Skjønnhetsfilter er et potensielt verktøy for deepfake-angrep

Skjønnhetsfilter gjør nå mer enn å skjule feil: de kan hjelpe deepfakes og ansiktsmorfering til å slippe gjennom detekteringssystemer. En ny studie viser at selv sublime glatteffekter kan forvirre AI-detektorer, og gjøre falske bilder virkelige og virkelige bilder falske. Hvis trenden fortsetter, kan skjønnhetsfilter bli begrenset i høyrisikosammenhenger, fra grensekontroll til corporate Zoom-møter.

I et akademisk samarbeid i 2024 mellom Spania og Italia, rapporterte forskerne at 90% av kvinner i alderen 18-30 brukte skjønnhetsfilter før de publiserte bilder på sosiale medier. I denne sammenhengen er skjønnhetsfilter algoritmer eller AI-basert metoder for å endre ansiktsutseende, så det ser bedre ut enn originalen:

Fra studien i 2024: eksempel på kvinnelig (venstre) og manns Ansikter før og etter skjønnhetsfilter. Filteret endret trekk som hudtone, øyne, nese, lepper, hake og kinnben for å forbedre ansiktet. Kilde: https://arxiv.org/pdf/2407.11981

Slike filter er også bredt tilgjengelige som innebygd eller tilleggsfunksjoner i populære video-baserte systemer, inkludert Snapchat og Zoom, og tilbyr muligheten til å glatte ut “ufeil” hud og endre alderen på personen, til og med å endre identitet:

Klikk for å spille: tre kvinner slår av video “forbedrings” filter, og viser hvor mye deres fysiognomi er endret av algoritmene eller AI. Kilde: https://www.youtube.com/watch?v=gtCpea_5qxw

Fenomenet syntes å nå et maksimum når teknologien var relativt moden; en studie fra 2020 fra City University of London avslørte at 90% av unge Snapchat-brukere i USA, Frankrike og Storbritannia brukte filter i appene sine, mens Meta rapporterte at over 600 millioner unge mennesker hadde brukt filter på Facebook eller Instagram.

Ved å utforske de negative effektene av slike filter på mental helse, en rapport fra Psychology Today fastslo at 90% av unge kvinner, med en gjennomsnittsalder på 20, enten brukte filter eller redigerte bildene sine. De mest populære filterne var de som jevnet ut hudtoner; ga en solbrun utseende; hvitnet tenner; og til og med reduserte kroppsstørrelse.

Face Off

Da ansiktsfilter er klar til å dra nytte av 2025-revolusjonen i video-syntese, og mer generelt fra den pågående interessen for dette forskningsområdet, er det i økende grad et problem for sikkerhetsmiljøet å bekymre seg for bedrageriske eller kriminelle deepfake-video-teknikker.

Et problem er at de fleste “enkle” tester som er utviklet i de siste årene for å avsløre en video-deepfaker, som kan forsøke å svindle store beløp i en bedriftskontekst, blir mindre effektive når disse svakhetene blir tatt med i treningdata og ved inferens:

Klikk for å spille: for noen år siden var å vifte med hånden foran et deepfake-ansikte en pålitelig test for video-samtaler, men vi kan se at dedikerte innsats fra slike som TikTok gjør store fremskritt i de klassiske “avsløringer”. Kilder: Ibid og https://archive.is/mofRV#wavehands

Mer kritisk er det at den bredt anvendte bruken av ansiktsendrings-/forbedringsfilter forvirrer vannene for en ny generasjon av deepfake-detektorer som skal holde bedragere ute av videomøter i møterommet og vekk fra sårbare potensielle ofre for “kidnapping” og “impostor”-svindel.

Det er lettere å lage en overbevisende deepfake, enten bilde eller video, hvis bildets oppløsning er lav eller bildet er degradert på noen måte, siden det underliggende faking-systemet kan skjule sine egne svakheter bak det som ser ut som å være koblings- eller plattformproblemer.

I virkeligheten fjerner de mest populære forbedringsfilterne noen av de mest nyttige materialet for å identifisere video-deepfakes, som hudtekstur og andre ansiktsdetaljer – og det er verdt å vurdere at jo eldre et ansikt er, jo mer detalj er det sannsynlig å inneholde, og derfor kan bruken av skjønnhetsfilter som fjerner alderstegn være en spesiell fristelse i slike tilfeller.

Hvis et detalj-fritt “android”-utseende er moten, kan deepfake-detektorer mangle materialet de trenger for å skille mellom ekte og falske bilder og video-personer. Kilde: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

Det kongelige selskaps seneste papir fra 2024 Hva er vakker er fortsatt bra: attraktivitets-halo-effekten i skjønnhetsfilter-tiden bekreftet at bruken av filter universelt øker generell attraktivitet hos begge kjønn (selv om økt attraktivitet tenderer til å senke generell anslag av intelligens hos kvinner med skjønnhetsfilter):

Derfor er det rimelig å si at dette er en populær teknologi; at den fungerer; og at det ville være en slags kultursjokk hvis den plutselig ble utsatt for sikkerhetsbegrensninger eller forbudt i diverse sammenhenger.

Likevel, i en periode hvor video-deepfakes truer med å bli umulige å skille fra ekte video-deltakere både i utseende og tale, er det mulig at den globale “støyen” fra skjønnhetsfilter må bli mildnet i fremtiden, av sikkerhetsgrunner.

Smooth Criminals

Problemstillingen har blitt nylig undersøkt i en ny papir fra Universitetet i Cagliari i Italia, med tittelen Bedragerisk skjønnhet: Evaluering av skjønnhetsfilter på deepfake- og morf-angrepsdeteksjon.

I den nye studien ble skjønnhetsfilter anvendt på ansikter fra to benchmark-datasett, og flere deepfake- og morf-angrepsdetektorer ble testet på både de originale og de endrede bildene.

I nesten alle tilfeller sank detekteringsnøyaktigheten etter forbedring; de mest dramatiske nedgangene skjedde når filterne glattet ut rynker, lysnet hudtonen eller subtant forandret ansiktsformen. Disse endringene fjernet eller forvrengte de samme hintene som detekteringsmodellene avhenger av.

For eksempel sank den beste modellen på MorphDB med over 9% nøyaktighet etter forbedring, og problemet bestod over flere detekteringsarkitekturer, noe som indikerer at nåværende systemer ikke er robuste mot vanlige kosmetiske forbedringer.

Forfatterne konkluderer:

‘[Forbedrings] filter utgjør en trussel mot integriteten til biometriske autentiserings- og forensiske analysesystemer, og gjør robust deepfake- og morf-angrepsdeteksjon under slike forhold et kritisk åpent problem.

‘Fremtidig arbeid bør prioritere utviklingen av digitale manipulasjonsdetektorer som er robuste mot slike sublime, ikke-nødvendigvis ondsinnede endringer, enten de er malisøse eller ikke, for å sikre pålitelig identitetsgjenkjenning og innholdsgodkjenning i hverdags- og sikkerhetskritiske sammenhenger.’

Metode og data

For å evaluere hvordan skjønnhetsfilter påvirker deepfake- og morf-angrepsdeteksjon, ble en progressiv glattefilter anvendt, og resultatene ble testet på to benchmark-konvolusjonsneurale nettverk (CNN) som er godt kjent for å være assosiert med målet: AlexNet og VGG19.

Hvert av de to benchmark-datasettene inneholdt eksempler på ansiktsmanipulasjoner. Det første var CelebDF, et stort video-benchmark som inneholder 590 ekte og 5 639 forfalskede klipp som er laget med avanserte ansiktsbytte-teknikker. Samlingen tilbyr en mangfoldig rekke av lysforhold, hodeposer og naturlige uttrykk over 59 personer, noe som gjør det godt egnet for å evaluere robustheten til deepfake-detektorer i virkelige mediesammenhenger:

Eksempler på berørte ansiktsbilder fra CelebDF. Kilde: https://github.com/yuezunli/celeb-deepfakeforensics

Det andre var AMSL (krer registrering), et morf-angrepsdataset bygget fra Face Research Lab London samlingen, som inneholder både ekte og syntetisk blandede ansikter. Datasett inkluderer nøytrale og smilende uttrykk fra 102 personer, og var strukturert for å reflektere realistiske utfordringer for biometriske autentiseringssystemer som brukes i sammenhenger som grensekontroll.

Bilder fra kilde Face Research Lab London-settet (FRLL) datasett, brukt i AMSL. Kilde: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Hvert nettverk ble trent på 80% av deepfake- eller morf-angrepsdatasettet, med de resterende 20% brukt til validering. For å teste robusthet mot forbedring, ble en progressiv glattefilter så anvendt på testbildene, med økende blur-radius fra 3% til 5% av ansiktshøyden:

Eksempler på ansikter fra CelebDF (øverst) og AMSL (nederst) datasettene, vist før og etter anvendelse av en glattefilter-basert skjønnhetsfilter. Filterradiusen ble skalert relativt til ansiktshøyden, med c = 3% og c = 5% som produserte progressivt sterkere effekter.

I forhold til metrikker, ble hver modell evaluert ved hjelp av lik feilrate (EER) på både de originale og forbedrede testeksemplene. Analysen rapporterte også Bona Fide Presentation Classification Error Rate (BPCER), eller falsk positiv rate, og Attack Presentation Classification Error Rate (APCER), eller falsk negativ rate, ved hjelp av terskelen satt på de originale dataene.

Morfe ansikter fra AMSL-datasett.

For å ytterligere vurdere ytelsen, ble Area Under the ROC Curve (AUC) og scorefordelingene for ekte og falske bilder undersøkt.

Tester

I deepfake-detekteringsresultatene, viste begge nettverkene økende lik feilrater når forbedringsintensiteten økte. AlexNets EER steg fra 22,3% på de originale bildene til 28,1% på det høyeste glatte nivået, mens VGG19s økte fra 30,2% til 35,2%. Ytelsesnedgangen fulgte forskjellige mønster i hver enkelt tilfelle:

Deepfake-detekteringsresultater på CelebDF-datasett med AlexNet og VGG19. Begge modellene ble testet på originale og forbedrede bilder med økende nivåer av ansiktsglattering. Metrikker vist inkluderer lik feilrate (EER), Bona Fide Presentation Classification Error Rate (BPCER) og Attack Presentation Classification Error Rate (APCER), ved hjelp av terskeler fastsatt fra det originale testsettet. Detekteringsnøyaktigheten sank når forbedringsintensiteten økte, selv om mønsteret av nedgang varierte mellom arkitekturer.

Når forbedringen økte, ble AlexNet mer sannsynlig til å forveksle ekte ansikter med fakes, vist ved en jevn økning i dens falske positiv rate (BPCER). VGG19, på den andre siden, hadde vanskeligere med å fange fakes selv, med en økende falsk negativ rate (APCER). Begge modellene sviktet på forskjellige måter når de ble konfrontert med filterne, noe som indikerer at selv velkjente arkitekturer kan svikte på forskjellige måter når de møter kosmetiske endringer.

For å bedre forstå disse resultater, ble forbedringsfilteret anvendt separat på ekte og falske bilder, og påvirkningen på detekteringsytelsen ble målt. Denne nedbrytningen, vist i resultattabellen nedenfor, klargjør kilden til hver modells sårbarhet:

Detekteringsnøyaktighet for AlexNet og VGG19 under delvis forbedring på CelebDF-datasett. Tabellen rapporterer tre scenarier: forbedrede ekte vs forbedrede fakes (F-Real vs F-Fake); forbedrede ekte vs originale fakes (F-Real vs O-Fake); og originale ekte vs forbedrede fakes (O-Real vs F-Fake), med en nedgang i nøyaktighet som indikerer redusert detektor-ytelse. AlexNet var mest påvirket når ekte bilder ble forbedret, mens VGG19 hadde vanskeligere med å fange fakes når forbedringen ble anvendt på dem.

For AlexNet sank detekteringsnøyaktigheten når ekte bilder ble forbedret, men forbedret når kun fakes ble glattet. For VGG19 forbedret nøyaktigheten seg når ekte bilder ble forbedret, men sank når deepfakes ble filtert. I alle tilfeller sterkere forbedring reduserte nøyaktigheten.

Boks-plott som viser utgangsskår-distribusjonene til AlexNet og VGG19 på ekte og falske eksempler fra CelebDF-datasett, under økende nivåer av forbedring. Når glatteffekten intensiveres, blir skår-distribusjonene for ekte og falske bilder mindre skilbare, noe som indikerer redusert detekteringspålitelighet. AlexNet blir mindre sikker på å identifisere ekte ansikter, mens VGG19 blir mer sannsynlig til å misklassifisere fakes.

Forbedring gjorde AlexNets utgangsskår mer uniforme over både ekte og falske eksempler, mens VGG19 viste større spredning innen hver klasse. Til tross for disse motsatte effektene på skår-variabilitet, tapte begge modellene nøyaktighet. For AlexNet skiftet skårene for ekte ansikter nærmere skårene for deepfakes. For VGG19 begynte skårene for ekte og falske bilder å overlappe, noe som reduserte modellens evne til å skille mellom dem.

Papiret slår fast:

Disse resultater har viktige implikasjoner og avslører at det er nødvendig å vurdere bruken av skjønnhetsfilter i deepfake-deteksjon, siden disse kan ha en uforutsigbar påvirkning på ytelsen. Spesielt kan forskjellige arkitekturer reagere forskjellig på ansiktsmanipulasjoner, selv om disse manipulasjonene ikke er ment å bedra.

For eksempel, basert på den spesifikke deepfake-detektoren, kan skjønnhetsfilterne signifikant endre utgangen, og gjøre ekte bilder identifisert som fakes og, mer kritisk, tillate deepfakes å bedra detekteringen.

Derfor er det nødvendig å fokusere på utviklingen av detektorer som er mer robuste mot slike sublime, ikke-nødvendigvis ondsinnede endringer som kan tjene som kamuflasje for malisøse deepfake-manipulasjoner.

I morf-angreps-scenariet ble en syntetisk bilde skapt ved å blande ansiktsform fra to personer. Dette bildet ble brukt til å bedra ansiktsgjenkjenningssystemer, og tillot begge kilde-identiteter å bli autentisert som samme person. Slike angrep regnes som spesielt relevante i sikkerhetssammenhenger, hvor biometriske systemer kan bli bedratt til å akseptere det morfede bildet for offisiell identifikasjon.

Tabellen over viser morf-angrepsdetekteringsresultater på AMSL-bilder før og etter forbedring, med begge nettverk som viser skarpe feiløkninger når glatteffekten øker.

I morf-angreps-scenariet sank ytelsen skarpere enn i deepfake-deteksjon. AlexNets EER steg fra 27,6% til 41,2%, og VGG19s fra 19,0% til 37,3%, drevet hovedsakelig av falske positiver: ekte ansikter som ble misklassifisert som morfer. Med en 3% glatte-radius nådde VGG19s falske positiv rate 90%.

Dette mønsteret bestod når filterne ble anvendt selektivt. Glattning av ekte ansikter forverret detekteringen, mens glattning av kun morfede ansikter forbedret resultater. Når glatteffekten intensiveres, viste begge nettverkene redusert skille mellom ekte og falske skår, med VGG19 som ble spesielt ustabil.

Disse funnene, indikerer forfatterne, antyder at skjønnhetsfilter kan hjelpe morfer å unngå detektering endå mer effektivt enn deepfakes, og reiser alvorlige sikkerhetsbekymringer.

Delvis eksempler (på grunn av manglende plass) på hvordan minimal forbedring (3% glatte-radius) endret AlexNets klassifiseringer. Til venstre er et ekte bilde misklassifisert som et angrep etter filtering, og til høyre er et morfet bilde misklassifisert som ekte etter filtering.

Til slutt fant forskerne at selv milde skjønnhetsfilter kan signifikant forverre ytelsen til state-of-the-art deepfake- og morf-detektorer.

Påvirkningen varierte med arkitekturen, med AlexNet som viste en gradvis nedgang, og VGG19 som kollapset under minimal filtering. Siden disse filterne er vanlige og ikke nødvendigvis ondsinnede, kan deres evne til å skjule angrep utgjøre en praktisk trussel, spesielt i biometriske systemer. Papiret understreker behovet for detektorer som er robuste mot slike sublime bilde-manipulasjoner.

Konklusjon

En årsak til at det kan være vanskelig å trene deepfake-detektorer som kan ignorere skjønnhetsfilter, er mangelen på kontrastmateriale; ultimate er “forbedrede” versjonen den som blir bredt distribuert, og, i motsetning til videoen vi inkluderte tidligere som et eksempel, er det svært sjeldent at et “før”-bilde blir anvendt.

En annen hindring er at mange av filterne utfører akkurat den type glatteffekt som er typisk for kompresjon-operasjoner når man lagrer bilder eller komprimerer video (en fordel for leverandørenes båndbredde, samt en digital hud-forbedring for de som bruker filteret).

Deepfake-deteksjons-forskningssektoren er allerede dypt engasjert i å bekjempe eksempler på virkelige bilde-degraderinger på grunn av problemer som dårlige kameraer, overkomprimering eller ujevn nettverkskonnektivitet – alle slike forhold er en direkte fordel for deepfake-svindlere som må jobbe mye hardere i en høykvalitets, høyoppløsnings-sammenheng.

Om skjønnhetsfilter til slutt blir truet som en sikkerhetsrisiko, synes å avhenge av hvor mye de forhindrer deepfake-skjermingsmetoder, eller ender opp med å utgjøre en slags de facto-brannmur som gagner malisøse personer mer enn de som kjemper mot dem.

Først publisert onsdag, 24. september 2025