artifacts) debido a operaciones de deconvolución, o picos anómalos en el espectro de Fourier debido al up-sampling.¹⁶ Los Modelos de Difusión (DMs), por el contrario, generan imágenes mediante la eliminación iterativa de ruido gaussiano.

• Diffusion Noise Features (DNF): Investigaciones recientes ¹⁸ proponen el uso de DNF, que son representaciones extraídas de la secuencia de ruido estimada durante el proceso de difusión inversa. Estas características capturan las discrepancias estadísticas inherentes al proceso de generación de los DMs, que son distintas de las de las GANs.
• Análisis de Frecuencia: Aunque los DMs producen imágenes con menos artefactos de alta frecuencia que las GANs, no son perfectos. El modelo FMSI (Frequency-Domain Masking and Spatial Interaction) utiliza una estrategia de enmascaramiento en el dominio de la frecuencia para forzar al detector a aprender patrones globales y robustos, combinando convoluciones de alta frecuencia con atención espacial. Esto ha permitido una precisión superior al 99% en datasets específicos de FaceSwap y una mejora significativa en la generalización «in-the-wild».⁷

5.2 Adaptación de Modelos Fundacionales (LNCLIP-DF)

En lugar de entrenar arquitecturas desde cero, la tendencia actual es adaptar modelos fundacionales de visión-lenguaje. LNCLIP-DF es un ejemplo destacado que ajusta finamente un modelo CLIP pre-entrenado para la detección de deepfakes.

• Eficiencia de Parámetros: Solo se ajustan los parámetros de Layer Normalization (0.03% del total del modelo), manteniendo congelado el resto del conocimiento visual de CLIP.
• Generalización: Al forzar las características hacia una variedad hiperesférica y utilizar aumentos en el espacio latente, LNCLIP-DF logra un rendimiento de estado del arte (SOTA) en 13 datasets diferentes, demostrando que el conocimiento semántico general de CLIP puede reutilizarse eficazmente para distinguir entre lo real y lo sintético.⁶

6. Dinámicas Adversarias: La Carrera Armamentista en el Espacio Latente

La detección de deepfakes no es estática; es un campo adversarial donde los atacantes buscan activamente evadir la detección.

6.1 Desafío AADD-2025: Ataques Latentes vs. Píxeles

El desafío Adversarial Attacks on Deepfake Detectors (AADD-2025) marcó un punto de inflexión al demostrar que los ataques tradicionales basados en perturbaciones de píxeles (como FGSM o PGD aplicados a la imagen final) son menos efectivos y más visibles que los nuevos ataques en el espacio latente.

• Supremacía del Espacio Latente: Los equipos ganadores (MR-CAS, Safe AI) utilizaron técnicas que manipulan la representación latente interna del modelo generativo antes de que se cree la imagen. Esto permite generar perturbaciones que son invisibles al ojo humano (alto SSIM > 0.74) pero devastadoras para los clasificadores.³
• Transferibilidad: Un hallazgo alarmante fue la alta transferibilidad de estos ataques. Un ataque optimizado para engañar a una ResNet a menudo lograba engañar también a un Vision Transformer (ViT) desconocido («caja negra»), lo que sugiere que los detectores comparten vulnerabilidades fundamentales en cómo perciben las características sintéticas.³

6.2 Inversión DDIM (DIA)

El ataque DDIM Inversion Attack (DIA) explota la naturaleza determinista de los modelos de difusión.

• Mecanismo: El proceso de inversión DDIM permite mapear una imagen real a su código de ruido latente original. DIA perturba la trayectoria de este proceso de inversión o el código latente inicial.
• Objetivo: El ataque busca maximizar la discrepancia entre la trayectoria de difusión «limpia» y la trayectoria perturbada, de modo que la imagen resultante sea visualmente idéntica a un deepfake estándar, pero carezca de las firmas estadísticas que los detectores esperan encontrar. Esto invalida las defensas basadas en la detección de la trayectoria de difusión o en la purificación de imágenes.¹⁹

7. Procedencia y Autenticación: Estandarización de la Verdad

Dada la creciente dificultad de la detección pasiva («detectar lo falso»), la industria tecnológica y fotográfica está pivotando hacia la autenticación activa («probar lo real») mediante estándares de procedencia criptográfica y marcas de agua.

7.1 El Estándar C2PA y Content Credentials

La Coalition for Content Provenance and Authenticity (C2PA) ha establecido el estándar técnico para la procedencia digital. Este sistema no dice si una imagen es «verdadera» en sentido filosófico, sino que certifica su origen y su historial de ediciones.

• Integración de Hardware: Entre 2024 y 2025, fabricantes como Leica (con la M11-P), Sony (Alpha 1, Alpha 9 III) y Nikon (Z6III, Z9) han comenzado a integrar la firma C2PA directamente en el procesador de imagen de la cámara. Esto crea una firma criptográfica en el momento de la captura, asegurando la cadena de custodia desde el sensor hasta la pantalla.²¹
• Vinculación (Binding) Robusta: Una vulnerabilidad de los metadatos es que pueden ser eliminados fácilmente. La versión 2.1 del estándar C2PA introduce «Soft Bindings».²⁴ Estos utilizan marcas de agua invisibles o huellas digitales perceptuales incrustadas en los píxeles de la imagen. Si los metadatos se borran, la marca de agua persiste y permite a un verificador recuperar las credenciales originales de una base de datos en la nube o repositorio de confianza.²⁵

7.2 Marcas de Agua Generativas (Watermarking)

Para el contenido que nace digitalmente (generado por IA), las grandes empresas tecnológicas están implementando marcas de agua imperceptibles en la fuente.

• Google SynthID: Utiliza un enfoque basado en un «procesador de logits» con una función-g pseudoaleatoria. Durante la generación de texto o imagen, el modelo altera sutilmente las probabilidades de selección de los tokens o píxeles siguiendo un patrón matemático derivado de una clave secreta. Esto permite detectar el contenido generado por modelos como Gemini o Imagen sin degradar la calidad perceptible y sin necesidad de reentrenar el modelo.²⁷
• Meta Stable Signature: Este método aborda el problema específico de los Modelos de Difusión Latente (LDMs) de código abierto. En lugar de aplicar una marca de agua a la imagen final (que puede ser recortada o editada), Stable Signature realiza un ajuste fino (fine-tuning) del decodificador del modelo generativo. Esto arraiga la marca de agua en el proceso de generación mismo; cualquier imagen que el modelo decodifique contendrá la firma oculta. Esto ha demostrado ser extremadamente robusto, resistiendo recortes de hasta el 90% de la imagen original.²⁸

Tabla 2: Comparativa de Tecnologías de Procedencia y Autenticación

8. Conclusiones y Perspectivas Futuras

El análisis del periodo 2024-2026 revela que la detección de deepfakes ha dejado de ser un problema puramente de visión por computadora para convertirse en un desafío multidisciplinario que abarca la fisiología, la criptografía y la seguridad adversaria.

8.1 Hallazgos Clave

1. La Insuficiencia de la Detección Pasiva: Con tasas de error del 50% en entornos no controlados (Deepfake-Eval-2024), confiar únicamente en la detección de artefactos visuales es inviable. La «caja negra» de los detectores actuales es frágil ante la compresión y los ataques adversarios.
2. El Valor de la Biometría Involuntaria: Las señales fisiológicas (rPPG, reflejos corneales) representan actualmente la barrera más alta para los generadores de deepfakes. La coherencia física y biológica es mucho más costosa de falsificar computacionalmente que la apariencia visual superficial.
3. El Cambio hacia la Procedencia: La industria está moviéndose de un modelo probabilístico («esto parece 80% falso») a uno determinista basado en la procedencia («esto no tiene una firma digital válida»). La integración de C2PA en hardware es el paso más significativo hacia una «internet de confianza».

8.2 Recomendaciones

Para los desarrolladores de sistemas de seguridad y analistas forenses, se recomienda:

• Abandonar Datasets Obsoletos: Dejar de utilizar FaceForensics++ como métrica principal de validación y adoptar benchmarks «in-the-wild» y adversarios (AADD).
• Implementar Defensa en Profundidad: Utilizar sistemas en cascada que comiencen con la verificación de procedencia (C2PA), sigan con análisis de inconsistencias multimodales (CAD) y finalicen con análisis biométrico profundo (GazeForensics) para casos sospechosos.
• Foco en el Audio: Dada la eficacia de los ataques de clonación de voz, la detección de audio sintético debe recibir la misma prioridad que la de video, integrando análisis espectral y semántico.

El futuro de la autenticación de medios residirá en la intersección entre la verificación criptográfica del origen y el análisis forense de la coherencia biológica humana, creando un entorno donde la falsificación perfecta sea no solo técnicamente difícil, sino económicamente inviable.

Works cited

1. [2403.17881] Deepfake Generation and Detection: A Benchmark and Survey – arXiv, accessed February 16, 2026, https://arxiv.org/abs/2403.17881
2. Unmasking Deepfakes: Impacts, Detection Challenges, and Responsible Response, accessed February 16, 2026, https://www.computer.org/csdl/magazine/co/2025/12/11285914/2ckeWCPb2us
3. Adversarial Attacks on Deepfake Detectors: A … – OpenReview, accessed February 16, 2026, https://openreview.net/pdf/5a1add4a4f4e8cc99a1c5f2efe56492afcd3963c.pdf
4. [2503.02857] Deepfake-Eval-2024: A Multi-Modal In-the-Wild Benchmark of Deepfakes Circulated in 2024 – arXiv, accessed February 16, 2026, https://arxiv.org/abs/2503.02857
5. A Multi-Modal In-the-Wild Benchmark of Deepfakes Circulated in 2024 – arXiv, accessed February 16, 2026, https://arxiv.org/html/2503.02857v2
6. Deepfake Detection that Generalizes Across Benchmarks – arXiv, accessed February 16, 2026, https://arxiv.org/html/2508.06248v1
7. Towards Sustainable Universal Deepfake Detection with Frequency-Domain Masking, accessed February 16, 2026, https://arxiv.org/html/2512.08042v1
8. Frequency-Domain Masking and Spatial Interaction for … – MDPI, accessed February 16, 2026, https://www.mdpi.com/2079-9292/14/7/1302
9. Real-Time Deepfake Detection via Gaze and Blink Patterns: A Transformer Framework, accessed February 16, 2026, https://www.techscience.com/cmc/v85n1/63504/html
10. High-quality deepfakes have a heart! – Frontiers, accessed February 16, 2026, https://www.frontiersin.org/journals/imaging/articles/10.3389/fimag.2025.1504551/full
11. The Eyes: A Source of Information for Detecting Deepfakes – MDPI, accessed February 16, 2026, https://www.mdpi.com/2078-2489/16/5/371
12. GazeForensics: DeepFake Detection via Gaze-guided … – arXiv, accessed February 16, 2026, https://arxiv.org/html/2311.07075
13. CAD: A General Multimodal Framework for Video Deepfake Detection via Cross-Modal Alignment and Distillation – arXiv, accessed February 16, 2026, https://arxiv.org/html/2505.15233v1
14. Zhiyuan Yan – CatalyzeX, accessed February 16, 2026, https://www.catalyzex.com/author/Zhiyuan%20Yan
15. AV-Lip-Sync+: Leveraging AV-HuBERT to Exploit Multimodal …, accessed February 16, 2026, https://ieeexplore.ieee.org/document/11214430?
16. A BIOMETRIC AND SECURITY REINFORCED TECHNIQUE WITH HYBRID DEEPFAKE DETECTION – Journal of Theoretical and Applied Information Technology, accessed February 16, 2026, https://www.jatit.org/volumes/Vol103No24/24Vol103No24.pdf
17. Exposing Face Manipulation Based on Generative Adversarial Network–Transformer and Fake Frequency Noise Traces – PMC, accessed February 16, 2026, https://pmc.ncbi.nlm.nih.gov/articles/PMC11902739/
18. Diffusion Noise Feature: Accurate and Fast Generated Image Detection – arXiv, accessed February 16, 2026, https://arxiv.org/html/2312.02625v3
19. [2510.00778] DIA: The Adversarial Exposure of Deterministic Inversion in Diffusion Models – arXiv, accessed February 16, 2026, https://arxiv.org/abs/2510.00778
20. DIA: The Adversarial Exposure of Deterministic … – CVF Open Access, accessed February 16, 2026, https://openaccess.thecvf.com/content/ICCV2025/papers/Hong_DIA_The_Adversarial_Exposure_of_Deterministic_Inversion_in_Diffusion_Models_ICCV_2025_paper.pdf
21. Content Credentials: Case Study with the Leica M11-P – Bundesdruckerei, accessed February 16, 2026, https://www.bundesdruckerei.de/en/innovation-hub/content-credentials-protection-against-image-manipulation-age-ai
22. Sony Delivers Highly Anticipated Firmware Updates including C2PA Compliancy and Ensuring Authenticity of Images, accessed February 16, 2026, https://www.sony.co.uk/presscentre/sony-delivers-highly-anticipated-firmware-updates-including-c2pa-compliancy-and-ensuring-authenticity-of-images
23. NIKON DEVELOPS FIRMWARE THAT ADDS A FUNCTION COMPLIANT WITH C2PA STANDARDS TO THE NIKON Z6III FULL-FRAME MIRRORLESS CAMERA, accessed February 16, 2026, https://www.nikonusa.com/press-room/nikon-develops-firmware-that-adds-function-compliant-with-cp2a-standards-to-z6iii
24. Content Credentials : C2PA Technical Specification, accessed February 16, 2026, https://spec.c2pa.org/specifications/specifications/2.1/specs/_attachments/C2PA_Specification.pdf
25. Forensic Watermarking & C2PA – Enhanced Content Security – DoveRunner, accessed February 16, 2026, https://doverunner.com/blogs/forensic-watermarking-c2pa-content-protection/
26. C2PA Implementation Guidance, accessed February 16, 2026, https://spec.c2pa.org/specifications/specifications/2.3/guidance/Guidance.html
27. SynthID: Tools for watermarking and detecting LLM-generated Text, accessed February 16, 2026, https://ai.google.dev/responsible/docs/safeguards/synthid
28. The Stable Signature: Rooting Watermarks in Latent Diffusion Models – Pierre Fernandez, accessed February 16, 2026, https://pierrefdz.github.io/publications/stablesignature/
29. The Stable Signature: Rooting Watermarks in Latent Diffusion Models – CVF Open Access, accessed February 16, 2026, https://openaccess.thecvf.com/content/ICCV2023/papers/Fernandez_The_Stable_Signature_Rooting_Watermarks_in_Latent_Diffusion_Models_ICCV_2023_paper.pdf