Schönheitsfilter sind ein potenzielles Werkzeug für Deepfake-Angriffe

Schönheitsfilter tun heute mehr als nur Unreinheiten verstecken: Sie können Deepfakes und Gesichtsveränderungen helfen, Detektionssysteme zu umgehen. Eine neue Studie zeigt, dass sogar subtile Glättungseffekte AI-Detektoren verwirren und gefälschte Bilder real aussehen lassen. Wenn dieser Trend anhält, könnten Schönheitsfilter in hochriskanten Kontexten, von der Grenzkontrolle bis hin zu Corporate-Zoom-Anrufen, Einschränkungen unterliegen.

In einer akademischen Zusammenarbeit zwischen Spanien und Italien im Jahr 2024 berichteten Forscher, dass 90% der Frauen im Alter von 18-30 Jahren Schönheitsfilter vor dem Posten von Bildern in sozialen Medien verwendeten. In diesem Sinne sind Schönheitsfilter algorithmische oder AI-gestützte Methoden, um das Gesicht so zu verändern, dass es angeblich verbessert wird.

Aus der Studie von 2024: Beispielbilder von Frauen (links) und Männern (rechts) vor und nach der Anwendung von Schönheitsfiltern. Der Filter veränderte Merkmale wie Hautton, Augen, Nase, Lippen, Kinn und Wangenknochen, um die wahrgenommene Attraktivität zu erhöhen. Quelle: https://arxiv.org/pdf/2407.11981

Solche Filter sind auch in beliebten video-basierten Systemen wie Snapchat und Zoom verfügbar und bieten die Möglichkeit, “unvollkommene” Haut zu glätten und sogar das Alter des Subjekts zu verändern, bis hin zum Punkt, an dem die Identität wesentlich verändert werden kann.

Bitte klicken Sie, um abzuspielen:drei Frauen schalten ihre Video-“Verschönerungs”-Filter aus und zeigen, wie sehr ihre Gesichter durch die Algorithmen oder AI verändert werden. Quelle: https://www.youtube.com/watch?v=gtCpea_5qxw

Das Phänomen schien einen Sättigungspunkt erreicht zu haben, sobald die Technologie relativ ausgereift war; eine Studie von 2020 der City University of London ergab, dass 90% der jungen Snapchat-Nutzer in den USA, Frankreich und Großbritannien Filter in ihren Apps verwendeten, während Meta berichtete, dass mehr als 600 Millionen junge Menschen zu diesem Zeitpunkt Filter auf Facebook oder Instagram verwendet hatten.

Die Erforschung der negativen Auswirkungen solcher Filter auf die mentale Gesundheit ergab, dass von den untersuchten Personen 90% der jungen Frauen im Durchschnittsalter von 20 Jahren entweder Filter verwendeten oder ihre Fotos auf irgendeine Weise bearbeiteten. Die beliebtesten Filter waren solche, die verwendet wurden, um Hauttöne auszugleichen, einen gebräunten Teint zu verleihen, Zähne zu bleichen und Körpergröße zu reduzieren.

Gesichtskampf

Da Gesichtsfilter von der Revolution im Jahr 2025 in der Video-Synthese profitieren und allgemein von dem anhaltenden Interesse in diesem Forschungsbereich, wird die Möglichkeit, uns in Live-Video-Chats “neu zu erfinden” oder wiederzubeleben, immer mehr gegen die Bedenken der Sicherheitsgemeinschaft wegen betrügerischer oder krimineller Deepfake-Video-Techniken gestellt.

Eines der Probleme ist, dass die Vielzahl der “leichten” Tests, die in den letzten Jahren entwickelt wurden, um ein Deepfake-Video zu enthüllen, das möglicherweise versucht, große Mengen an Geld in einem corporate-Kontext zu betrügen, unweigerlich weniger effektiv werden, da diese Achillesferse in Trainingsdaten und bei der Inferenz berücksichtigt wird.

Bitte klicken Sie, um abzuspielen:vor drei oder vier Jahren war das Winken mit der Hand vor einem Deepfake-Gesicht ein zuverlässiger Test für Videoanrufe, aber wir können sehen, dass sich die Bemühungen von TikTok und anderen in die klassischen “Tells” einarbeiten. Quellen: Ibid und https://archive.is/mofRV#wavehands

Wichtiger ist, dass die weite Verbreitung von Gesichtsveränderungs-/Verschönerungs-Filtern die Gewässer für eine neue Generation von Deepfake-Detektoren trübt, die mit der Aufgabe betraut sind, Betrüger aus Boardroom-Video-Chats fernzuhalten und potenzielle Opfer von “Entführungs”- und “Betrüger”-Betrug zu schützen.

Es ist einfacher, ein Deepfake überzeugend zu machen, sei es ein Foto oder ein Video, wenn die Auflösung des Bildes niedrig ist oder das Bild auf irgendeine Weise verschlechtert ist, da das zugrunde liegende Fälschungssystem seine eigenen Mängel hinter dem verstecken kann, was wie Konnektivitäts- oder Plattformprobleme aussieht.

Im Grunde entfernen die beliebtesten Verschönerungs-Filter einige der nützlichsten Materialien, um Video-Deepfakes zu identifizieren, wie Hauttextur und andere Gesichtsdetails – und es lohnt sich, zu bedenken, dass das Gesicht eines älteren Menschen wahrscheinlich mehr solche Details enthält und die Verwendung von Schönheitsfiltern, die das Aussehen verjüngen, in solchen Fällen besonders verlockend sein kann.

Wenn ein detailfreier “Android”-Stil modern ist, können Deepfake-Detektoren möglicherweise nicht zwischen echten und gefälschten Bildern und Video-Personen unterscheiden. Quelle: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

Die Royal Society veröffentlichte Ende 2024 ein Papier mit dem Titel “What is beautiful is still good: the attractiveness halo effect in the era of beauty filters”, das bestätigte, dass die Verwendung von Filtern die allgemeine Attraktivität bei beiden Geschlechtern erhöht (obwohl eine erhöhte Attraktivität tendenziell die allgemeine Schätzung der Intelligenz bei Frauen mit Schönheitsfiltern senkt).

Daher kann man sagen, dass dies eine beliebte Technologie ist; dass sie funktioniert; und dass es eine Art Kulturschock wäre, wenn sie plötzlich Sicherheitseinschränkungen unterliegen oder in verschiedenen Kontexten verboten würde.

Trotzdem ist es möglich, dass der globale “Lärm” von Schönheitsfiltern in Zukunft aus Sicherheitsgründen gemildert werden muss, da Video-Deepfakes bedrohlich ununterscheidbar von echten Video-Teilnehmern in Erscheinung und Sprache werden.

Glatte Kriminelle

Das Problem wurde kürzlich in einem neuen Papier der Universität Cagliari in Italien untersucht, das den Titel “Deceptive Beauty: Evaluating the Impact of Beauty Filters on Deepfake and Morphing Attack Detection” trägt.

In der neuen Studie wendeten die Forscher Schönheitsfilter auf Gesichter aus zwei Benchmark-Datensätzen an und testeten mehrere Deepfake- und Morphing-Angriff-Detektoren auf den ursprünglichen und veränderten Bildern.

In fast allen Fällen sank die Erkennungsgenauigkeit nach der Verschönerung; die dramatischsten Abfälle traten auf, wenn Filter Falten glätteten, die Hautfarbe aufhellten oder Gesichtszüge subtil veränderten. Diese Veränderungen entfernten oder verfälschten die sehr Hinweise, auf die sich die Erkennungsmodelle verlassen.

Beispielsweise verlor das beste Modell auf MorphDB mehr als 9% Genauigkeit nach der Verschönerung, und das Problem bestand über mehrere Erkennungsarchitekturen hinweg, was darauf hinweist, dass aktuelle Systeme nicht robust gegenüber häufigen kosmetischen Verbesserungen sind.

Die Autoren kommen zu dem Schluss:

‘[Verschönerungs-]Filter stellen eine Bedrohung für die Integrität biometrischer Authentifizierungssysteme und forensischer Analyse dar und machen robuste Deepfake- und Morph-Angriffserkennung unter solchen Bedingungen zu einer kritischen offenen Herausforderung.

‘Zukünftige Arbeiten sollten die Entwicklung digitaler Manipulations-Erkennungssysteme priorisieren, die robust gegenüber solchen subtilen, realen Veränderungen sind, ob böswillig oder nicht, um zuverlässige Identitätsüberprüfung und Inhaltsüberprüfung in alltäglichen und sicherheitskritischen Kontexten zu gewährleisten.’

Methode und Daten

Um zu bewerten, wie Schönheitsfilter die Erkennung von Deepfakes und Morphing-Angriffen beeinflussen, wendeten die Forscher einen progressiven Glättungsfilter an und testeten die Ergebnisse auf zwei Benchmark-Convolutional-Neural-Networks (CNNs), die gut mit dem Zielproblem assoziiert sind: AlexNet und VGG19.

Jeder der beiden Benchmark-Datensätze enthielt Beispiele für geeignete Gesichtsmanipulationen. Der erste war CelebDF, ein großes Video-Benchmark-Set mit 590 echten und 5.639 gefälschten Clips, die durch fortschrittliche Gesichtsaustausch-Techniken erstellt wurden. Die Sammlung bietet eine Vielzahl von Beleuchtungsbedingungen, Kopfhaltungen und natürlichen Ausdrücken über 59 Personen hinweg, was sie gut für die Bewertung der Widerstandsfähigkeit von Deepfake-Detektoren in realen Medien-Szenarien geeignet macht.

Beispiele von betroffenen Gesichtsbildern aus CelebDF. Quelle: https://github.com/yuezunli/celeb-deepfakeforensics

Der zweite war AMSL (Registrierung erforderlich), ein Morphing-Angriff-Datensatz, der aus der Face Research Lab London-Sammlung erstellt wurde und sowohl reale als auch synthetisch kombinierte Gesichter enthält. Der Datensatz enthält neutrale und lächelnde Ausdrücke von 102 Personen und wurde so strukturiert, dass er realistische Herausforderungen für biometrische Authentifizierungssysteme in Kontexten wie Grenzkontrolle widerspiegelt.

Bilder aus der Quell-Face-Research-Lab-London-Set-(FRLL)-Sammlung, die in AMSL verwendet wird. Quelle: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Jedes Netzwerk wurde auf 80% des Deepfake- oder Morphing-Datensatzes trainiert, wobei die verbleibenden 20% für die Validierung verwendet wurden. Um die Robustheit gegenüber Verschönerung zu testen, wendeten die Forscher dann einen progressiven Glättungsfilter auf die Testbilder an und erhöhten den Blur-Radius von 3% auf 5% der Gesichtshöhe.

Beispiele von Gesichtern aus den CelebDF- (oben) und AMSL- (unten) Datensätzen, gezeigt vor und nach der Anwendung eines glättenden Schönheitsfilters. Der Filter-Radius wurde relativ zur Gesichtshöhe skaliert, wobei c = 3% und c = 5% progressiv stärkere Effekte produzierten.

Was die Metriken betrifft, wurde jedes Modell unter Verwendung der gleichen Fehlerquote (EER) auf den ursprünglichen und verschönerten Testproben ausgewertet. Die Analyse berichtete auch den Bona-Fide-Präsentations-Klassifizierungsfehler (BPCER) oder die Falsch-Positiv-Rate und den Angriffs-Präsentations-Klassifizierungsfehler (APCER) oder die Falsch-Negativ-Rate, unter Verwendung der auf den ursprünglichen Daten festgelegten Schwelle.

Morphierte Gesichter aus dem AMSL-Datensatz.

Um die Leistung weiter zu bewerten, wurden die Fläche unter der ROC-Kurve (AUC) und die Punkteverteilungen für reale und gefälschte Bilder untersucht.

Tests

In den Ergebnissen zur Deepfake-Erkennung zeigten beide Netzwerke steigende Fehlerquoten, wenn die Verschönerung intensiver wurde. Die Fehlerquote von AlexNet stieg von 22,3% auf den ursprünglichen Bildern auf 28,1% auf dem höchsten Glättungsniveau, während die von VGG19 von 30,2% auf 35,2% stieg. Der Leistungsabfall folgte unterschiedlichen Mustern in jedem Fall.

Deepfake-Erkennungsergebnisse auf dem CelebDF-Datensatz mit AlexNet und VGG19. Beide Modelle wurden auf ursprünglichen und verschönerten Bildern mit zunehmenden Glättungsstufen getestet. Die angezeigten Metriken umfassen die Fehlerquote (EER), die Falsch-Positiv-Rate (BPCER) und die Falsch-Negativ-Rate (APCER), unter Verwendung von Schwellenwerten, die aus dem ursprünglichen Testset festgelegt wurden. Die Erkennungsgenauigkeit sank, wenn die Verschönerung intensiver wurde, obwohl das Muster der Verschlechterung zwischen den Architekturen unterschiedlich war.

Wenn die Verschönerung zunahm, wurde AlexNet eher dazu neigen, echte Gesichter für gefälschte zu halten, was durch einen stetigen Anstieg der Falsch-Positiv-Rate (BPCER) deutlich wurde. VGG19 hingegen hatte hauptsächlich Schwierigkeiten, die gefälschten Gesichter selbst zu erkennen, was zu einer steigenden Falsch-Negativ-Rate (APCER) führte. Die beiden Modelle reagierten unterschiedlich auf die Filter, was darauf hinweist, dass sogar bekannte Architekturen auf verschiedene Weise versagen können, wenn sie mit kosmetischen Veränderungen konfrontiert werden.

Um diese Ergebnisse besser zu verstehen, wendeten die Forscher den Verschönerungsfilter getrennt auf reale und gefälschte Bilder an und maßen die Auswirkungen auf die Erkennungsleistung. Diese Aufschlüsselung, die in der Ergebnistabelle unten dargestellt ist, klärt die Quelle jeder Modell-Schwäche auf.

Erkennungsgenauigkeit für AlexNet und VGG19 unter teilweiser Verschönerung auf dem CelebDF-Datensatz. Die Tabelle berichtet drei Szenarien: verschönerte reale vs. verschönerte gefälschte (F-Real vs F-Fake); verschönerte reale vs. ursprünglich gefälschte (F-Real vs O-Fake); und ursprünglich reale vs. verschönerte gefälschte (O-Real vs F-Fake), wobei eine Abnahme der Genauigkeit eine verringerte Detektorleistung anzeigt. AlexNet wurde am stärksten beeinträchtigt, wenn reale Bilder verschönert wurden, während VGG19 am stärksten litt, wenn die Verschönerung auf gefälschte Bilder angewendet wurde.

Für AlexNet sank die Erkennungsleistung, wenn reale Bilder verschönert wurden, aber verbesserte sich, wenn nur gefälschte Bilder geglättet wurden. Für VGG19 verbesserte sich die Leistung leicht, wenn reale Bilder verschönert wurden, aber verschlechterte sich, wenn Deepfakes gefiltert wurden. In allen Fällen verringerte eine stärkere Verschönerung die Genauigkeit.

Box-Plots, die die Ausgabewert-Verteilungen von AlexNet und VGG19 auf realen und gefälschten Proben des CelebDF-Datensatzes unter zunehmender Verschönerung zeigen. Wenn die Glättung intensiver wird, werden die Werteverteilungen für reale und gefälschte Bilder weniger trennbar, was eine verringerte Erkennungszuverlässigkeit anzeigt. AlexNet wird weniger zuversichtlich bei der Identifizierung echter Gesichter, während VGG19 eher gefälschte als echte Gesichter klassifiziert.

Die Verschönerung machte AlexNets Ausgabewerte über beide Klassen hinweg einheitlicher, während VGG19 eine größere Streuung innerhalb jeder Klasse zeigte. Trotz dieser kontrastierenden Effekte auf die Werteverteilung verloren beide Modelle Genauigkeit. Für AlexNet verschoben sich die Werte für echte Gesichter näher an die der Deepfakes. Für VGG19 begannen die Werte für echte und gefälschte Bilder, sich zu überlappen, was die Fähigkeit des Modells, sie auseinanderzuhalten, verringerte.

Das Papier besagt:

‘Diese Ergebnisse haben wichtige Auswirkungen und zeigen, dass es notwendig ist, die potenzielle Verwendung von Schönheitsfiltern bei der Deepfake-Erkennung zu berücksichtigen, da diese unvorhersehbare Auswirkungen auf die Leistung haben können.

‘Insbesondere reagieren unterschiedliche Architekturen unterschiedlich auf Gesichtsmanipulationen, auch wenn diese nicht dazu gedacht sind, zu täuschen.

‘Beispielsweise kann je nach verwendetem Deepfake-Detektor die Anwendung von Schönheitsfiltern die Ausgabe erheblich verändern und echte Bilder als gefälschte identifizieren und, noch kritischer, Deepfakes täuschen lassen.

In dem Szenario eines Morphing-Angriffs wurde ein synthetisches Bild durch das Kombinieren von Gesichtszügen zweier Personen erstellt. Dieses Bild wurde verwendet, um Gesichtserkennungssysteme zu täuschen, sodass beide Quell-Identitäten als dieselbe Person authentifiziert werden konnten. Solche Angriffe gelten insbesondere in Sicherheitskontexten als relevant, in denen biometrische Systeme getäuscht werden könnten.

Morphing-Angriff-Erkennungsergebnisse auf AMSL-Bildern vor und nach der Verschönerung, wobei beide Netzwerke steile Fehleranstiege mit zunehmender Glättungsintensität zeigen.

Im Szenario des Morphing-Angriffs verschlechterte sich die Leistung stärker als bei der Deepfake-Erkennung. Die Fehlerquote von AlexNet stieg von 27,6% auf 41,2%, und die von VGG19 von 19,0% auf 37,3%, hauptsächlich getrieben durch Falsch-Positiv-Raten: echte Gesichter, die als Morphs fehlklassifiziert wurden. Bei einem Glättungs-Radius von 3% erreichte die Falsch-Positiv-Rate von VGG19 90%.

Dieses Muster bestand auch, wenn Filter selektiv angewendet wurden. Das Glätten von echten Gesichtern verschlechterte die Erkennung, während das Glätten nur von morphierten Gesichtern die Ergebnisse verbesserte. Wenn die Glättung intensiver wurde, zeigten beide Netzwerke eine verringerte Trennung zwischen den Werten für echte und gefälschte Bilder, wobei VGG19 besonders instabil wurde.

Diese Ergebnisse, so die Autoren, deuten darauf hin, dass Schönheitsfilter Morphing-Angriffe möglicherweise noch effektiver helfen können, die Erkennung zu umgehen als Deepfakes, was ernsthafte Sicherheitsbedenken aufwirft.

Teilweise Beispiele (aufgrund von Platzmangel) dafür, wie minimale Verschönerung (3% Glättungs-Radius) AlexNets Klassifizierungen veränderte. Links wird ein reales Bild nach der Filteranwendung als Angriff fehlklassifiziert, und rechts wird ein morphiertes Bild nach der Filteranwendung als echt klassifiziert.

Schließlich fanden die Forscher heraus, dass sogar milde Schönheitsfilter die Leistung von Deepfake- und Morphing-Detektoren erheblich verschlechtern können.

Die Auswirkungen variierten je nach Architektur, wobei AlexNet einen allmählichen Rückgang zeigte und VGG19 unter minimaler Filterung zusammenbrach. Da diese Filter häufig und nicht unbedingt böswillig sind, stellt ihre Fähigkeit, Angriffe zu verbergen, eine praktische Bedrohung dar, insbesondere in biometrischen Systemen. Das Papier betont die Notwendigkeit von Erkennungsmodellen, die robust gegenüber solchen subtilen Bildmanipulationen sind.

Schlussfolgerung

Ein Grund, warum es schwierig sein könnte, Deepfake-Erkennungssysteme zu trainieren, die Schönheitsfilter ignorieren können, ist der Mangel an kontrastivem Material; letztendlich ist die “verschönerte” Version die, die weithin verbreitet wird, und im Gegensatz zu dem Video, das wir als Beispiel eingebettet haben, ist es sehr selten, dass ein “vorher”-Bild verwendet wird.

Ein weiteres Hindernis ist, dass viele der Filter genau die Art von Glättung durchführen, die typisch für Komprimierungsoperationen beim Speichern von Bildern oder Komprimieren von Videos ist (ein Segen für die Bandbreite der Anbieter, nebenbei bemerkt, und eine digitale Hautpflege für diejenigen, die den Filter verwenden).

Der Forschungsbereich der Deepfake-Erkennung ist bereits intensiv damit beschäftigt, realen Bildverschlechterungen aufgrund von Problemen wie schlechten Kameras, übermäßiger Komprimierung oder ruckeliger Netzwerkverbindung entgegenzuwirken – all diese Bedingungen sind ein direkter Vorteil für Deepfake-Betrüger, die gezwungen sind, in hochwertigen, hochauflösenden Szenarien viel härter zu arbeiten.

Ob Schönheitsfilter letztendlich als Sicherheitsrisiko angesehen werden, hängt wahrscheinlich davon ab, inwieweit sie sich als Hindernis für Deepfake-Überprüfungsmethoden erweisen oder als eine Art de-facto-Feuerwand dienen, die mehr den Betrügern als denen, die gegen sie kämpfen, nützt.

Erstveröffentlicht am Mittwoch, den 24. September 2025