I Filtri di Bellezza Sono uno Strumento Potenziale per gli Attacchi di Deepfake

I filtri di bellezza ora fanno più che nascondere le imperfezioni: possono aiutare i deepfake e le morfing a sfuggire ai sistemi di rilevamento. Uno studio recente mostra che anche gli effetti di smoothing più sottili confondono i rilevatori AI, rendendo le immagini false sembrare reali e quelle reali sembrare false. Se la tendenza continua, i filtri di bellezza potrebbero affrontare restrizioni in contesti ad alto rischio, dalle controlli di frontiera alle riunioni di Zoom aziendali.

In una collaborazione accademica del 2024 tra la Spagna e l’Italia, i ricercatori hanno riferito che il 90% delle donne tra i 18 e i 30 anni utilizzavano filtri di bellezza prima di pubblicare immagini sui social media. In questo senso, i filtri di bellezza sono metodi algoritmici o assistiti da AI per alterare l’aspetto facciale in modo che sia suppostamente migliorato rispetto all’originale:

Dallo studio del 2024: esempi di volti femminili (a sinistra) e maschili (a destra) prima e dopo l’applicazione del filtro di bellezza. Il filtro altera caratteristiche come il tono della pelle, gli occhi, il naso, le labbra, il mento e le guance per migliorare l’attrattiva percepita. Fonte: https://arxiv.org/pdf/2407.11981

Tali filtri sono anche ampiamente disponibili come funzionalità native o aggiuntive in sistemi video popolari come Snapchat e Zoom, offrendo la possibilità di levigare la pelle “imperfetta” e anche alterare l’età del soggetto, fino al punto in cui l’identità potrebbe essere sostanzialmente alterata:

Click per riprodurre:tre donne disattivano i filtri di “miglioramento” video, rivelando l’estensione con cui le loro fisionomie sono alterate dagli algoritmi o dall’AI. Fonte: https://www.youtube.com/watch?v=gtCpea_5qxw

Il fenomeno sembra aver raggiunto il punto di saturazione non appena la tecnologia è diventata relativamente matura; uno studio del 2020 della City University di Londra ha rivelato che il 90% degli utenti giovani di Snapchat negli Stati Uniti, in Francia e nel Regno Unito utilizzavano filtri nelle loro app, mentre Meta ha riferito che più di 600 milioni di giovani avevano utilizzato filtri su Facebook o Instagram.

Esplorando gli effetti negativi di tali filtri sulla salute mentale, un rapporto di Psychology Today ha affermato che, tra coloro che sono stati esaminati, il 90% delle giovani donne, con un’età media di 20 anni, utilizzavano filtri o in qualche modo modificavano le loro foto. I filtri più popolari erano quelli utilizzati per uniformare i toni della pelle; dare un aspetto abbronzato; sbiancare i denti; e anche ridurre le dimensioni del corpo.

Face Off

Poiché i filtri facciali sono destinati a trarre vantaggio dalla rivoluzione del 2025 nella sintesi video e, più in generale, dall’interesse continuo in questo settore di ricerca, la misura in cui possiamo “ricreare” o reinventare noi stessi nelle chat video live sta aumentando contro la preoccupazione della comunità di sicurezza riguardo alle tecniche di video deepfake fraudolente o criminali.

Un problema è che la gamma di “test facili” sviluppati negli ultimi anni per rivelare un video deepfaker, che potrebbe cercare di truffare grandi quantità di denaro in un contesto aziendale, sta inevitabilmente diventando meno efficace poiché queste vulnerabilità vengono contabilizzate nei dati di training e al momento dell’inferenza:

Click per riprodurre:tre o quattro anni fa, agitare una mano davanti a un volto deepfaked era un test affidabile per le chiamate video, ma possiamo vedere che gli sforzi dedicati da TikTok stanno facendo grandi progressi nei classici “segni rivelatori”. Fonti: Ibid e https://archive.is/mofRV#wavehands

Più criticamente, l’uso diffuso di filtri di bellezza che alterano il viso confonde le acque per una nuova generazione di rilevatori di deepfake incaricati di tenere gli impostori fuori dalle chat video della sala riunioni e lontani da potenziali vittime di frodi di “rapimento” e “impostore”.

È più facile creare un deepfake convincente, sia foto che video, se la risoluzione dell’immagine è bassa o l’immagine è in qualche modo degradata, poiché il sistema di falsificazione sottostante può nascondere le proprie carenze dietro quello che sembra essere un problema di connettività o piattaforma.

In effetti, i filtri di bellezza più popolari rimuovono alcuni dei materiali più utili per identificare i video deepfake, come la texture della pelle e altre aree di dettaglio del viso – e vale la pena considerare che, più una faccia è vecchia, più dettagli è probabile che contenga, e quindi l’uso di filtri di ringiovanimento potrebbe essere una tentazione particolare in tale caso.

Se un aspetto “android” senza dettagli è di moda, i rilevatori di deepfake potrebbero non avere il materiale necessario per distinguere tra immagini e video reali e falsi. Fonte: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

La Royal Society ha confermato nella sua pubblicazione di fine 2024 Cosa è bello è ancora buono: l’effetto alone di attrattiva nell’era dei filtri di bellezza che l’uso di filtri aumenta universalmente l’attrattiva generale in entrambi i sessi (anche se l’aumento dell’attrattiva tende a ridurre la stima generale dell’intelligenza nelle donne con filtri di bellezza).

Pertanto, è lecito dire che questa è una tecnologia popolare; che funziona; e che sarebbe una sorta di shock culturale se improvvisamente diventasse soggetta a limitazioni di sicurezza o vietata in contesti diversi.

Tuttavia, in un periodo in cui i video deepfake minacciano di diventare indistinguibili da partecipanti video genuini, sia nell’aspetto che nel discorso, è possibile che il “rumore” globale dei filtri di bellezza debba essere mitigato in futuro, per motivi di sicurezza.

Smooth Criminals

La questione è stata più di recente indagata in un nuovo studio dell’Università di Cagliari in Italia, intitolato Deceptive Beauty: Evaluating the Impact of Beauty Filters on Deepfake and Morphing Attack Detection.

Nello studio, i ricercatori hanno applicato filtri di bellezza a volti da due set di dati di riferimento e hanno testato diversi rilevatori di deepfake e attacchi di morfing su immagini originali e alterate.

In quasi tutti i casi, l’accuratezza di rilevamento è scesa dopo la bellezza; le cadute più drammatiche si sono verificate quando i filtri hanno levigato le rughe, schiarito il tono della pelle o sottilemente ridisegnato le caratteristiche del viso. Questi cambiamenti hanno rimosso o distorto gli stessi indizi sui quali si basano i modelli di rilevamento.

Ad esempio, il modello migliore su MorphDB ha perso più del 9% di accuratezza dopo il filtraggio, e il problema è persistito attraverso molteplici architetture di rilevamento, indicando che gli attuali sistemi non sono robusti rispetto ai comuni miglioramenti cosmetici.

Gli autori concludono:

‘I filtri di bellezza rappresentano una minaccia per l’integrità degli sistemi di autenticazione biometrica e dell’analisi forense, rendendo il rilevamento robusto di deepfake e attacchi di morfing in tali condizioni una sfida aperta critica.

‘I lavori futuri dovrebbero dare priorità allo sviluppo di sistemi di rilevamento di manipolazione digitale che siano robusti a tali alterazioni sottili, reali e non necessariamente maliziose, per garantire il riconoscimento affidabile dell’identità e la verifica del contenuto in contesti quotidiani e critici per la sicurezza.’

Method and Data

Per valutare come i filtri di bellezza influenzano il rilevamento di deepfake e morfing, i ricercatori hanno applicato un filtro di smoothing progressivo e hanno testato i risultati su due reti neurali convoluzionali (CNN) ben associate al problema di destinazione: AlexNet e VGG19.

Ogni dataset di riferimento testato conteneva esempi di manipolazioni facciali adeguate. Il primo era CelebDF, un ampio set di video di riferimento che presenta 590 clip reali e 5.639 clip contraffatte create attraverso tecniche di sostituzione del viso avanzate. La raccolta offre una vasta gamma di condizioni di illuminazione, pose della testa e espressioni naturali su 59 individui, rendendolo ben adatto per valutare la resilienza dei rilevatori di deepfake in scenari multimediali reali:

Esempi di immagini facciali interessate, da CelebDF. Fonte: https://github.com/yuezunli/celeb-deepfakeforensics

Il secondo era AMSL (registrazione richiesta), un set di dati di attacco di morfing costruito dalla raccolta Face Research Lab London collection, contenente sia volti reali che sinteticamente fusi. Il set di dati include espressioni neutrali e sorridenti da 102 soggetti e è stato strutturato per riflettere sfide realistiche per i sistemi di autenticazione biometrica utilizzati in contesti come il controllo di frontiera.

Immagini dal set di dati originale Face Research Lab London (FRLL) utilizzato in AMSL. Fonte: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Ogni rete è stata addestrata sul 80% del set di dati di deepfake o morfing, con il restante 20% utilizzato per convalida. Per testare la robustezza contro la bellezza, i ricercatori hanno quindi applicato un filtro di smoothing progressivo alle immagini di test, aumentando il raggio di sfocatura dal 3% al 5% dell’altezza del viso:

Esempi di volti dai set di dati CelebDF (in alto) e AMSL (in basso), mostrati prima e dopo l’applicazione di un filtro di bellezza basato sullo smoothing. Il raggio del filtro è stato scalato in relazione all’altezza del viso, con c = 3% e c = 5% che producono effetti progressivamente più forti.

Per quanto riguarda le metriche, ogni modello è stato valutato utilizzando il tasso di errore equivalente (EER) su sia i campioni di test originali che quelli abbelliti. L’analisi ha anche riportato il tasso di errore di classificazione di presentazione di bona fide (BPCER), o tasso di falsi positivi, e il tasso di errore di classificazione di presentazione di attacco (APCER), o tasso di falsi negativi, utilizzando la soglia impostata sui dati originali.

Volti morfati dal set di dati AMSL.

Per ulteriore valutazione, sono stati esaminati l’area sotto la curva ROC (AUC) e le distribuzioni dei punteggi per immagini reali e false.

Tests

Nei risultati del rilevamento di deepfake, entrambe le reti hanno mostrato un aumento del tasso di errore equivalente man mano che la bellezza aumentava. Il tasso di errore equivalente di AlexNet è salito dal 22,3% sulle immagini originali al 28,1% al livello di smoothing più alto, mentre quello di VGG19 è aumentato dal 30,2% al 35,2%. La diminuzione delle prestazioni ha seguito modelli diversi in ciascun caso:

Risultati del rilevamento di deepfake sul set di dati CelebDF utilizzando AlexNet e VGG19. Entrambi i modelli sono stati testati su immagini originali e abbellite con livelli crescenti di smoothing facciale. Le metriche mostrate includono il tasso di errore equivalente (EER), il tasso di errore di classificazione di presentazione di bona fide (BPCER) e il tasso di errore di classificazione di presentazione di attacco (APCER), utilizzando soglie fisse dal set di test originale. La precisione di rilevamento è scesa man mano che la bellezza aumentava, sebbene il modello di degrado differisse tra le architetture.

Man mano che la bellezza aumentava, AlexNet diventava più propenso a scambiare volti reali per falsi, come mostrato da un aumento costante del tasso di falsi positivi (BPCER). VGG19, d’altra parte, ha principalmente lottato per catturare i falsi stessi, con un aumento del tasso di falsi negativi (APCER). I due modelli hanno risposto in modo diverso ai filtri, indicando che anche le architetture ben note possono fallire in modi diversi quando si confrontano con alterazioni cosmetiche.

Per capire meglio questi risultati, i ricercatori hanno applicato il filtro di bellezza separatamente a immagini reali e false e hanno misurato l’impatto sulle prestazioni di rilevamento. Questa suddivisione, mostrata nella tabella dei risultati di seguito, chiarisce la fonte della vulnerabilità di ogni modello:

Precisione di rilevamento per AlexNet e VGG19 sotto bellezza parziale sul set di dati CelebDF. La tabella riporta tre scenari: reali abbelliti vs falsi abbelliti (F-Real vs F-Fake); reali abbelliti vs falsi originali (F-Real vs O-Fake); e reali originali vs falsi abbelliti (O-Real vs F-Fake), con una diminuzione della precisione che indica una riduzione delle prestazioni del rilevatore. AlexNet è stato più influenzato quando le immagini reali sono state abbellite, mentre VGG19 ha lottato di più quando la bellezza è stata applicata a immagini false.

Per AlexNet, le prestazioni di rilevamento sono scese quando le immagini reali sono state abbellite, ma sono migliorate quando solo le immagini false sono state levigate. Per VGG19, le prestazioni sono migliorate leggermente con immagini reali abbellite ma sono peggiorate quando i deepfake sono stati filtrati. In tutti i casi, una bellezza più forte ha ridotto la precisione.

Box-plot che mostra le distribuzioni dei punteggi di output di AlexNet e VGG19 su campioni reali e falsi del set di dati CelebDF, sotto livelli crescenti di bellezza. Man mano che lo smoothing si intensifica, le distribuzioni dei punteggi per immagini reali e false diventano meno separabili, indicando una riduzione dell’affidabilità del rilevamento. AlexNet diventa meno sicuro nell’identificare volti reali, mentre VGG19 diventa più propenso a classificare falsi come reali.

La bellezza ha reso i punteggi di output di AlexNet più uniformi su entrambi i campioni reali e falsi, mentre VGG19 ha mostrato una maggiore dispersione all’interno di ogni classe. Nonostante questi effetti contrastanti sulla variabilità dei punteggi, entrambi i modelli hanno perso precisione. Per AlexNet, i punteggi per i volti reali si sono spostati più vicino a quelli dei deepfake. Per VGG19, i punteggi per immagini reali e false hanno iniziato a sovrapporsi, riducendo la capacità del modello di distinguerli.

Il documento afferma:

‘Questi risultati hanno implicazioni importanti e rivelano che è necessario considerare il potenziale uso di filtri di bellezza nel rilevamento di deepfake, poiché questi possono avere un impatto imprevedibile sulle prestazioni. In particolare, diverse architetture rispondono in modo diverso alle manipolazioni facciali, anche se tali manipolazioni non sono intese a ingannare.

‘Ad esempio, in base al rilevatore di deepfake specifico, i filtri di bellezza potrebbero alterare significativamente l’output, facendo sembrare immagini reali come false e, più criticamente, permettendo ai deepfake di ingannare il rilevamento.

‘Pertanto, è necessario concentrarsi sullo sviluppo di rilevatori più robusti a tali alterazioni sottili, non necessariamente maliziose, che potrebbero servire come camouflage per manipolazioni di deepfake maliziose.’

Nel scenario di attacco di morfing, un’immagine sintetica è stata creata fondendo caratteristiche facciali di due individui. Questa immagine è stata utilizzata per ingannare i sistemi di riconoscimento facciale, permettendo a entrambe le identità di origine di essere autenticate come la stessa persona. Tali attacchi sono considerati particolarmente rilevanti in contesti di sicurezza, dove i sistemi biometrici potrebbero essere ingannati per accettare l’immagine morfata per l’identificazione ufficiale.

Risultati del rilevamento di attacchi di morfing sulle immagini AMSL prima e dopo la bellezza, con entrambe le reti che mostrano aumenti di errore netti man mano che l’intensità di smoothing aumenta.

Nel scenario di attacco di morfing, le prestazioni sono peggiorate più drasticamente che nel rilevamento di deepfake. Il tasso di errore equivalente di AlexNet è salito dal 27,6% al 41,2%, e quello di VGG19 dal 19,0% al 37,3%, guidato in gran parte da falsi positivi: volti reali classificati come morfing. Con un raggio di smoothing del 3%, il tasso di falsi positivi di VGG19 ha raggiunto il 90%.

Questo modello si è mantenuto quando i filtri sono stati applicati selettivamente. Lisciare i volti reali ha degradato il rilevamento, mentre lisciare solo i volti morfati ha migliorato i risultati. Man mano che lo smoothing si intensificava, entrambe le reti hanno mostrato una separazione ridotta tra i punteggi reali e falsi, con VGG19 che diventava particolarmente instabile.

Questi risultati, indicano gli autori, suggeriscono che i filtri di bellezza potrebbero aiutare i morfing a evitare il rilevamento ancora più efficacemente dei deepfake, sollevando gravi preoccupazioni di sicurezza.

Esempi parziali (per mancanza di spazio) di come una bellezza minima (raggio di smoothing del 3%) ha alterato le classificazioni di AlexNet. A sinistra, un’immagine reale è classificata come attacco dopo il filtraggio, e a destra, un’immagine morfata è classificata come bona fide dopo il filtraggio.

Infine, i ricercatori hanno scoperto che anche filtri di bellezza lievi possono degradare significativamente le prestazioni dei rilevatori di deepfake e morfing di stato dell’arte.

L’impatto variava per architettura, con AlexNet che mostrava un declino graduale e VGG19 che collassava con un filtraggio minimo. Poiché tali filtri sono comuni e non sono intrinsecamente maliziosi, la loro capacità di nascondere gli attacchi rappresenta, suggeriscono gli autori, una minaccia pratica, specialmente nei sistemi biometrici. Il documento sottolinea la necessità di modelli di rilevamento più robusti a tali manipolazioni di immagini sottili.

Conclusion

Una ragione per cui potrebbe essere difficile addestrare sistemi di rilevamento di deepfake che possano ignorare i filtri di bellezza è la mancanza di materiale contrastivo; alla fine, la versione “abbellita” è quella che viene ampiamente diffusa, e, a differenza del video che abbiamo incorporato in precedenza come illustrazione, è molto raro che una foto “prima” venga applicata.

Un altro ostacolo è che molti dei filtri eseguono esattamente il tipo di smoothing tipico delle operazioni di compressione quando si salvano immagini o si comprimono video (un vantaggio per la larghezza di banda dei fornitori, oltre a essere un ritocco digitale per coloro che utilizzano il filtro).

Il settore di ricerca del rilevamento di deepfake è già profondamente impegnato nel combattere gli esempi di degrado di immagini reali a causa di problemi come fotocamere di bassa qualità, eccessiva compressione o connettività di rete instabile – tutte condizioni che sono un beneficio diretto per i truffatori di deepfake che sono costretti a lavorare molto più duramente in uno scenario di alta qualità e alta risoluzione.

Se i filtri di bellezza alla fine diventeranno una minaccia per la sicurezza sembra probabile che dipenda dall’estensione in cui si dimostrano un ostacolo ai metodi di screening dei deepfake, o finiscono per costituire una sorta di firewall de facto che beneficia più i malintenzionati che coloro che li combattono.

Pubblicato per la prima volta mercoledì, 24 settembre 2025