Schoonheidsfilters zijn een potentieel hulpmiddel voor deepfake-aanvallen

Schoonheidsfilters doen nu meer dan alleen maar oneffenheden verbergen: ze kunnen deepfakes en gezichtsmorfen helpen om detectiesystemen te ontwijken. Een nieuwe studie toont aan dat zelfs subtiele gladmakende effecten AI-detectors in de war kunnen brengen, waardoor nepbeelden er echt uitzien en echte beelden er nep uitzien. Als deze trend zich voortzet, kunnen schoonheidsfilters in het verschiet worden beperkt in high-stakes-contexten, van grenscontrole tot corporate Zoom-gesprekken.

In een academische samenwerking tussen Spanje en Italië in 2024, meldden onderzoekers dat 90% van de vrouwen in de leeftijd van 18-30 jaar schoonheidsfilters gebruikten voordat ze afbeeldingen op sociale media plaatsten. In deze zin zijn schoonheidsfilters algoritme- of AI-geassisteerde methoden voor het veranderen van de gezichtsuitslag, zodat deze vermeend verbeterd wordt ten opzichte van de oorspronkelijke bron:

Uit de studie van 2024: voorbeeld van vrouwelijke (links) en mannelijke (rechts) gezichten voordat en na het gebruik van een schoonheidsfilter. Het filter veranderde kenmerken zoals huidskleur, ogen, neus, lippen, kin en jukbeenderen om de waargenomen aantrekkelijkheid te vergroten. Bron: https://arxiv.org/pdf/2407.11981

Dergelijke filters zijn ook breed beschikbaar als native of add-on functionaliteit in populaire video-gebaseerde systemen, waaronder Snapchat en Zoom, en bieden de mogelijkheid om ‘onvolmaakte’ huid glad te strijken en zelfs de leeftijd van het onderwerp te veranderen, tot het punt waarop de identiteit aanzienlijk kan worden veranderd:

Klik om af te spelen: drie vrouwen schakelen hun video ‘verfraaiings’ filters uit, waardoor de mate waarin hun fysionomie wordt veranderd door de algoritmen of AI zichtbaar wordt. Bron: https://www.youtube.com/watch?v=gtCpea_5qxw

Het fenomeen leek een verzadigingspunt te bereiken zodra de technologie relatief volwassen was; een studie uit 2020 van de City University of London onthulde dat 90% van de jonge Snapchat-gebruikers in de Verenigde Staten, Frankrijk en het Verenigd Koninkrijk filters in hun apps gebruikten, terwijl Meta rapporteerde dat meer dan 600 miljoen jonge mensen op dat moment filters op Facebook of Instagram hadden gebruikt.

Bij het onderzoeken van de nadelige effecten van dergelijke filters op de geestelijke gezondheid, herhaalde een rapport van Psychology Today dat 90% van de jonge vrouwen, met een gemiddelde leeftijd van 20, ofwel filters gebruikten of op de een of andere manier hun foto’s bewerkten. De meest populaire filters waren die welke werden gebruikt om huidtinten te egaliseren; een gebruinde uitstraling te geven; tanden te bleken; en zelfs lichaamsgrootte te verkleinen.

Face Off

Aangezien gezichtsfilters gaan profiteren van de revolutie in 2025 in video-synthese, en meer in het algemeen van de voortdurende interesse in dit onderzoeksgebied, is de mate waarin we onszelf in live video-gesprekken kunnen ‘recreëren’ of voorstellen steeds meer in conflict met de zorgen van de beveiligingsgemeenschap over frauduleuze of criminele deepfake-video-technieken.

Een van de problemen is dat de reeks ‘gemakkelijke’ tests die in recente jaren zijn ontwikkeld om een video-deepfaker te onthullen, die mogelijk probeert om grote bedragen geld te bedriegen in een corporate-context, onvermijdelijk minder effectief worden naarmate deze Achilleshielen in trainingsgegevens en bij inferentie worden meegenomen:

Klik om af te spelen: een paar jaar geleden was het zwaaien met een hand voor een deepgefaked gezicht een betrouwbare test voor video-gesprekken, maar we kunnen zien dat toegewijde inspanningen van degenen als TikTok diepe inkepingen maken in de klassieke ‘tells’. Bronnen: Ibid en https://archive.is/mofRV#wavehands

Meer kritisch, het wijdverbreide gebruik van gezichtsveranderende/verfraaiingsfilters verduistert het water voor een nieuwe en opkomende generatie deepfake-detectors die zijn belast met het houden van impostors buiten boardroom-video-gesprekken en weg van kwetsbare potentiële slachtoffers van ‘ontvoering’ en ‘impostor’ fraude.

Het is gemakkelijker om een deepfake overtuigend te maken, of het nu een foto of video is, als de resolutie van de afbeelding laag is of de afbeelding op de een of andere manier is gedegradeerd, aangezien het onderliggende vervalsingssysteem zijn eigen tekortkomingen kan verbergen achter wat lijkt op connectiviteits- of platformproblemen.

In feite verwijderen de meest populaire verfraaiingsfilters enkele van de meest nuttige materialen voor het identificeren van video-deepfakes, zoals huidtextuur en andere gezichtsdetails – en het is de moeite waard om te overwegen dat hoe ouder een gezicht is, hoe meer dergelijke details het waarschijnlijk bevat, en dus kan het gebruik van ijdelheidsverjongingsfilters in dergelijke gevallen een bijzondere verleiding zijn.

Als een detailvrije ‘android’-achtige look de mode is, kunnen deepfake-detectors het materiaal missen dat ze nodig hebben om echte en nepbeelden en videopersoonlijkheden te onderscheiden. Bron: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

Het paper van de Royal Society uit het najaar van 2024, What is beautiful is still good: the attractiveness halo effect in the era of beauty filters, bevestigde dat het gebruik van filters de algehele aantrekkelijkheid universeel verhoogt bij beide geslachten (hoewel een toename van de aantrekkelijkheid de algemene schatting van intelligentie bij vrouwen met beauty-filters tendeert te verlagen).

Dus het is redelijk om te zeggen dat dit een populaire technologie is; dat het werkt; en dat het een soort cultuurschok zou zijn als het plotseling onderworpen zou worden aan beveiligingsbeperkingen, of verboden zou worden in diverse contexten.

Nonetheless, in een periode waarin video-deepfakes dreigen om ononderscheidbaar te worden van echte video-deelnemers, zowel in uiterlijk als in spraak, is het mogelijk dat de wereldwijde ‘ruis’ van schoonheidsfilters in de toekomst moet worden geminimaliseerd om beveiligingsredenen.

Smooth Criminals

Het probleem is onlangs onderzocht in een nieuw paper van de Universiteit van Cagliari in Italië, getiteld Deceptive Beauty: Evaluating the Impact of Beauty Filters on Deepfake and Morphing Attack Detection.

In de nieuwe studie pasten onderzoekers schoonheidsfilters toe op gezichten uit twee benchmark-datasets en testten verschillende deepfake- en morphing-aanvalsdetectoren op zowel de oorspronkelijke als de gewijzigde afbeeldingen.

In bijna alle gevallen daalde de detectie-accuraatheid na verfraaiing; de meest dramatische dalingen traden op wanneer filters rimpels gladstrijken, de huidskleur verhelderen of subtiele gezichtskenmerken veranderen. Deze veranderingen verwijderden of verstoorden de cues waarop detectiemodellen vertrouwen.

Als voorbeeld verloor het top-presterende model op MorphDB meer dan 9% aan accuraatheid na filtering, en het probleem bleef bestaan bij meerdere detectie-architecturen, wat aangeeft dat huidige systemen niet robuust zijn tegen gangbare cosmetische verbeteringen.

De auteurs concluderen:

‘[Verfraaiings]filters vormen een bedreiging voor de integriteit van biometrische authenticatie- en forensische analysystemen, waardoor robuuste deepfake- en morf-aanvalsdetectie onder dergelijke omstandigheden een kritische open uitdaging is.

‘Toekomstig onderzoek moet prioriteit geven aan de ontwikkeling van digitale manipulatiedetectiesystemen die robuust zijn tegen dergelijke subtiele, niet noodzakelijkerwijs kwaadaardige wijzigingen, om betrouwbare identificatie en inhoudsverificatie in alledaagse en beveiligingskritieke contexten te garanderen.’

Methode en gegevens

Om te beoordelen hoe schoonheidsfilters de detectie van deepfakes en morphing beïnvloeden, pasten de onderzoekers een progressief gladmakend filter toe en testten de resultaten op twee benchmark-convolutionele neurale netwerken (CNN’s) die goed geassocieerd zijn met het doelprobleem: AlexNet en VGG19.

Elk van de twee benchmark-datasets die getest werden, bevatte voorbeelden van passende gezichtsmanipulaties. De eerste was CelebDF, een grote video-benchmark met 590 echte en 5.639 vervalste clips die zijn gemaakt met geavanceerde gezichtsverwisselingsTechnieken. De collectie biedt een diverse reeks verlichtingscondities, hoofdposities en natuurlijke expressies over 59 personen, waardoor het goed geschikt is voor het evalueren van de veerkracht van deepfake-detectors in real-world media-scenario’s:

Voorbeelden van beïnvloede gezichten, uit CelebDF. Bron: https://github.com/yuezunli/celeb-deepfakeforensics

De tweede was AMSL (registratie vereist), een morf-aanvalsdataset die is opgebouwd uit de Face Research Lab London collectie, die zowel echte als synthetisch gemengde gezichten bevat. De dataset bevat neutrale en glimlachende expressies van 102 onderwerpen en is gestructureerd om realistische uitdagingen voor biometrische authenticatiesystemen te weerspiegelen die in contexten zoals grenscontrole worden gebruikt.

Afbeeldingen uit de bron Face Research Lab London-set (FRLL) dataset, gebruikt in AMSL. Bron: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Elk netwerk werd getraind op 80% van de deepfake- of morfing-dataset, met de resterende 20% gebruikt voor validatie. Om de robuustheid tegen verfraaiing te testen, pasten de onderzoekers vervolgens een progressief gladmakend filter toe op de testafbeeldingen, waarbij de blur-straal van 3% tot 5% van de gezichtshoogte toenam:

Voorbeelden van gezichten uit de CelebDF (boven) en AMSL (onder) datasets, getoond voordat en na het toepassen van een gladmakend schoonheidsfilter. De filterstraal werd geschaald ten opzichte van de gezichtshoogte, met c = 3% en c = 5% die progressief sterkere effecten produceerden.

Wat betreft metrics, werd elk model geëvalueerd met behulp van de Equal Error Rate (EER) op zowel de oorspronkelijke als de verfraaide testmonsters. De analyse rapporteerde ook de Bona Fide Presentation Classification Error Rate (BPCER), of valse positieve rate, en de Attack Presentation Classification Error Rate (APCER), of valse negatieve rate, met behulp van de drempel ingesteld op de oorspronkelijke gegevens.

Gemorfeerde gezichten uit de AMSL-dataset.

Om de prestaties verder te beoordelen, werden de Area Under the ROC Curve (AUC) en de score-verdelingen voor echte en nep-afbeeldingen onderzocht.

Tests

In de resultaten van de deepfake-detectie, toonden beide netwerken een stijgende Equal Error Rate naarmate de verfraaiingsintensiteit toenam. De EER van AlexNet steeg van 22,3% op de oorspronkelijke afbeeldingen tot 28,1% op het hoogste gladmakingsniveau, terwijl de EER van VGG19 steeg van 30,2% tot 35,2%. De prestatie-daling volgde verschillende patronen in elk geval:

Deepfake-detectieresultaten op de CelebDF-dataset met behulp van AlexNet en VGG19. Beide modellen werden getest op oorspronkelijke en verfraaide afbeeldingen met toenemende niveaus van gezichtsgladmaking. De metrics die worden getoond, zijn inclusief Equal Error Rate (EER), Bona Fide Presentation Classification Error Rate (BPCER) en Attack Presentation Classification Error Rate (APCER), met behulp van drempels die zijn vastgesteld op de oorspronkelijke testset. De detectie-accuraatheid daalde naarmate de verfraaiingsintensiteit toenam, hoewel het patroon van degradatie verschilde tussen architectuur.

Naarmate de verfraaiing toenam, werd AlexNet meer geneigd om echte gezichten voor neppe gezichten aan te zien, zoals blijkt uit een gestage stijging van zijn valse positieve rate (BPCER). VGG19 had daarentegen voornamelijk moeite om de neppe gezichten zelf te detecteren, met een toenemende valse negatieve rate (APCER). De twee modellen reageerden anders op de filters, wat aangeeft dat zelfs bekende architectuur op verschillende manieren kan falen wanneer ze worden geconfronteerd met cosmetische veranderingen.

Om deze resultaten beter te begrijpen, pasten de onderzoekers het verfraaiingsfilter afzonderlijk toe op echte en neppe afbeeldingen en maten de impact op de detectieprestaties. Deze breakdown, weergegeven in de resultaatentabel hieronder, verduidelijkt de bron van elke modelzwakheid:

Detectie-accuraatheid voor AlexNet en VGG19 onder gedeeltelijke verfraaiing op de CelebDF-dataset. De tabel rapporteert drie scenario’s: verfraaide echte vs verfraaide neppe (F-Real vs F-Fake); verfraaide echte vs oorspronkelijke neppe (F-Real vs O-Fake); en oorspronkelijke echte vs verfraaide neppe (O-Real vs F-Fake), met een daling van de accuraatheid die een afname van de detectorprestaties aangeeft. AlexNet werd het meest beïnvloed wanneer echte afbeeldingen werden verfraaid, terwijl VGG19 het meest worstelde wanneer verfraaiing werd toegepast op neppe afbeeldingen.

Voor AlexNet daalde de detectieprestatie wanneer echte afbeeldingen werden verfraaid, maar verbeterde wanneer alleen neppe afbeeldingen werden gladgemaakt. Voor VGG19 verbeterde de prestatie licht met verfraaide echte afbeeldingen, maar verslechterde wanneer deepfakes werden gefilterd. In alle gevallen vermindert sterke verfraaiing de accuraatheid.

Box-plots van de uitvoerscore-verdelingen van AlexNet en VGG19 op echte en neppe monsters van de CelebDF-dataset, onder toenemende niveaus van verfraaiing. Naarmate de gladmaking intenser wordt, worden de score-verdelingen voor echte en neppe afbeeldingen minder gescheiden, wat een afname van de detectiereliabiliteit aangeeft. AlexNet wordt minder zeker in het identificeren van echte gezichten, terwijl VGG19 meer geneigd is om neppe gezichten verkeerd te klassificeren.

Verfraaiing maakte de uitvoerscores van AlexNet meer uniform over zowel echte als neppe monsters, terwijl VGG19 een grotere spreiding binnen elke klasse liet zien. Ondanks deze tegenstrijdige effecten op de score-variabiliteit, verloren beide modellen accuraatheid. Voor AlexNet verschoven de scores voor echte gezichten dichter naar die van deepfakes. Voor VGG19 begonnen de scores voor echte en neppe afbeeldingen elkaar te overlappen, waardoor het model minder in staat was om ze te onderscheiden.

Het paper zegt:

‘Deze resultaten hebben belangrijke implicaties en onthullen dat het noodzakelijk is om de potentiële gebruik van verfraaiingsfilters in deepfake-detectie te overwegen, aangezien deze een onvoorspelbare impact op de prestaties kunnen hebben. In het bijzonder reageren verschillende architectuur op gezichtsmanipulaties op verschillende manieren, zelfs als die manipulaties niet bedoeld zijn om te bedriegen.

‘Bijvoorbeeld, op basis van de specifieke deepfake-detector, kunnen verfraaiingsfilters de uitvoer aanzienlijk veranderen, waardoor echte afbeeldingen als neppe worden geïdentificeerd en, meer kritisch, deepfakes kunnen bedriegen.

‘Daarom is het noodzakelijk om te focussen op de ontwikkeling van detectors die robuust zijn tegen dergelijke subtiele, niet noodzakelijkerwijs kwaadaardige wijzigingen, die als camouflage voor kwaadaardige deepfake-manipulaties kunnen dienen.’

In het scenario van de morf-aanval, werd een synthetische afbeelding gemaakt door gezichtskenmerken van twee personen te combineren. Deze afbeelding werd gebruikt om gezichtsherkenningssystemen te misleiden, waardoor beide bron-identiteiten konden worden geauthenticeerd als dezelfde persoon. Dergelijke aanvallen worden vooral relevant geacht in beveiligingscontexten, waar biometrische systemen kunnen worden misleid om de gemorfeerde afbeelding te accepteren voor officiële identificatie.

De tabel toont morf-aanvalsdetectieresultaten op AMSL-afbeeldingen voordat en na verfraaiing, met beide netwerken die een steile toename van de fouten laten zien naarmate de gladmakingsintensiteit toeneemt.

In het scenario van de morf-aanval, daalde de prestatie scherper dan bij de detectie van deepfakes. De EER van AlexNet steeg van 27,6% tot 41,2%, en die van VGG19 van 19,0% tot 37,3%, voornamelijk door valse positieven: echte gezichten die werden misgeclassificeerd als morfen. Met een gladmakingsradius van 3% bereikte de valse positieve rate van VGG19 90%.

Dit patroon bleef bestaan toen filters selectief werden toegepast. Het gladmaken van echte gezichten verslechterde de detectie, terwijl het gladmaken van alleen gemorfeerde gezichten de resultaten verbeterde. Naarmate de gladmaking intenser werd, lieten beide netwerken een afname van de scheiding tussen echte en neppe scores zien, waarbij VGG19 bijzonder onstabiel werd.

Deze bevindingen, zo geven de auteurs aan, suggereren dat schoonheidsfilters morfen kunnen helpen om detectie te ontwijken zelfs effectiever dan deepfakes, waardoor ernstige beveiligingszorgen ontstaan.

Gedeeltelijke voorbeelden (vanwege beperkte ruimte) van hoe minimale verfraaiing (3% gladmakingsradius) AlexNets classificaties veranderde. Links wordt een echt gezicht na filtering als een aanval misgeclassificeerd, en rechts wordt een gemorfeerd gezicht na filtering als een bonafide gezicht misgeclassificeerd.

Tenslotte vonden de onderzoekers dat zelfs milde verfraaiingsfilters de prestaties van state-of-the-art deepfake- en morf-detectoren aanzienlijk kunnen verslechteren.

De impact varieerde per architectuur, waarbij AlexNet een geleidelijke daling liet zien, en VGG19 ineenstortte onder minimale filtering. Aangezien deze filters algemeen zijn en niet inherent kwaadaardig, vormt hun vermogen om aanvallen te verhullen een praktische bedreiging, vooral in biometrische systemen. Het paper benadrukt de noodzaak voor detectiemodellen die robuust zijn tegen dergelijke subtiele beeldmanipulaties.

Conclusie

Een van de redenen waarom het moeilijk kan zijn om deepfake-detectiesystemen te trainen die verfraaiingsfilters kunnen negeren, is het gebrek aan contrastief materiaal; uiteindelijk is de ‘verfraaide’ versie de enige die wijdverspreid wordt, en, in tegenstelling tot de video die we eerder hebben ingesloten als voorbeeld, is het zeer zeldzaam voor een ‘voor’-afbeelding om te worden toegepast.

Een ander obstakel is dat veel van de filters precies hetzelfde soort gladmaking uitvoeren als compressiebewerkingen bij het opslaan van afbeeldingen of video’s (een zegen voor de bandbreedte van de aanbieders, naast een digitale huidverbetering voor degenen die de filter gebruiken).

Het deepfake-detectieonderzoeksgebied is al diep betrokken bij het bestrijden van voorbeelden van echte wereldbeelddegradatie als gevolg van problemen zoals slechte camera’s, overmatige compressie of hakkelende netwerkconnectiviteit – allemaal omstandigheden die een direct voordeel zijn voor deepfake-fraudeurs die worden gedwongen om veel harder te werken in een high-quality, high-resolutiescenario.

Of schoonheidsfilters uiteindelijk worden bedreigd als een beveiligingsrisico, lijkt af te hangen van de mate waarin ze een belemmering vormen voor deepfake-screeningmethoden, of uiteindelijk een soort de facto firewall vormen die malafide personen meer baat brengt dan degenen die ertegen vechten.

Publicatie: woensdag 24 september 2025