Enthüllung kleiner, aber bedeutender AI-Edits in echten Videos

Im Jahr 2019 war die Sprecherin des Repräsentantenhauses der USA, Nancy Pelosi, das Ziel eines gezielten und ziemlich low-tech-Angriffs im Stil von Deepfakes, als echtes Video von ihr bearbeitet wurde, um sie betrunken erscheinen zu lassen – ein unwahres Ereignis, das mehrere Millionen Mal geteilt wurde, bevor die Wahrheit darüber ans Licht kam (und, potenziell, nachdem einige hartnäckige Schäden an ihrem politischen Kapital durch diejenigen verursacht worden waren, die nicht auf dem Laufenden blieben).

Obwohl diese Fälschung nur einfache audiovisuelle Bearbeitung erforderte und kein AI, bleibt sie ein wichtiger Beispiel dafür, wie subtile Änderungen in echten audiovisuellen Ausgaben verheerende Auswirkungen haben können.

Zu dieser Zeit wurde die Deepfake-Szene von den autoencoder-basierten Gesichtsersetzungssystemen dominiert, die Ende 2017 debütiert hatten und seitdem nicht wesentlich verbessert worden waren. Solche frühen Systeme hätten es schwer gehabt, diese Art von kleinen, aber bedeutenden Änderungen zu erstellen oder modernen Forschungssträngen wie Expression Editing nachzugehen:

Das ‘Neural Emotion Director’-Framework von 2022 ändert die Stimmung eines berühmten Gesichts. Quelle: https://www.youtube.com/watch?v=Li6W8pRDMJQ

Heute ist die Situation jedoch ganz anders. Die Film- und Fernsehbranche ist ernsthaft an der postproduktiven Bearbeitung von echten Darbietungen mithilfe von maschinellen Lernalgorithmen interessiert, und die AI-Förderung von post facto-Perfektionismus ist sogar jüngst kritisiert worden.

Antizipierend (oder argumentierend) auf diese Nachfrage, hat die Bild- und Videosynthese-Forschungsszene eine Vielzahl von Projekten vorgestellt, die ‘lokale Edits’ von Gesichtsaufnahmen anbieten, anstatt eine vollständige Ersetzung: Projekte dieser Art umfassen Diffusion Video Autoencoders; Stitch it in Time; ChatFace; MagicFace; und DISCO, unter anderen.

Expression Editing mit dem Januar 2025-Projekt MagicFace. Quelle: https://arxiv.org/pdf/2501.02260

Neue Gesichter, neue Falten

Jedoch entwickeln sich die ermöglichten Technologien viel schneller als die Methoden, sie zu erkennen. Fast alle Deepfake-Erkennungsmethoden, die in der Literatur auftauchen, verfolgen die Deepfake-Methoden von gestern mit gestrigens Datasets. Bis zu dieser Woche hatte keine von ihnen die sich anbahnende Möglichkeit von AI-Systemen angesprochen, kleine und lokale Änderungen in Videos zu erstellen.

Jetzt hat ein neues Papier aus Indien dies korrigiert, mit einem System, das darauf abzielt, Gesichter zu identifizieren, die durch AI-basierte Techniken bearbeitet (anstatt ersetzt) wurden:

Erkennung subtiler lokaler Edits in Deepfakes: Ein echtes Video wird bearbeitet, um Fälschungen mit feinen Änderungen wie erhobenen Augenbrauen, veränderten Geschlechtsmerkmalen und Verschiebungen in der Ausdrucksrichtung zur Verachtung (hier mit einem einzelnen Frame dargestellt). Quelle: https://arxiv.org/pdf/2503.22121

Das System der Autoren zielt darauf ab, Deepfakes zu identifizieren, die subtile, lokale Gesichtsmanipulationen beinhalten – eine bisher vernachlässigte Klasse von Fälschungen. Anstatt sich auf globale Inkonsistenzen oder Identitätsmismatches zu konzentrieren, zielt der Ansatz auf fein granulierte Änderungen wie leichte Ausdrucksverschiebungen oder kleine Edits spezifischer Gesichtsmerkmale.

Die Methode nutzt die Action Units (AUs) in der Facial Action Coding System (FACS), die 64 mögliche individuelle veränderbare Bereiche im Gesicht definiert, die zusammen Ausdrücke bilden.

Einige der konstituierenden 64 Ausdrucksbestandteile in FACS. Quelle: https://www.cs.cmu.edu/~face/facs.htm

Die Autoren bewerteten ihren Ansatz gegen eine Vielzahl von aktuellen Editiermethoden und berichten über konsistente Leistungssteigerungen, sowohl mit älteren Daten als auch mit viel neueren Angriffsvectoren:

‘Durch die Verwendung von AU-basierten Merkmalen, um Video-Representationen zu leiten, die durch Masked Autoencoders (MAE) gelernt werden, kann unser Verfahren effektiv lokale Änderungen erfassen, die für die Erkennung subtiler Gesichts-Edits entscheidend sind.

‘Dieser Ansatz ermöglicht es uns, eine einheitliche latente Darstellung zu konstruieren, die sowohl lokale Edits als auch umfassendere Änderungen in gesichtszentrierten Videos kodiert, und bietet somit eine umfassende und anpassbare Lösung für die Deepfake-Erkennung.’

Das neue Papier trägt den Titel Erkennung lokalisierter Deepfake-Manipulationen unter Verwendung von Action-Unit-geleiteten Video-Darstellungen und stammt von drei Autoren am Indian Institute of Technology in Madras.

Methode

In Übereinstimmung mit dem Ansatz, der von VideoMAE verfolgt wird, beginnt die neue Methode damit, Gesichtserkennung auf ein Video anzuwenden und gleichmäßig beabstandete Frames zu extrahieren, die auf den erkannten Gesichtern zentriert sind. Diese Frames werden dann in kleine 3D-Teilungen (d. h. zeitlich aktivierten Patches) unterteilt, die jeweils lokale räumliche und zeitliche Details erfassen.

Schema für die neue Methode. Das Eingabe-Video wird mit Gesichtserkennung verarbeitet, um gleichmäßig beabstandete, gesichtszentrierte Frames zu extrahieren, die dann in ‘tubuläre’ Patches unterteilt und durch einen Encoder geführt werden, der latente Darstellungen aus zwei vorgebildeten Vorübungen fusioniert. Der resultierende Vektor wird dann von einem Klassifizierer verwendet, um zu bestimmen, ob das Video echt oder gefälscht ist.

Jeder 3D-Patch enthält ein festes Fenster von Pixeln (d. h. 16×16) aus einer kleinen Anzahl aufeinanderfolgender Frames (d. h. 2). Dies ermöglicht es dem Modell, kurze Bewegungen und Ausdrucksänderungen zu lernen – nicht nur, wie das Gesicht aussieht, sondern wie es sich bewegt.

Die Patches werden eingebettet und positionell kodiert, bevor sie in einen Encoder eingegeben werden, der darauf ausgelegt ist, Merkmale zu extrahieren, die echte von gefälschten Videos unterscheiden können.

Die Autoren erkennen an, dass dies insbesondere bei subtilen Manipulationen sehr schwierig ist und gehen dieses Problem an, indem sie einen Encoder konstruieren, der zwei separate Arten von gelernten Darstellungen kombiniert, unter Verwendung eines Cross-Attention-Mechanisms, um sie zu fusionieren. Dies soll einen empfindlicheren und generalisierbareren Merkmalraum für die Erkennung lokaler Edits erzeugen.

Vorübungen

Die erste dieser Darstellungen ist ein Encoder, der mit einer maskierten Autoencoding-Aufgabe trainiert wird. Mit dem Video in 3D-Patches unterteilt (die meisten davon versteckt), lernt der Encoder dann, die fehlenden Teile wiederherzustellen, was ihn zwingt, wichtige räumliche und zeitliche Muster wie Gesichtsbewegung oder Konsistenz über die Zeit zu erfassen.

Vorübungstraining beinhaltet das Maskieren von Teilen des Video-Eingangs und die Verwendung eines Encoder-Decoder-Setups, um entweder die ursprünglichen Frames oder pro-Frame-Aktionseinheitskarten wiederherzustellen, je nach Aufgabe.

Die Autoren bemerken jedoch, dass dies allein nicht ausreicht, um fein granulierte Edits zu erkennen, und führen daher einen zweiten Encoder ein, der darauf trainiert ist, Gesichts-Aktionseinheiten (AUs) zu erkennen. Für diese Aufgabe lernt das Modell, dichte AU-Karten für jeden Frame zu generieren, wiederum aus teilweise maskierten Eingaben. Dies ermutigt es, sich auf lokale Muskelaktivität zu konzentrieren, wo viele subtile Deepfake-Edits auftreten.

Weitere Beispiele für Gesichts-Aktionseinheiten (FAUs oder AUs). Quelle: https://www.eiagroup.com/the-facial-action-coding-system/

Sobald beide Encoder vorgebildet sind, werden ihre Ausgaben mithilfe von Cross-Attention kombiniert. Anstatt die beiden Satz von Merkmalen einfach zu fusionieren, verwendet das Modell die AU-basierten Merkmale als Anfragen, die die Aufmerksamkeit über die räumlich-zeitlichen Merkmale leiten, die durch maskierte Autoencoding gelernt wurden. Im Wesentlichen sagt der Aktionseinheits-Encoder dem Modell, wo es hinschauen soll.

Das Ergebnis ist eine fusionierte latente Darstellung, die darauf ausgelegt ist, sowohl den breiteren Bewegungskontext als auch die lokalisierten Ausdrucksdetails zu erfassen. Dieser kombinierte Merkmalsraum wird dann für die endgültige Klassifizierungsaufgabe verwendet: Vorhersage, ob ein Video echt oder manipuliert ist.

Daten und Tests

Implementierung

Die Autoren implementierten das System, indem sie die Eingabe-Videos mit dem PyTorch-basierten Gesichtserkennungsframework FaceXZoo vorverarbeiteten und 16 gesichtszentrierte Frames aus jedem Clip extrahierten. Die Vorübungen, die oben beschrieben wurden, wurden auf dem CelebV-HQ-Datensatz trainiert, der 35.000 hochwertige Gesichtsvideos umfasst.

Beispiele aus dem Quellenpapier, aus dem CelebV-HQ-Datensatz, der im neuen Projekt verwendet wird. Quelle: https://arxiv.org/pdf/2207.12393

Die Hälfte der Datenbeispiele wurde maskiert, um das System zu zwingen, allgemeine Prinzipien zu lernen, anstatt überzufitten auf die Quelldaten.

Für die Aufgabe der maskierten Frame-Rekonstruktion wurde das Modell trainiert, fehlende Regionen von Video-Frames vorherzusagen, unter Verwendung eines L1-Verlusts, der den Unterschied zwischen dem ursprünglichen und dem rekonstruierten Inhalt minimiert.

Für die zweite Aufgabe wurde das Modell trainiert, Karten für 16 Gesichts-Aktionseinheiten zu generieren, die jeweils subtile Muskelbewegungen in Bereichen wie Augenbrauen, Augenlidern, Nase und Lippen darstellen, wiederum unter Verwendung von L1-Verlust.

Nach dem Vorbilden wurden die beiden Encoder fusioniert und feinjustiert für die Deepfake-Erkennung unter Verwendung des FaceForensics++-Datensatzes, der sowohl echte als auch manipulierte Videos enthält.

Der FaceForensics++-Datensatz ist seit 2017 der zentrale Bezugspunkt für die Deepfake-Erkennung, obwohl er jetzt erheblich veraltet ist, was die neuesten Gesichtssynthese-Techniken betrifft. Quelle: https://www.youtube.com/watch?v=x2g48Q2I2ZQ

Um Klassenungleichgewichte auszugleichen, verwendeten die Autoren Focal Loss (eine Variante von Cross-Entropy-Verlust), die schwierigere Beispiele während des Trainings betont.

Alle Trainings wurden auf einer einzelnen RTX 4090-Grafikkarte mit 24 GB VRAM durchgeführt, mit einer Batch-Größe von 8 für 600 Epochen (vollständige Überprüfungen der Daten), unter Verwendung von vorgebildeten Checkpoints von VideoMAE, um die Gewichte für jede der Vorübungen zu initialisieren.

Tests

Quantitative und qualitative Evaluierungen wurden gegen eine Vielzahl von Deepfake-Erkennungsmethoden durchgeführt: FTCN; RealForensics; Lip Forensics; EfficientNet+ViT; Face X-Ray; Alt-Freezing; CADMM; LAANet; und BlendFace’s SBI. In allen Fällen war der Quellcode für diese Frameworks verfügbar.

Die Tests konzentrierten sich auf lokal bearbeitete Deepfakes, bei denen nur ein Teil eines Quellclips geändert wurde. Architekturen, die verwendet wurden, waren Diffusion Video Autoencoders (DVA); Stitch It In Time (STIT); Disentangled Face Editing (DFE); Tokenflow; VideoP2P; Text2Live; und FateZero. Diese Methoden verwenden eine Vielzahl von Ansätzen (Diffusion für DVA und StyleGAN2 für STIT und DFE, zum Beispiel)

Die Autoren erklären:

‘Um eine umfassende Abdeckung verschiedener Gesichtsmanipulationen zu gewährleisten, haben wir eine breite Palette von Gesichtsmerkmalen und Attributedits einbezogen. Für Gesichtsmerkmal-Editing haben wir Augengröße, Augen-Augenbrauen-Abstand, Nasenverhältnis, Nasen-Mund-Abstand, Lippenverhältnis und Wangenverhältnis geändert. Für Gesichtsattribut-Editing haben wir Ausdrücke wie Lächeln, Wut, Ekel und Traurigkeit variiert.

‘Diese Vielfalt ist unerlässlich, um die Robustheit unseres Modells über einen weiten Bereich von lokalen Edits zu validieren. Insgesamt haben wir 50 Videos für jede der oben genannten Editiermethoden generiert und unsere Methode auf starke Generalisierung für die Deepfake-Erkennung getestet.’

Ältere Deepfake-Datensätze wurden ebenfalls in die Runden einbezogen, nämlich Celeb-DFv2 (CDF2); DeepFake Detection (DFD); DeepFake Detection Challenge (DFDC); und WildDeepfake (DFW).

Bewertungsmetriken waren Fläche unter der Kurve (AUC); Durchschnittliche Präzision; und Mittlerer F1-Score.

Aus dem Papier: Vergleich auf recenten lokalen Deepfakes zeigt, dass die vorgeschlagene Methode alle anderen übertraf, mit einem Gewinn von 15 bis 20 Prozent in beiden AUC und durchschnittlicher Präzision gegenüber dem nächstbesten Ansatz.

Die Autoren stellen außerdem einen visuellen Erkennungsvergleich für lokal manipulierte Ansichten bereit (nur teilweise hier reproduziert, aufgrund von Platzmangel):

Ein echtes Video wurde mit drei verschiedenen lokalen Manipulationen bearbeitet, um Fälschungen zu erstellen, die visuell dem Original ähnelten. Hier sind repräsentative Frames mit den durchschnittlichen Fälschungserkennungsscores für jede Methode. Während bestehende Erkennungsmethoden mit diesen subtilen Edits zu kämpfen hatten, wies das vorgeschlagene Modell konsistent hohe Fälschungswahrscheinlichkeiten zu, was auf eine größere Empfindlichkeit gegenüber lokalen Änderungen hinweist.

Die Forscher kommentieren:

‘[Die] bestehenden SOTA-Erkennungsmethoden, [LAANet], [SBI], [AltFreezing] und [CADMM], erleben einen signifikanten Leistungsabfall bei den neuesten Deepfake-Generierungsmethoden. Die aktuellen SOTA-Methoden zeigen AUCs von nur 48-71%, was ihre schlechten Generalisierungsfähigkeiten für die neuesten Deepfakes demonstriert.

‘Andererseits zeigt unsere Methode eine robuste Generalisierung, mit einem AUC im Bereich von 87-93%. Ein ähnlicher Trend ist auch bei der durchschnittlichen Präzision erkennbar. Wie unten gezeigt, erreicht unsere Methode auch konsistent hohe Leistungen auf Standard-Datensätzen, mit über 90% AUC und ist wettbewerbsfähig mit aktuellen Deepfake-Erkennungsmodellen.’

Leistung auf traditionellen Deepfake-Datensätzen zeigt, dass die vorgeschlagene Methode mit führenden Ansätzen wettbewerbsfähig bleibt, was auf eine starke Generalisierung über eine Reihe von Manipulationstypen hinweist.

Die Autoren bemerken, dass diese letzten Tests Modelle beinhalten, die vernünftigerweise als veraltet angesehen werden können und die vor 2020 eingeführt wurden.

Um eine umfassendere visuelle Darstellung der Leistung des neuen Modells zu bieten, stellen die Autoren eine umfangreiche Tabelle am Ende bereit, von der wir nur einen Teil hier reproduzieren können:

In diesen Beispielen wurde ein echtes Video mit drei lokalen Edits bearbeitet, um Fälschungen zu erstellen, die visuell dem Original ähnelten. Die durchschnittlichen Fälschungserkennungsscores über diese Manipulationen hinweg zeigen, so die Autoren, dass das vorgeschlagene Modell die Fälschungen zuverlässiger erkannte als andere führende Ansätze. Bitte beachten Sie die vollständigen Ergebnisse auf der letzten Seite des Quellen-PDFs.

Die Autoren behaupten, dass ihre Methode Erkennungsscores über 90 Prozent für die Erkennung lokaler Edits erreicht, während bestehende Erkennungsmethoden unter 50 Prozent auf dieser Aufgabe bleiben. Sie interpretieren diese Lücke als Beweis für die Empfindlichkeit und Generalisierungsfähigkeit ihres Ansatzes und als Hinweis auf die Herausforderungen, denen sich aktuelle Techniken bei der Behandlung dieser Art von subtilen Gesichtsmanipulationen gegenübersehen.

Um die Zuverlässigkeit des Modells unter realen Bedingungen zu bewerten und gemäß der Methode, die von CADMM etabliert wurde, testeten die Autoren seine Leistung auf Videos, die mit häufigen Störungen wie Anpassungen von Sättigung und Kontrast, Gaußschem Rauschen, Pixelierung und blockbasierten Komprimierungsartefakten sowie additivem Rauschen modifiziert wurden.

Die Ergebnisse zeigten, dass die Erkennungsgenauigkeit größtenteils stabil über diese Störungen hinweg blieb. Der einzige bemerkenswerte Rückgang trat mit der Addition von Gaußschem Rauschen auf, was einen moderaten Leistungsabfall verursachte. Andere Änderungen hatten einen minimalen Effekt.

Eine Darstellung, wie sich die Erkennungsgenauigkeit unter verschiedenen Video-Störungen ändert. Die neue Methode blieb in den meisten Fällen widerstandsfähig, mit nur einem leichten Rückgang im AUC. Der größte Rückgang trat auf, als Gaußsches Rauschen eingeführt wurde.

Diese Ergebnisse, so die Autoren, deuten darauf hin, dass die Fähigkeit des Modells, lokale Manipulationen zu erkennen, nicht leicht durch typische Verschlechterungen der Videoqualität gestört wird, was seine potenzielle Robustheit in praktischen Umgebungen unterstützt.

Schlussfolgerung

AI-Manipulation existiert im öffentlichen Bewusstsein hauptsächlich in der traditionellen Vorstellung von Deepfakes, bei der die Identität einer Person auf den Körper einer anderen Person aufgepfropft wird, die möglicherweise Handlungen ausführt, die den Grundsätzen des Identitätsinhabers widersprechen. Diese Vorstellung wird langsam aktualisiert, um die viel subtileren Fähigkeiten von generativen Videosystemen (in der neuen Generation von Video-Deepfakes) und den Fähigkeiten von latenten Diffusionsmodellen (LDMs) im Allgemeinen anzuerkennen.

Es ist daher vernünftig, anzunehmen, dass die Art von lokalen Edits, mit denen das neue Papier befasst ist, möglicherweise nicht in das öffentliche Bewusstsein gelangen, bis ein Pelosi-ähnliches Schlüsselereignis eintritt, da die Menschen von dieser Möglichkeit abgelenkt werden durch einfachere Schlagzeilen wie Video-Deepfake-Betrug.

Trotzdem hat der Schauspieler Nic Cage konsequent Bedenken geäußert, dass Postproduktionsprozesse die Leistung eines Schauspielers ‘überarbeiten’ könnten, und wir sollten vielleicht auch ein größeres Bewusstsein für diese Art von ‘subtilen’ Video-Anpassungen fördern – nicht zuletzt, weil wir von Natur aus unglaublich empfindlich auf sehr kleine Variationen von Gesichtsausdrücken reagieren und weil der Kontext die Auswirkungen kleiner Gesichtsbewegungen erheblich ändern kann (denken Sie an die störende Wirkung, sogar eines Schmunzelns auf einer Beerdigung, zum Beispiel).

Erstveröffentlichung am Mittwoch, 2. April 2025