I ricercatori identificano un tratto resiliente dei deepfake che potrebbe aiutare la rilevazione a lungo termine

Dal 2018, quando sono emerse le prime soluzioni di rilevamento dei deepfake, il settore della ricerca sulla visione artificiale e sulla sicurezza ha cercato di definire un caratteristica essenziale dei video deepfake – segnali che potrebbero resistere ai miglioramenti nelle tecnologie di sintesi facciale popolari (come i pacchetti deepfake basati su autoencoder come DeepFaceLab e FaceSwap, e l’utilizzo di Reti Adversarie Generative per ricreare, simulare o alterare i volti umani).

Molti dei “segni” come la mancanza di battito delle palpebre, sono stati resi obsoleti dai miglioramenti nei deepfake, mentre l’utilizzo di tecniche di provenienza digitale (come l’iniziativa Content Authenticity Initiative guidata da Adobe ) – inclusi approcci basati su blockchain e filigrane digitali delle potenziali foto di origine – richiederebbero cambiamenti radicali e costosi nel corpo esistente di immagini di origine disponibili su Internet, o richiederebbero uno sforzo cooperativo significativo tra nazioni e governi per creare sistemi di invigilazione e autenticazione.

Pertanto, sarebbe molto utile se una caratteristica fondamentale e resiliente potesse essere discernuta nel contenuto di immagini e video che presentano volti umani alterati, inventati o scambiati di identità; una caratteristica che potrebbe essere inferita direttamente da video falsificati, senza verifica su larga scala, hashing di asset crittografici, controllo del contesto, valutazione della plausibilità, routine di rilevamento basate su artifact o altri approcci onerosi per il rilevamento dei deepfake.

Deepfake nel quadro

Una nuova collaborazione di ricerca tra Cina e Australia ritiene di aver trovato questo “santo graal”, nella forma di disruption della regolarità.

Gli autori hanno ideato un metodo per confrontare l’integrità spaziale e la continuità temporale di video reali con quelli che contengono contenuto deepfake, e hanno scoperto che qualsiasi tipo di interferenza deepfake disturba la regolarità dell’immagine, per quanto impercettibilmente.

Ciò è in parte dovuto al fatto che il processo deepfake divide il video di destinazione in frame e applica l’effetto di un modello deepfake addestrato in ciascun frame (sostituito). Le distribuzioni deepfake popolari agiscono nello stesso modo degli animatori, in questo senso, prestando più attenzione all’autenticità di ciascun frame rispetto al contributo di ciascun frame all’integrità spaziale e alla continuità temporale del video.

Dallo studio: A) Differenze tra i tipi di dati. Qui vediamo che le perturbazioni di p-fake cambiano la qualità spazio-temporale dell’immagine nello stesso modo di un deepfake, senza sostituire l’identità. B) Analisi del rumore dei tre tipi di dati, che mostra come p-fake imita la disruption deepfake. C) Visualizzazione temporale dei tre tipi di dati, con i dati reali che dimostrano una maggiore integrità nella fluttuazione. D) la visualizzazione T-SNE delle caratteristiche estratte per video reali, falsi e p-fake. Fonte: https://arxiv.org/pdf/2207.10402.pdf

Ciò non è il modo in cui un codec video tratta una serie di frame quando si effettua una registrazione o un’elaborazione originale. Per risparmiare sulle dimensioni del file o rendere un video adatto per lo streaming, una quantità enorme di informazioni viene scartata dal codec video. Anche con le impostazioni di qualità più elevate, il codec allocerà frame chiave (una variabile che può essere impostata dall’utente) – immagini intere, praticamente non compressi, che si verificano ad un intervallo prestabilito nel video.

I frame interstiziali tra i frame chiave sono, in una certa misura, stimati come una variante dei frame, e riutilizzeranno quanta più informazione possibile dai frame chiave adiacenti, piuttosto che essere frame completi in proprio diritto.

A sinistra, un frame chiave completo, o ‘i-frame’, viene archiviato nel video compresso, a spese delle dimensioni del file; a destra, un frame interstiziale ‘delta’ riutilizza qualsiasi parte applicabile del frame chiave più ricco di dati. Fonte: https://blog.video.ibm.com/streaming-video-tips/keyframes-interframe-video-compression/

In questo modo, il blocco (contenente x numero di frame, a seconda delle impostazioni dei frame chiave) è arguibilmente l’unità più piccola considerata in un video compresso tipico, piuttosto che qualsiasi frame individuale. Anche il frame chiave stesso, noto come i-frame, fa parte di quell’unità.

In termini di animazione tradizionale, un codec sta eseguendo una specie di in-betweening, con i frame chiave che operano come tende per i frame interstiziali derivati, noti come frame delta.

Al contrario, la sovrapposizione deepfake dedica un’attenzione e risorse enormi a ciascun frame individuale, senza considerare il contesto più ampio del frame e senza fare alcuna concessione al modo in cui la compressione e la codifica basata su blocchi influenzano le caratteristiche del video “autentico”.

Un’occhiata più da vicino alla discontinuità tra la qualità temporale di un video autentico (a sinistra) e lo stesso video quando è disturbato da deepfake (a destra).

Sebbene alcuni dei migliori deepfakers utilizzino un’estesa post-elaborazione, in pacchetti come After Effects, e sebbene la distribuzione DeepFaceLab abbia una certa capacità nativa di applicare procedure di “blending” come il motion blur, tale abilità non influenza la mancanza di corrispondenza tra la qualità spaziale e temporale dei video autentici e deepfake.

Il nuovo studio è intitolato Rilevamento deepfake mediante creazione di disruption della regolarità spazio-temporale e proviene da ricercatori dell’Università Tsinghua, del Dipartimento di Tecnologia della Visione Computazionale (VIS) di Baidu Inc. e dell’Università di Melbourne

Video ‘fake’ falsi

I ricercatori dietro lo studio hanno incorporato la funzionalità della ricerca in un modulo plug-and-play chiamato Generatore di pseudo-fake ( P-fake Generator ), che trasforma video reali in video pseudo-deepfake, perturbando gli stessi nel modo in cui il processo deepfake effettivo fa, senza effettivamente eseguire alcuna operazione deepfake.

I test indicano che il modulo può essere aggiunto a tutti i sistemi di rilevamento deepfake esistenti a un costo di risorse praticamente nullo e che migliora notevolmente le loro prestazioni.

La scoperta potrebbe aiutare a risolvere uno degli altri ostacoli nella ricerca sul rilevamento dei deepfake: la mancanza di set di dati autentici e aggiornati. Dal momento che la generazione di deepfake è un processo elaborato e lungo, la comunità ha sviluppato una serie di set di dati deepfake negli ultimi cinque anni, molti dei quali sono piuttosto datati.

Isolando la disruption della regolarità come un segnale agnostico deepfake per video alterati a posteriori, il nuovo metodo rende possibile generare campioni e set di dati illimitati che si concentrano su questo aspetto dei deepfake.

Panoramica del blocco STE, dove la convoluzione temporale dei canali viene utilizzata come uno stimolo per generare codici spazio-temporali migliorati, che producono la stessa firma che anche un deepfake molto convincente produrrebbe. Con questo metodo, possono essere generati video ‘fake’ falsi che presentano le stesse caratteristiche di firma di qualsiasi video alterato, nello stile deepfake, e che non dipendono da particolari distribuzioni o da aspetti volatili come il comportamento delle caratteristiche o gli artifact algoritmici.

Test

I ricercatori hanno condotto esperimenti su sei set di dati noti utilizzati nella ricerca sul rilevamento dei deepfake: FaceForensics++ (FF++); WildDeepFake; Anteprima della sfida di rilevamento dei deepfake (DFDCP); Celeb-DF; Rilevamento dei deepfake (DFD); e Face Shifter (FSh).

Per FF++, i ricercatori hanno addestrato il loro modello sul set di dati originale e hanno testato ciascuno dei quattro subset separatamente. Senza l’uso di alcun materiale deepfake nell’addestramento, il nuovo metodo è stato in grado di superare i risultati dello stato dell’arte.

Il metodo ha anche occupato la prima posizione quando confrontato con il set di dati FF++ C23 compresso, che fornisce esempi che presentano gli artifact di compressione che sono credibili in ambienti di visualizzazione dei deepfake nel mondo reale.

Gli autori commentano:

‘Le prestazioni all’interno di FF++ convalidano la fattibilità della nostra idea principale, mentre la generalizzabilità rimane un problema importante per i metodi di rilevamento dei deepfake esistenti, poiché le prestazioni non sono garantite quando si testano deepfake generati con tecniche non viste.

‘Considerare ulteriormente la realtà della corsa agli armamenti tra rilevatori e creatori di deepfake, la generalizzabilità è un criterio importante per misurare l’efficacia di un metodo di rilevamento nel mondo reale.’

Sebbene i ricercatori abbiano condotto una serie di sub-test (vedere lo studio per i dettagli) su “robustezza” e variando i tipi di video in input (ad esempio reali, falsi, p-faked, ecc.), i risultati più interessanti sono quelli del test per le prestazioni cross-dataset.

Per questo, gli autori hanno addestrato il loro modello sulla versione “del mondo reale” c23 di FF++ e lo hanno testato contro quattro set di dati, ottenendo, affermano gli autori, prestazioni superiori in tutti loro.

Risultati dalla sfida cross-dataset. Lo studio nota che SBI utilizza un approccio simile a quello degli autori, mentre i ricercatori affermano che p-fake mostra prestazioni migliori per la disruption della regolarità spazio-temporale.

Lo studio afferma:

‘Nel più impegnativo Deepwild, il nostro metodo supera il metodo SOTA di circa 10 punti percentuali in termini di AUC%. Pensiamo che ciò sia dovuto alla grande diversità di deepfake in Deepwild, che fa fallire altri metodi nel generalizzare bene dai deepfake visti.’

Le metriche utilizzate per i test sono state il punteggio di accuratezza (ACC), l’area sotto la curva ROC (AUC) e il tasso di errore uguale (EER).

Contro-attacchi?

Sebbene i media caratterizzino la tensione tra gli sviluppatori di deepfake e i ricercatori di rilevamento dei deepfake in termini di guerra tecnologica, è arguibile che i primi stanno semplicemente cercando di produrre output più convincenti e che la maggiore difficoltà di rilevamento dei deepfake è un sottoprodotto circostanziale di questi sforzi.

Se gli sviluppatori cercheranno di affrontare questo nuovo limite dipenderà forse dal fatto che si sentono o meno che la disruption della regolarità possa essere percepita in un video deepfake, ad occhio nudo, come un segno di non autenticità e che quindi questa metrica sia degna di essere affrontata da un punto di vista puramente qualitativo.

Sebbene siano trascorsi cinque anni dalla prima comparsa dei deepfake online, la tecnologia dei deepfake è ancora relativamente nascente e la comunità è arguibilmente più ossessionata dal dettaglio e dalla risoluzione che dal contesto corretto o dalla corrispondenza delle firme del video compresso, entrambi i quali richiedono una certa “degradazione” dell’output – proprio ciò contro cui l’intera comunità dei deepfake sta attualmente lottando.

Se il consenso generale si rivela essere che la disruption della regolarità è una firma nascente che non influenza la qualità, potrebbe non esserci alcuno sforzo per compensare – anche se può essere “annullato” da alcune procedure di post-elaborazione o in-architettura, il che è ben lontano dall’essere chiaro.

Pubblicato per la prima volta il 22 luglio 2022.