Skønhedsfiltre er et potentient dybfake-angrebsværktøj

Skønhedsfiltre gør mere end at skjule fejl: de kan hjælpe dybfakes og ansigtsmorferinger med at slippe forbi detectionsystemer. En ny studie viser, at selv diskrete glatningsvirker kan forvirre AI-detektorer, sådan at falske billeder ser ægte ud og ægte billeder ser falske ud. Hvis tendensen fortsætter, kan skønhedsfiltre få begrænsninger i højrisikosammenhænge, fra grænsekontrol til corporate Zoom-møder.

I et akademisk samarbejde fra 2024 mellem Spanien og Italien rapporterede forskerne, at 90% af kvinder i alderen 18-30 år brugte skønhedsfiltre, før de postede billeder på sociale medier. I denne forstand er skønhedsfiltre algoritme- eller AI-baserede metoder til at ændre ansigtsudseende, så det angiveligt forbedres på den oprindelige kilde:

Fra studiet i 2024: eksempler på kvindelige (venstre) og mandlige (højre) ansigter før og efter skønhedsfilter. Filtreren ændrede træk som hudtone, øjne, næse, læber, hage og kindben for at forbedre den opfattede tiltrækning. Kilde: https://arxiv.org/pdf/2407.11981

Sådanne filtre er også bredt tilgængelige som native eller tilføjelsesfunktioner i populære video-baserede systemer, herunder Snapchat og Zoom, og tilbyder muligheden for at glatte ud “ufyldestgørende” hud og endda ændre alderen på personen, så identiteten kan siges at være væsentligt ændret:

Klik for at afspille:tre kvinder slår deres video-‘forbedrings’-filtre fra, og afslører, i hvilken udstrækning deres fysiognomier ændres af algoritmerne eller AI. Kilde: https://www.youtube.com/watch?v=gtCpea_5qxw

Fænomenet syntes at nå sit højdepunkt, så snart teknologien var relativt moden; en studie fra 2020 fra City University of London afslørede, at 90% af unge Snapchat-brugere i USA, Frankrig og Storbritannien brugte filtre i deres apps, mens Meta rapporterede, at mere end 600 millioner unge mennesker havde brugt filtre på Facebook eller Instagram på det tidspunkt.

Ved at udforske de negative effekter af sådanne filtre på mental sundhed, gentog en rapport fra Psychology Today, at 90% af de unge kvinder, der havde en gennemsnitsalder på 20 år, enten brugte filtre eller på anden vis redigerede deres billeder. De mest populære filtre var dem, der udjavnede hudtoner; gav en solbrun udseende; hvidnede tænder; og endda reducerede kropsstørrelse.

Face Off

Da ansigtsfiltre er på vej til at få glæde af revolutionen i 2025 i video-syntese, og mere generelt af den fortsatte interesse for dette forskningsområde, er det i stigende grad sandsynligt, at vi kan “genoprette” eller forestille os selv i live-video-samtaler, hvilket kommer i konflikt med sikkerhedssamfundets bekymring over svindel eller kriminelle dybfake-video-teknikker.

Et problem er, at det bredt udvalg af “lette” tests, der er udviklet i de seneste år for at afsløre en video-dybfaker, der søger at snyde store summer penge i en corporate-kontekst, uundgåeligt bliver mindre effektive, da disse svagheder med tiden bliver tilpasset i træningsdata og på inference-tidspunktet:

Klik for at afspille:for nogle år siden var det en pålidelig test at vifte med hånden foran en dybfake, men vi kan se, at dedikeret indsats fra firmaer som TikTok gør fremskridt i at mindske de klassiske “tegn”. Kilder: Ibid og https://archive.is/mofRV#wavehands

Endnu mere kritisk er det, at den bredt anvendte brug af ansigtsændrende/skønhedsfiltre forvirrer vandene for en ny og fremvoksende generation af dybfake-detektorer, der har til opgave at holde svindlere ude af bestyrelsesvideo-samtaler og væk fra sårbare potentielle ofre for “bortførelse” og “svindel”-svindel.

Det er lettere at gøre en dybfake overbevisende, enten som foto eller video, hvis billedets opløsning er lav eller billedet på anden vis er forringet, da det underliggende svindelssystem kan skjule sine egne svagheder bag det, der ligner forbindelses- eller platform-problemer.

I virkeligheden fjerner de mest populære skønhedsfiltre nogle af de mest nyttige materialer til at identificere video-dybfakes, såsom hudtekstur og andre ansigtsdetaljer – og det er værd at overveje, at jo ældre et ansigt er, jo mere detaljer er det sandsynligt at indeholde, og derfor kan brugen af skønhedsfiltre til at mindske alderen være en særlig fristelse i sådanne tilfælde.

Hvis et detaljefrit ‘android’-lignende udseende er moderne, kan dybfake-detektorer mangle det materiale, de har brug for til at skelne mellem ægte og falske billeder og video-personer. Kilde: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

Dertil kommer, at Royal Society’s seneste rapport fra 2024 What is beautiful is still good: the attractiveness halo effect in the era of beauty filters bekræftede, at brugen af filtre generelt øger almindelig tiltrækning på tværs af begge køn (selv om øget tiltrækning tenderer til at mindske den generelle vurdering af intelligens hos kvinder med skønhedsfiltre).

Derfor er det rimeligt at sige, at dette er en populær teknologi; at den virker; og at det ville være en slags kulturchok, hvis den pludselig blev underlagt sikkerhedsbegrænsninger eller blev forbudt i forskellige sammenhænge.

Alligevel, i en periode, hvor video-dybfakes truer med at blive umulige at skelne fra ægte video-deltagere både i udseende og tale, er det muligt, at det globale “støj” fra skønhedsfiltre kan blive nødt til at blive mindsket i fremtiden af sikkerhedsgrunde.

Smooth Criminals

Spørgsmålet er blevet undersøgt i en ny rapport fra Universitetet i Cagliari i Italien, med titlen Deceptive Beauty: Evaluating the Impact of Beauty Filters on Deepfake and Morphing Attack Detection.

I den nye studie anvendte forskerne skønhedsfiltre til ansigter fra to benchmark-datasæt og testede flere dybfake- og morfing-angrebsdetektorer på både de originale og ændrede billeder.

I næsten alle tilfælde faldt detectionsnøjagtigheden, efter at skønhedsfiltre var anvendt; de mest dramatiske fald skete, når filtrene glattede ud rynker, lysende hudtone eller diskret ændrede ansigtstræk. Disse ændringer fjernede eller forvrængede de samme signaler, som detectionsmodellerne afhænger af.

For eksempel mistede den bedst performende model på MorphDB mere end 9% i nøjagtighed efter filtrering, og problemet bestod på tværs af flere detectionsarkitekturer, hvilket indikerer, at nuværende systemer ikke er robuste over for almindelige kosmetiske forbedringer.

Forskerne konkluderer:

‘[Skønheds]filtre udgør en trussel mod integriteten af biometriske autentificeringssystemer og retsmedicinske analyse-systemer, og gør robust dybfake- og morf-angrebsdetektion under sådanne betingelser til en kritisk åben udfordring.

‘Fremtidigt arbejde bør prioritere udviklingen af digitale manipulationsdetektionssystemer, der er robuste over for sådanne subtile, virkelige ændringer, uanset om de er ondsindede eller ej, for at sikre pålidelig identitetsgenkendelse og indholdsgodkendelse i hverdags- og sikkerheds-kritiske sammenhænge.’

Method and Data

For at evaluere, hvordan skønhedsfiltre påvirker dybfake- og morf-detektion, anvendte forskerne en progressiv glatningsfilter og testede resultaterne på to benchmark-konvolutionsneurale netværk (CNN) tæt forbundet med målet: AlexNet og VGG19.

Hver af de to benchmark-datasæt, der blev testet, indeholdt eksempler på passende ansigtmanipulationer. Den første var CelebDF, en stor video-benchmark, der indeholdt 590 ægte og 5.639 forfalskede klip, der blev skabt gennem avancerede ansigt-udskiftningsteknikker. Samlingen tilbyder en bred vifte af belysningsforhold, hovedstillinger og naturlige udtryk på tværs af 59 personer, hvilket gør den velegnet til at evaluere robustheden af dybfake-detektorer i virkelige mediescenarioer:

Eksempler på berørte ansigtsbilleder fra CelebDF. Kilde: https://github.com/yuezunli/celeb-deepfakeforensics

Den anden var AMSL (kræver tilmelding), en morf-angrebsdatasæt bygget fra Face Research Lab London samling, der indeholder både ægte og syntetisk blandede ansigter. Datasættet indeholder neutrale og smilende udtryk fra 102 personer og er struktureret for at afspejle realistiske udfordringer for biometriske autentificeringssystemer, der bruges i sammenhænge som grænsekontrol.

Billeder fra den oprindelige Face Research Lab London-samling (FRLL), der blev brugt i AMSL. Kilde: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Hvert netværk blev trænet på 80% af dybfake- eller morf-datasættet, og de resterende 20% blev brugt til validering. For at teste robustheden mod skønhedsfiltre anvendte forskerne derefter en progressiv glatningsfilter til testbillederne, og øgede blur-radiussen fra 3% til 5% af ansigtshøjden:

Eksempler på ansigter fra CelebDF (top) og AMSL (bund) datasættene, vist før og efter anvendelse af en glatningsbaseret skønhedsfilter. Filtrerradiussen blev skaleret i forhold til ansigtshøjden, med c = 3% og c = 5% producerer progressivt stærkere effekter.

Med hensyn til metrikker blev hver model evaluaret ved hjælp af Equal Error Rate (EER) på både de originale og forbedrede testeksempler. Analysen rapporterede også Bona Fide Presentation Classification Error Rate (BPCER), eller falsk positiv rate, og Attack Presentation Classification Error Rate (APCER), eller falsk negativ rate, ved hjælp af grænsen fastsat på de originale data.

Morferede ansigter fra AMSL-datasættet.

For at yderligere evaluere præstationen blev Area Under the ROC Curve (AUC) og scorefordelingerne for ægte og falske billeder undersøgt.

Tests

I dybfake-detectionsresultaterne viste begge netværk stigende Equal Error Rates, efterhånden som skønhedsfiltrens intensitet øgedes. AlexNets EER steg fra 22,3% på de originale billeder til 28,1% på det højeste glatningsniveau, mens VGG19’s EER steg fra 30,2% til 35,2%. Præstationsfaldet fulgte forskellige mønstre i hver af tilfælde:

Dybfake-detectionsresultater på CelebDF-datasættet ved hjælp af AlexNet og VGG19. Begge modeller blev testet på originale og forbedrede billeder med øgende niveauer af ansigtsglatning. Metrikkerne omfatter Equal Error Rate (EER), Bona Fide Presentation Classification Error Rate (BPCER) og Attack Presentation Classification Error Rate (APCER), ved hjælp af grænser fastsat fra det originale testset. Detectionsnøjagtigheden faldt, efterhånden som skønhedsfiltrens intensitet øgedes, selv om mønsteret af forringelse var forskelligt mellem arkitekturer.

Da skønhedsfiltrens intensitet øgedes, blev AlexNet mere tilbøjelig til at forveksle ægte ansigter med falske, vist ved en konstant stigning i dens falsk positiv rate (BPCER). VGG19 havde derimod mest vanskeligt ved at fange de falske ansigter selv, med en stigende falsk negativ rate (APCER). De to modeller reagerede forskelligt på filtrene, hvilket indikerer, at selv velkendte arkitekturer kan fejle på forskellige måder, når de konfronteres med kosmetiske ændringer.

For at bedre forstå disse resultater anvendte forskerne skønhedsfiltret separat til ægte og falske billeder og målte effekten på detectionspræstationen. Denne opdeling, vist i resultattabellen nedenfor, klargør kilden til hver models sårbarhed:

Detectionsnøjagtighed for AlexNet og VGG19 under delvis skønhedsfilter på CelebDF-datasættet. Tabellen rapporterer tre scenarier: forbedret ægte vs forbedret falsk (F-Real vs F-Fake); forbedret ægte vs original falsk (F-Real vs O-Fake); og original ægte vs forbedret falsk (O-Real vs F-Fake), med et fald i nøjagtighed, der indikerer reduceret detectorpræstation. AlexNet var mest påvirket, når ægte billeder blev forbedret, mens VGG19 havde mest vanskeligt ved at håndtere forbedrede falske billeder.

For AlexNet faldt detectionspræstationen, når ægte billeder blev forbedret, men forbedtede sig, når kun falske billeder blev glattede. For VGG19 forbedtede præstationen sig let, når ægte billeder blev forbedret, men forringede sig, når dybfakes blev filtrede. I alle tilfælde reducerede stærkere skønhedsfiltre nøjagtigheden.

Kasse-plots, der viser output-scorefordelingerne for AlexNet og VGG19 på ægte og falske eksempler fra CelebDF-datasættet, under øgende niveauer af skønhedsfilter. Da glatningen intensiveres, bliver scorefordelingerne for ægte og falske billeder mindre adskilte, hvilket indikerer reduceret detectionspræcision. AlexNet bliver mindre sikker på at identificere ægte ansigter, mens VGG19 bliver mere tilbøjelig til at misklassificere falske billeder.

Skønhedsfiltre gjorde AlexNets output-scores mere ensartede på tværs af både ægte og falske eksempler, mens VGG19 viste større spredning inden for hver klasse. Trods disse modsatrettede effekter på score-variabilitet mistede begge modeller nøjagtighed. For AlexNet skiftede scorene for ægte ansigter tættere på dem for dybfakes. For VGG19 begyndte scorene for ægte og falske billeder at overlappe, reducerende modelens evne til at skelne mellem dem.

Rapporten fastslår:

‘Disse resultater har vigtige implikationer og viser, at det er nødvendigt at overveje den potentielle brug af skønhedsfiltre i dybfake-detektion, da disse kan have en uforudsigelig indvirkning på præstationen.

‘For eksempel, afhængigt af den specifikke dybfake-detektor, kan skønhedsfiltre betydeligt ændre output, så ægte billeder identificeres som falske, og, endnu mere kritisk, tillade dybfakes at narre detectionsystemet.

‘Derfor er det nødvendigt at fokusere på udviklingen af detektorer, der er mere robuste over for sådanne subtile, ikke-strictly ondsindede ændringer, der kan fungere som en camouflage for ondsindede dybfake-manipulationer.’

I morf-angrebs-scenariet blev et syntetisk billede skabt ved at blande ansigtstræk fra to personer. Dette billede blev brugt til at narre ansigtsgenkendelsessystemer, så begge oprindelige identiteter kunne blive godkendt som den samme person. Sådanne angreb anses for særligt relevante i sikkerhedssammenhænge, hvor biometriske systemer kan blive narret til at acceptere det morfede billede til officiel identifikation.

Morf-angrebs-detectionsresultater på AMSL-billeder før og efter skønhedsfilter. Begge netværk viser stejle fejl-stigninger, efterhånden som glatningsintensiteten stiger.

I morf-angrebs-scenariet forringede præstationen mere skarpt end i dybfake-detektion. AlexNets EER steg fra 27,6% til 41,2%, og VGG19’s EER steg fra 19,0% til 37,3%, drevet overvejende af falske positiver: ægte ansigter, der blev misklassificeret som morfer. Med en glatningsradius på 3% nåede VGG19’s falsk positiv rate 90%.

Dette mønster holdt, da filtre blev anvendt selektivt. Glatterede ægte ansigter forringede detection, mens glatterede morf-ansigter forbedrede resultaterne. Da glatningen intensiveredes, viste begge netværk reduceret adskillelse mellem ægte og falske score, med VGG19, der blev særligt ustabil.

Disse fund, som forfatterne påpeger, antyder, at skønhedsfiltre kunne hjælpe morfer med at undgå detection endnu mere effektivt end dybfakes, hvilket rejser alvorlige sikkerhedsbekymringer.

Delvise eksempler (på grund af pladsmangel) på, hvordan minimal skønhedsfilter (3% glatningsradius) ændrede AlexNets klassificeringer. Til venstre er et ægte billede misklassificeret som et angreb efter filtrering, og til højre er et morf-billede misklassificeret som ægte efter filtrering.

Til sidst fandt forskerne ud af, at selv lette skønhedsfiltre kan betydeligt forringe præstationen af state-of-the-art dybfake- og morf-detektorer.

Påvirkningen varierede med arkitekturen, med AlexNet, der viste en gradvis nedgang, og VGG19, der kollapsede under minimal filtrering. Da disse filtre er almindelige og ikke i sig selv ondsindede, udgør deres evne til at skjule angreb en praktisk trussel, især i biometriske systemer. Rapporten understreger behovet for detectionsmodeller, der er robuste over for sådanne subtile billedmanipulationer.

Conclusion

En af årsagerne til, at det kan være svært at træne dybfake-detectionsystemer, der kan ignorere skønhedsfiltre, er manglen på kontrastmateriale; ultimativt er den “forbedrede” version den, der bliver bredt distribueret, og, i modsætning til videoen, vi indlejrede tidligere som illustration, er det meget sjældent, at et “før”-billede bliver anvendt.

Et andet hindringsforhold er, at mange af filtrene udfører præcis den type glatning, der er typisk for kompressionsoperationer, når billeder eller video bliver gemt (en fordel for udbyderens båndbredde, samt en digital hudforbedring for dem, der bruger filtret).

Dybfake-detectionsforskningssektoren er allerede dybt engageret i at bekæmpe tilfælde af virkelige billedforringelser på grund af problemer som dårlige kameraer, overdrivende kompression eller ujævne netværksforbindelser – alle sådanne betingelser er en direkte fordel for dybfake-svindlere, der er tvunget til at gøre meget mere i en højkvalitets-, højopløsnings-situation.

Om skønhedsfiltre til sidst bliver truet som en sikkerhedsliabilitet, synes at afhænge af, i hvilken udstrækning de bevæger sig som en hindring for dybfake-screeneringsmetoder, eller ender med at udgøre en slags de facto-brandmur, der gavner malificerne mere end dem, der kæmper imod dem.

Offentliggjort første gang onsdag, 24. september 2025