Les filtres de beauté sont un outil potentiel d’attaque de deepfake

Les filtres de beauté font maintenant plus que cacher les imperfections: ils peuvent aider les deepfakes et les morphes à échapper aux systèmes de détection. Une nouvelle étude montre que même les effets de lissage subtils peuvent dérouter les détecteurs d’IA, faisant paraître les images fausses comme réelles et les réelles comme fausses. Si la tendance se poursuit, les filtres de beauté pourraient faire l’objet de restrictions dans des contextes à haut enjeu, des contrôles frontaliers aux appels Zoom d’entreprise.

Dans une collaboration universitaire de 2024 entre l’Espagne et l’Italie, des chercheurs ont rapporté que 90 % des femmes âgées de 18 à 30 ans utilisaient des filtres de beauté avant de publier des images sur les réseaux sociaux. Dans ce sens, les filtres de beauté sont des méthodes algorithmiques ou aidées par l’IA pour modifier l’apparence faciale de telle sorte qu’elle soit censée être améliorée par rapport à l’image d’origine:

Exemple de visages féminin (gauche) et masculin (droite) avant et après le filtrage de beauté. Le filtre a modifié des caractéristiques telles que la teinte de peau, les yeux, le nez, les lèvres, le menton et les pommettes pour améliorer l’attrait perçu. Source: https://arxiv.org/pdf/2407.11981

De tels filtres sont également largement disponibles en tant que fonctionnalité native ou complémentaire dans des systèmes vidéo populaires, notamment Snapchat et Zoom, offrant la possibilité de lisser la peau « imparfaite » et même de modifier l’âge du sujet, jusqu’au point où l’identité pourrait être considérée comme substantiellement altérée:

Cliquez pour jouer: trois femmes désactivent leurs filtres de « beautification » vidéo, révélant l’étendue à laquelle leurs physionomies sont altérées par les algorithmes ou l’IA. Source: https://www.youtube.com/watch?v=gtCpea_5qxw

Le phénomène semblait avoir atteint son point de saturation dès que la technologie était relativement mature; une étude de 2020 de la City University de Londres a révélé que 90 % des jeunes utilisateurs de Snapchat aux États-Unis, en France et au Royaume-Uni utilisaient des filtres dans leurs applications, tandis que Meta a rapporté que plus de 600 millions de jeunes avaient utilisé des filtres sur Facebook ou Instagram.

En explorant les effets négatifs de tels filtres sur la santé mentale, un rapport de Psychology Today a indiqué que, parmi les personnes étudiées, 90 % des jeunes femmes, avec une moyenne d’âge de 20 ans, utilisaient des filtres ou éditaient leurs photos d’une manière ou d’une autre. Les filtres les plus populaires étaient ceux qui uniformisaient les teints de peau; donnaient une apparence bronzée; blanchissaient les dents; et même réduisaient la taille du corps.

Face Off

Alors que les filtres de visage sont sur le point de bénéficier de la révolution de 2025 dans la synthèse vidéo, et plus généralement de l’intérêt croissant pour ce secteur de recherche, la mesure dans laquelle nous pouvons « recréer » ou réimaginer nous-mêmes dans les appels vidéo en direct est de plus en plus en conflit avec les préoccupations de la communauté de sécurité concernant les techniques de deepfake vidéo frauduleuses ou criminelles.

Un problème est que la gamme de « tests faciles » développés ces dernières années pour révéler un deepfaker vidéo, qui peut chercher à défrauder de grandes sommes d’argent dans un contexte d’entreprise, deviennent inévitablement moins efficaces à mesure que ces talons d’Achille sont pris en compte dans les données d’entraînement et au moment de l’inférence:

Cliquez pour jouer: il y a trois ou quatre ans, agiter la main devant un visage deepfake était un test fiable pour les appels vidéo, mais nous pouvons voir que des efforts dédiés de la part de TikTok font des progrès importants dans les « signes » classiques. Sources: Ibid et https://archive.is/mofRV#wavehands

Plus critique encore, l’utilisation généralisée de filtres de beautification qui modifient ou altèrent le visage embrouille les cartes pour une nouvelle génération de détecteurs de deepfakes chargés de tenir les imposteurs à l’écart des appels vidéo de salle de réunion et des victimes potentielles de la fraude « d’enlèvement » et « d’imposteur ».

Il est plus facile de rendre un deepfake convaincant, que ce soit une photo ou une vidéo, si la résolution de l’image est faible ou si l’image est dégradée d’une manière ou d’une autre, car le système de trucage sous-jacent peut cacher ses propres limites derrière ce qui apparaît comme des problèmes de connectivité ou des problèmes de plateforme.

En effet, les filtres de beautification les plus populaires suppriment certaines des informations les plus utiles pour identifier les deepfakes vidéo, telles que la texture de la peau et d’autres détails du visage – et il vaut la peine de considérer que plus un visage est âgé, plus il contient probablement de détails, et donc l’utilisation de filtres de rajeunissement pourrait être une tentation particulière dans ce cas.

Si un look « androïde » sans détails est à la mode, les détecteurs de deepfakes peuvent manquer de matériel pour distinguer les images et les vidéos réelles des fausses. Source: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

La publication de fin 2024 de la Royal Society intitulée What is beautiful is still good: the attractiveness halo effect in the era of beauty filters a confirmé que l’utilisation de filtres augmentait universellement l’attrait général à la fois pour les hommes et les femmes (bien que l’attrait accru tende à diminuer l’estimation générale de l’intelligence chez les femmes dont les visages ont été filtrés).

Par conséquent, il est raisonnable de dire que c’est une technologie populaire; qu’elle fonctionne; et qu’il s’agirait d’un choc culturel si elle devait soudainement être soumise à des limitations de sécurité ou interdite dans divers contextes.

Cependant, dans une période où les deepfakes vidéo menacent de devenir indiscernables des participants vidéo réels, à la fois en apparence et en parole, il est possible que le « bruit » global des filtres de beauté doive être atténué à l’avenir, pour des raisons de sécurité.

Smooth Criminals

La question a été récemment étudiée dans un nouvel article de l’Université de Cagliari en Italie, intitulé Deceptive Beauty: Evaluating the Impact of Beauty Filters on Deepfake and Morphing Attack Detection.

Dans la nouvelle étude, les chercheurs ont appliqué des filtres de beauté à des visages de deux jeux de données de référence, et ont testé plusieurs détecteurs de deepfakes et d’attaques de morphing sur les images originales et modifiées.

Dans presque tous les cas, la précision de détection a diminué après le filtrage de beauté; les baisses les plus spectaculaires se sont produites lorsque les filtres ont lissé les rides, éclairci la teinte de peau ou légèrement modifié les traits du visage. Ces changements ont supprimé ou déformé les indices mêmes sur lesquels les modèles de détection s’appuient.

Par exemple, le modèle le mieux performant sur MorphDB a perdu plus de 9 % de précision après le filtrage, et le problème a persisté à travers plusieurs architectures de détection, indiquant que les systèmes actuels ne sont pas robustes face aux améliorations cosmétiques courantes.

Les auteurs concluent:

‘Les filtres de beauté posent une menace à l’intégrité de l’authentification biométrique et des systèmes d’analyse forensique, rendant la détection robuste des deepfakes et des attaques de morphing sous de telles conditions une défiance ouverte critique.

‘Les travaux futurs devraient donner la priorité au développement de systèmes de détection de manipulations numériques robustes face à de telles altérations subtiles, réelles, qui ne sont pas nécessairement malveillantes, pour assurer une reconnaissance d’identité fiable et une vérification de contenu dans des contextes quotidiens et critiques en matière de sécurité.’

Méthode et données

Pour évaluer comment les filtres de beauté affectent la détection des deepfakes et des attaques de morphing, les chercheurs ont appliqué un filtre de lissage progressif et ont testé les résultats sur deux réseaux de neurones convolutionnels (CNN) bien associés au problème cible: AlexNet et VGG19.

Chacun des deux jeux de données de référence testés contenait des exemples de manipulations faciales appropriées. Le premier était CelebDF, un grand référentiel vidéo présentant 590 clips réels et 5 639 clips forgés créés à l’aide de techniques de permutation de visage avancées. La collection offre une gamme diversifiée de conditions d’éclairage, de poses de tête et d’expressions naturelles à travers 59 individus, ce qui la rend bien adaptée pour évaluer la résilience des détecteurs de deepfakes dans des scénarios de médias réels:

Exemples d’images faciales affectées, de CelebDF. Source: https://github.com/yuezunli/celeb-deepfakeforensics

Le second était AMSL (enregistrement requis), un jeu de données d’attaque de morphing construit à partir de la collection Face Research Lab London collection, contenant des visages réels et synthétiquement mélangés. Le jeu de données comprend des expressions neutres et souriantes de 102 sujets, et a été structuré pour refléter des défis réalistes pour les systèmes d’authentification biométrique utilisés dans des contextes tels que le contrôle des frontières.

Images de l’ensemble de données source Face Research Lab London (FRLL) utilisé dans AMSL. Source: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Chaque réseau a été formé sur 80 % du jeu de données de deepfake ou d’attaque de morphing, les 20 % restants étant utilisés pour validation. Pour tester la robustesse face au filtrage de beauté, les chercheurs ont ensuite appliqué un filtre de lissage progressif aux images de test, en augmentant le rayon de flou de 3 % à 5 % de la hauteur du visage:

Exemples de visages des ensembles de données CelebDF (haut) et AMSL (bas), montrés avant et après l’application d’un filtre de beauté à base de lissage. Le rayon du filtre a été mis à l’échelle par rapport à la hauteur du visage, avec c = 3 % et c = 5 % produisant des effets progressivement plus forts.

En ce qui concerne les métriques, chaque modèle a été évalué en utilisant le taux d’erreur égal (EER) sur les échantillons de test originaux et beautifiés. L’analyse a également rapporté le taux d’erreur de classification de présentation de bonne foi (BPCER) ou le taux de faux positifs, et le taux d’erreur de classification de présentation d’attaque (APCER), ou le taux de faux négatifs, en utilisant le seuil défini sur les données originales.

Visages morphés de l’ensemble de données AMSL.

Pour évaluer davantage les performances, la surface sous la courbe ROC (AUC) et les distributions de scores pour les images réelles et fausses ont été examinées.

Tests

Dans les résultats de détection de deepfakes, les deux réseaux ont montré des taux d’erreur égaux croissants à mesure que l’intensité de beautification augmentait. Le taux d’erreur égal d’AlexNet est passé de 22,3 % sur les images originales à 28,1 % au niveau de lissage le plus élevé, tandis que celui de VGG19 est passé de 30,2 % à 35,2 %. La baisse de performance a suivi des modèles différents dans chaque cas:

Résultats de détection de deepfakes sur l’ensemble de données CelebDF en utilisant AlexNet et VGG19. Les deux modèles ont été testés sur des images originales et beautifiées avec des niveaux croissants de lissage facial. Les métriques affichées incluent le taux d’erreur égal (EER), le taux d’erreur de classification de présentation de bonne foi (BPCER) et le taux d’erreur de classification de présentation d’attaque (APCER), en utilisant des seuils fixés à partir de l’ensemble de test d’origine. La précision de détection a diminué à mesure que l’intensité de beautification augmentait, bien que le modèle de dégradation diffère entre les architectures.

À mesure que la beautification augmentait, AlexNet devenait plus susceptible de confondre des visages réels avec des faux, comme le montre une augmentation régulière de son taux de faux positifs (BPCER). VGG19, en revanche, a principalement lutté pour détecter les faux eux-mêmes, avec un taux de faux négatifs (APCER) croissant. Les deux modèles ont répondu différemment aux filtres, indiquant que même les architectures bien connues peuvent échouer de différentes manières lorsqu’elles sont confrontées à des altérations cosmétiques.

Pour mieux comprendre ces résultats, les chercheurs ont appliqué le filtre de beauté séparément aux images réelles et fausses et ont mesuré l’impact sur les performances de détection. Cette analyse, présentée dans le tableau de résultats ci-dessous, clarifie la source de la vulnérabilité de chaque modèle:

Précision de détection pour AlexNet et VGG19 sous beautification partielle sur l’ensemble de données CelebDF. Le tableau rapporte trois scénarios: beautifié réel vs beautifié faux (F-Real vs F-Fake); beautifié réel vs faux original (F-Real vs O-Fake); et réel original vs beautifié faux (O-Real vs F-Fake), avec une diminution de la précision indiquant une diminution des performances du détecteur. AlexNet a été le plus affecté lorsque les images réelles ont été beautifiées, tandis que VGG19 a lutté le plus lorsque la beautification a été appliquée aux images fausses.

Pour AlexNet, les performances de détection ont diminué lorsque les images réelles ont été beautifiées, mais ont amélioré lorsque seules les images fausses ont été lissées. Pour VGG19, les performances ont légèrement amélioré avec des images réelles beautifiées mais se sont détériorées lorsque les deepfakes ont été filtrés. Dans tous les cas, une beautification plus forte a réduit la précision.

Boîtes à moustaches montrant les distributions de scores de sortie d’AlexNet et VGG19 sur les échantillons réels et faux de l’ensemble de données CelebDF, sous des niveaux croissants de beautification. À mesure que le lissage s’intensifie, les distributions de scores pour les images réelles et fausses deviennent moins séparables, indiquant une fiabilité de détection réduite. AlexNet devient moins confiant dans l’identification des visages réels, tandis que VGG19 devient plus susceptible de mal classer les faux.

La beautification a rendu les scores de sortie d’AlexNet plus uniformes à la fois pour les échantillons réels et faux, tandis que VGG19 a montré une plus grande dispersion au sein de chaque classe. Malgré ces effets contrastés sur la variabilité des scores, les deux modèles ont perdu de la précision. Pour AlexNet, les scores pour les visages réels se sont rapprochés de ceux des deepfakes. Pour VGG19, les scores pour les images réelles et fausses ont commencé à se chevaucher, réduisant la capacité du modèle à les distinguer.

Le document indique:

‘Ces résultats ont des implications importantes et révèlent qu’il est nécessaire de considérer l’utilisation potentielle de filtres de beauté dans la détection de deepfakes, car ceux-ci peuvent avoir un impact imprévisible sur les performances. En particulier, différentes architectures réagissent différemment aux manipulations faciales, même si celles-ci ne sont pas destinées à tromper.

‘Par exemple, en fonction du détecteur de deepfake spécifique, les filtres de beauté pourraient altérer considérablement la sortie, faisant apparaître des images réelles comme des faux et, plus critique encore, permettant aux deepfakes de tromper la détection.

‘Par conséquent, il est nécessaire de se concentrer sur le développement de détecteurs plus robustes face à de telles altérations subtiles, qui ne sont pas nécessairement malveillantes, qui pourraient servir de camouflage pour des manipulations de deepfakes malveillantes.’

Dans le scénario d’attaque de morphing, une image synthétique a été créée en mélangeant des caractéristiques faciales de deux individus. Cette image a été utilisée pour tromper les systèmes de reconnaissance faciale, permettant aux deux identités source d’être authentifiées comme la même personne. De telles attaques sont considérées comme particulièrement pertinentes dans les contextes de sécurité, où les systèmes biométriques pourraient être induits en erreur pour accepter l’image morphée pour une identification officielle.

Résultats de détection d’attaque de morphing sur les images AMSL avant et après beautification, avec les deux réseaux montrant des augmentations d’erreur abruptes à mesure que l’intensité de lissage augmente.

Dans le scénario d’attaque de morphing, les performances se sont dégradées plus rapidement que dans la détection de deepfakes. Le taux d’erreur égal d’AlexNet est passé de 27,6 % à 41,2 %, et celui de VGG19 de 19,0 % à 37,3 %, principalement en raison de faux positifs: des visages réels mal classés comme des morphes. Avec un rayon de lissage de 3 %, le taux de faux positifs de VGG19 a atteint 90 %.

Ce modèle a persisté lorsque les filtres ont été appliqués sélectivement. Le lissage des visages réels a dégradé la détection, tandis que le lissage uniquement des visages morphés a amélioré les résultats. À mesure que le lissage s’intensifiait, les deux réseaux ont montré une séparation réduite entre les scores réels et faux, VGG19 devenant particulièrement instable.

Ces résultats, indiquent les auteurs, suggèrent que les filtres de beauté pourraient aider les morphes à échapper à la détection encore plus efficacement que les deepfakes, soulevant de graves préoccupations de sécurité.

Exemples partiels (en raison du manque d’espace) de la manière dont une beautification minimale (rayon de lissage de 3 %) a modifié les classifications d’AlexNet. À gauche, une image réelle est mal classée comme une attaque après le filtrage, et à droite, une image morphée est mal classée comme une image de bonne foi après le filtrage.

Enfin, les chercheurs ont constaté que même des filtres de beauté légers peuvent considérablement dégrader les performances des détecteurs de deepfakes et de morphing de pointe.

L’impact a varié en fonction de l’architecture, AlexNet montrant un déclin progressif, et VGG19 s’effondrant sous un filtrage minimal. Puisque ces filtres sont courants et pas nécessairement malveillants, leur capacité à cacher les attaques pose, suggèrent les auteurs, une menace pratique, en particulier dans les systèmes biométriques. Le document met l’accent sur la nécessité de développer des modèles de détection robustes face à de telles manipulations d’images subtiles.

Conclusion

Une raison pour laquelle il peut être difficile de former des systèmes de détection de deepfakes qui peuvent ignorer les filtres de beauté est le manque de matériel contrasté; en fin de compte, la version « beautifiée » est celle qui est largement diffusée, et, contrairement à la vidéo que nous avons intégrée plus tôt à titre d’illustration, il est très rare qu’une image « avant » soit appliquée.

Un autre obstacle est que de nombreux filtres effectuent exactement le type de lissage typique des opérations de compression lors de l’enregistrement d’images ou de la compression de la vidéo (un avantage pour la bande passante des fournisseurs, outre un rajeunissement numérique pour ceux qui utilisent le filtre).

Le secteur de la recherche sur la détection de deepfakes est déjà fortement engagé dans la lutte contre les cas de dégradation d’images réelles due à des problèmes tels que des caméras de mauvaise qualité, une compression excessive ou une connectivité réseau saccadée – toutes ces conditions étant un avantage direct pour les fraudeurs de deepfakes qui sont contraints de faire beaucoup plus d’efforts dans un scénario de haute qualité et de haute résolution.

Que les filtres de beauté finissent par être menacés en tant que responsabilité de sécurité semble probablement dépendre de la mesure dans laquelle ils prouvent être un obstacle aux méthodes de détection de deepfakes, ou finissent par constituer une sorte de pare-feu de facto qui profite plus aux malveillants qu’à ceux qui les combattent.

Publié pour la première fois le mercredi 24 septembre 2025