Filtry piękności są potencjalnym narzędziem ataku głębokiej fałszywki

Filtry piękności nie tylko ukrywają niedoskonałości: mogą również pomóc głębokim fałszywkom i morfom twarzy w uniknięciu systemów wykrywania. Nowe badanie pokazuje, że nawet subtelne efekty wygładzania mogą mylić detektory AI, sprawiając, że fałszywe obrazy wyglądają jak prawdziwe, a prawdziwe jak fałszywe. Jeśli ten trend się utrzyma, filtry piękności mogą zostać ograniczone w kontekstach o wysokich stawkach, od kontroli granicznej do spotkań korporacyjnych na platformie Zoom.

W badaniu z 2024 roku, które było współpracą między Hiszpanią a Włochami, naukowcy donieśli, że 90% kobiet w wieku 18-30 używało filtrów piękności przed publikowaniem zdjęć w mediach społecznościowych. W tym sensie filtry piękności są algorytmicznymi lub wspomaganymi przez AI metodami zmiany wyglądu twarzy, aby była ona rzekomo udoskonalona w stosunku do oryginału:

Z badania z 2024 roku: przykładowe twarze kobiece (po lewej) i męskie (po prawej) przed i po zastosowaniu filtrów piękności. Filtr zmienił takie cechy, jak odcień skóry, oczy, nos, usta, brodę i kości policzkowe, aby zwiększyć postrzeganą atrakcyjność. Źródło: https://arxiv.org/pdf/2407.11981

Takie filtry są również powszechnie dostępne jako funkcjonalność natywna lub dodatkowa w popularnych systemach wideo, takich jak Snapchat i Zoom, oferując możliwość wygładzania “niedoskonałej” skóry, a nawet zmiany wieku osoby, do punktu, w którym tożsamość może być znacznie zmieniona:

Kliknij, aby odtworzyć: trzy kobiety wyłączają swoje filtry “piękności” wideo, ujawniając, w jakim stopniu ich fizjonomia jest zmieniana przez algorytmy lub AI. Źródło: https://www.youtube.com/watch?v=gtCpea_5qxw

Zjawisko to zdawało się osiągnąć punkt nasycenia, gdy technologia była stosunkowo dojrzała; badanie z 2020 roku z City University of London ujawniło, że 90% młodych użytkowników Snapchat w Stanach Zjednoczonych, Francji i Wielkiej Brytanii używało filtrów w swoich aplikacjach, podczas gdy Meta zgłosiła, że ponad 600 milionów młodych ludzi używało filtrów na Facebooku lub Instagramie.

Badając negatywne skutki takich filtrów na zdrowie psychiczne, raport Psychology Today stwierdził, że spośród badanych 90% młodych kobiet, średnio 20-letnich, albo używało filtrów, albo w jakiś sposób edytowało swoje zdjęcia. Najpopularniejsze filtry były te, które wyrównywały odcień skóry, dawały opaloną skórę, wybielały zęby i nawet zmniejszały rozmiar ciała.

Starcie

Ponieważ filtry twarzy mają korzystać z rewolucji w syntezie wideo w 2025 roku, a ogólnie z trwającym zainteresowaniem tym sektorem badawczym, stopień, w jakim możemy “przebudować” lub wyobrazić sobie siebie w rozmowach wideo, coraz bardziej kłóci się z obawami społeczności bezpieczeństwa dotyczącymi fałszywych lub przestępczych technik wideo głębokiej fałszywki.

Jednym z problemów jest to, że cały zakres “łatwych” testów opracowanych w ostatnich latach w celu ujawnienia fałszywego wideo, które może próbować oszukać duże kwoty pieniędzy w kontekście korporacyjnym, staje się coraz mniej skuteczny, ponieważ te słabości są uwzględniane w danych szkoleniowych i podczas wnioskowania:

Kliknij, aby odtworzyć: trzy lub cztery lata temu machanie ręką przed fałszywą twarzą było niezawodnym testem dla połączeń wideo, ale widzimy, że dedykowane wysiłki, takie jak te na TikToku, robią duże postępy w klasycznych “oznakach”. Źródło: Ibid i https://archive.is/mofRV#wavehands

Bardziej krytycznie, powszechne używanie filtrów piękności, które zmieniają lub modyfikują twarz, zaciemnia wody dla nowego i wschodzącego pokolenia detektorów głębokiej fałszywki, których zadaniem jest utrzymanie oszustów poza wideokonferencjami w sali konferencyjnej i z dala od potencjalnych ofiar “porwania” i “oszustwa pod fałszywą tożsamością”.

Łatwiej jest stworzyć przekonywującą głęboką fałszywkę, czy to zdjęcie, czy wideo, jeśli rozdzielczość obrazu jest niska lub obraz jest w jakiś sposób zdegradowany, ponieważ podstawowy system fałszerstwa może ukryć swoje własne słabości za tym, co wygląda na problemy z łącznością lub platformą.

W istocie najpopularniejsze filtry piękności usuwają niektóre z najbardziej przydatnych materiałów do identyfikacji fałszywych wideo, takich jak tekstura skóry i inne szczegóły twarzy – i warto rozważyć, że im starsza twarz, tym więcej takich szczegółów zawiera, a zatem użycie filtrów odmładzających może być szczególnie kuszące w takim przypadku.

Jeśli wygląd “androida” jest w modzie, detektory głębokiej fałszywki mogą nie mieć materiału, którego potrzebują, aby odróżnić prawdziwe i fałszywe obrazy i postacie wideo. Źródło: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

Praca Royal Society z końca 2024 roku Czy to, co jest piękne, jest nadal dobre: efekt halo atrakcyjności w erze filtrów piękności potwierdziła, że użycie filtrów powszechnie zwiększa ogólną atrakcyjność u obu płci (chociaż zwiększona atrakcyjność ma tendencję do obniżania ogólnej oceny inteligencji u kobiet z filtrem piękności).

Dlatego też można powiedzieć, że jest to popularna technologia; że działa; i że byłoby to rodzajem szoku kulturowego, gdyby nagle miała zostać poddana ograniczeniom bezpieczeństwa lub zakazana w różnych kontekstach.

Jednakże, w okresie, w którym wideo głębokiej fałszywki zagrażają, że staną się nie do odróżnienia od prawdziwych uczestników wideo, zarówno pod względem wyglądu, jak i mowy, możliwe, że globalny “szum” z filtrów piękności może musiałby zostać złagodzony w przyszłości z powodów bezpieczeństwa.

Łatwi przestępcy

Problem ten został ostatnio zbadany w nowym artykule z Uniwersytetu w Cagliari we Włoszech, zatytułowanym Deceptive Beauty: Evaluating the Impact of Beauty Filters on Deepfake and Morphing Attack Detection.

W nowym badaniu naukowcy zastosowali filtry piękności do twarzy z dwóch zbiorów danych benchmarkowych i przetestowali kilka detektorów głębokiej fałszywki i ataków morfingowych na oryginalnych i zmodyfikowanych obrazach.

W niemal każdym przypadku dokładność wykrywania spadła po zabiegu piękności; najbardziej dramatyczne spadki wystąpiły, gdy filtry wyrównywały zmarszczki, rozjaśniały odcień skóry lub subtelnie zmieniały rysy twarzy. Te zmiany usunęły lub zniekształciły same sygnały, na których polegają modele wykrywania.

Na przykład najlepszy model w MorphDB stracił ponad 9% dokładności po zabiegu piękności, a problem utrzymywał się w różnych architekturach wykrywania, co wskazuje, że obecne systemy nie są odporne na powszechne udoskonalenia kosmetyczne.

Autorzy konkludują:

‘Filtry piękności stanowią zagrożenie dla integralności systemów uwierzytelniania biometrycznego i analizy sądowej, sprawiając, że wykrywanie głębokiej fałszywki i ataków morfingowych w takich warunkach staje się krytycznym otwartym wyzwaniem.

‘Przyszłe badania powinny koncentrować się na opracowaniu systemów wykrywania manipulacji cyfrowych, które są odporne na takie subtelne, rzeczywiste zmiany, niezależnie od ich zamiaru, aby zapewnić niezawodne rozpoznawanie tożsamości i weryfikację zawartości w codziennych i krytycznych kontekstach bezpieczeństwa.’

Metoda i dane

Aby ocenić, jak filtry piękności wpływają na wykrywanie głębokiej fałszywki i ataków morfingowych, naukowcy zastosowali filtr wygładzania postępującego i przetestowali wyniki na dwóch sieciach neuronowych typu CNN (Convolutional Neural Networks) związanych z problemem docelowym: AlexNet i VGG19.

Każda z dwóch zbiorów danych benchmarkowych zawierała przykłady odpowiednich manipulacji twarzy. Pierwszy to CelebDF, duży zbiór wideo zawierający 590 prawdziwych i 5 639 sfałszowanych klipów utworzonych za pomocą zaawansowanych technik zamiany twarzy. Zbiór oferuje szeroki zakres warunków oświetlenia, pozycji głowy i naturalnych wyrazów twarzy wśród 59 osób, co sprawia, że jest on dobrze przystosowany do oceny wytrzymałości detektorów głębokiej fałszywki w scenariuszach multimedialnych:

Przykłady zmodyfikowanych obrazów twarzy z CelebDF. Źródło: https://github.com/yuezunli/celeb-deepfakeforensics

Drugi to AMSL (wymaga rejestracji), zbiór ataków morfingowych utworzony z kolekcji Face Research Lab London zestawu danych, zawierający zarówno prawdziwe, jak i syntetycznie połączone twarze. Zbiór danych zawiera wyrazy neutralne i uśmiechnięte od 102 osób i został opracowany w celu odzwierciedlenia realistycznych wyzwań dla systemów uwierzytelniania biometrycznego używanych w kontekstach takich jak kontrola graniczna.

Obrazy z oryginalnego zestawu danych Face Research Lab London (FRLL) użytego w AMSL. Źródło: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Każda sieć była szkolona na 80% zbioru danych głębokiej fałszywki lub ataków morfingowych, a pozostałe 20% zostało użyte do walidacji. Aby przetestować wytrzymałość wobec filtrów piękności, naukowcy zastosowali następnie filtr wygładzania postępującego do obrazów testowych, zwiększając promień rozmycia z 3% do 5% wysokości twarzy:

Przykładowe twarze z zestawów danych CelebDF (góra) i AMSL (dół), pokazane przed i po zastosowaniu filtru piękności opartego na wygładzaniu. Promień filtru został skalowany w stosunku do wysokości twarzy, z c = 3% i c = 5% produkującymi coraz silniejsze efekty.

Jeśli chodzi o metryki, każdy model został oceniony przy użyciu współczynnika błędu (EER) na obu oryginalnych i urodzonych próbkach testowych. Analiza również podała współczynnik błędu klasyfikacji prezentacji autentycznej (BPCER), czyli współczynnik fałszywie dodatnich, i współczynnik błędu klasyfikacji prezentacji ataku (APCER), czyli współczynnik fałszywie ujemnych, przy progu ustalonym na podstawie danych oryginalnych.

Zmodyfikowane twarze z zestawu danych AMSL.

Aby dalej ocenić wydajność, analizowano również obszar pod krzywą ROC (AUC) i rozkład punktacji dla prawdziwych i fałszywych obrazów.

Testy

W wynikach wykrywania głębokiej fałszywki obie sieci wykazały rosnące współczynniki błędu wraz ze wzrostem intensywności filtrów piękności. Współczynnik EER sieci AlexNet wzrósł z 22,3% na oryginalnych obrazach do 28,1% na najwyższym poziomie wygładzania, podczas gdy współczynnik EER sieci VGG19 wzrósł z 30,2% do 35,2%. Spadek wydajności następował według różnych wzorców w każdym przypadku:

Wyniki wykrywania głębokiej fałszywki na zestawie danych CelebDF przy użyciu sieci AlexNet i VGG19. Obie sieci zostały przetestowane na oryginalnych i urodzonych obrazach z coraz to większymi poziomami wygładzania twarzy. Pokazane metryki obejmują współczynnik błędu (EER), współczynnik błędu klasyfikacji prezentacji autentycznej (BPCER) i współczynnik błędu klasyfikacji prezentacji ataku (APCER), przy progach ustalonych na podstawie oryginalnego zestawu testowego. Dokładność wykrywania spadła wraz ze wzrostem intensywności filtrów piękności, chociaż wzorzec degradacji różnił się między architekturami.

Gdy filtry piękności rosły, sieć AlexNet stawała się bardziej skłonna do mylenia prawdziwych twarzy z fałszywymi, co widać w stałym wzroście jej współczynnika fałszywie dodatnich (BPCER). Sieć VGG19, z drugiej strony, głównie miał trudności z wykryciem fałszywek, co skutkowało rosnącym współczynnikiem fałszywie ujemnych (APCER). Dwa modele reagowały inaczej na filtry, co wskazuje, że nawet dobrze znane architektury mogą zawieść na różne sposoby, gdy są konfrontowane z modyfikacjami kosmetycznymi.

Aby lepiej zrozumieć te wyniki, naukowcy zastosowali filtr piękności oddzielnie do prawdziwych i fałszywych obrazów i zmierzyli wpływ na wydajność wykrywania. Ten podział, przedstawiony w poniższej tabeli wyników, wyjaśnia źródło podatności każdego modelu:

Dokładność wykrywania dla sieci AlexNet i VGG19 podczas częściowego zastosowania filtrów piękności na zestawie danych CelebDF. Tabela raportuje trzy scenariusze: urodzona twarz prawdziwa vs urodzona twarz fałszywa (F-Real vs F-Fake); urodzona twarz prawdziwa vs oryginalna twarz fałszywa (F-Real vs O-Fake); i oryginalna twarz prawdziwa vs urodzona twarz fałszywa (O-Real vs F-Fake), przy czym spadek dokładności wskazuje na zmniejszoną wydajność detektora. Sieć AlexNet była najbardziej dotknięta, gdy prawdziwe obrazy były urodzone, podczas gdy sieć VGG19 miał największe trudności, gdy filtry piękności były stosowane do fałszywych obrazów.

Dla sieci AlexNet wydajność wykrywania spadła, gdy prawdziwe obrazy były urodzone, ale poprawiła się, gdy tylko fałszywe obrazy były wygładzane. Dla sieci VGG19 wydajność poprawiła się nieco z urodzonymi prawdziwymi obrazami, ale pogorszyła się, gdy głębokie fałszywki były filtrowane. We wszystkich przypadkach silniejsze filtry piękności redukowały dokładność.

Wykresy pudełkowe pokazujące rozkład punktacji wyjściowych sieci AlexNet i VGG19 na prawdziwych i fałszywych próbkach z zestawu danych CelebDF, podczas zwiększania filtrów piękności. Gdy wygładzanie się nasila, rozkłady punktacji dla prawdziwych i fałszywych obrazów stają się mniej rozdzielone, co wskazuje na zmniejszoną niezawodność wykrywania. Sieć AlexNet staje się mniej pewna w identyfikowaniu prawdziwych twarzy, podczas gdy sieć VGG19 staje się bardziej skłonna do błędnej klasyfikacji fałszywych twarzy.

Artykuł stwierdza:

‘Te wyniki mają ważne implikacje i ujawniają, że konieczne jest uwzględnienie potencjalnego zastosowania filtrów piękności w wykrywaniu głębokiej fałszywki, ponieważ mogą one mieć nieprzewidywalny wpływ na wydajność. W szczególności różne architektury reagują inaczej na manipulacje twarzy, nawet jeśli te manipulacje nie są przeznaczone do oszustwa.

‘Na przykład, w zależności od konkretnego detektora głębokiej fałszywki, filtry piękności mogą znacznie zmienić wyjście, sprawiając, że prawdziwe obrazy są identyfikowane jako fałszywe, a co więcej, pozwalając głębokiej fałszywce oszukać wykrywanie.

‘Dlatego też konieczne jest skoncentrowanie się na opracowaniu detektorów, które są bardziej odporne na takie subtelne, niekoniecznie złowrogie modyfikacje, które mogą służyć jako kamuflaż dla złowrogich manipulacji głębokiej fałszywki.’

W scenariuszu ataku morfingowego, syntetyczny obraz został utworzony przez połączenie cech twarzy dwóch osób. Ten obraz został użyty do oszukania systemów rozpoznawania twarzy, pozwalając obu osobom źródłowym na uwierzytelnienie się jako ta sama osoba. Takie ataki są uważane za szczególnie istotne w kontekstach bezpieczeństwa, gdzie systemy biometryczne mogą być mylone i akceptują morfowany obraz do oficjalnej identyfikacji.

Tabela powyżej pokazuje wyniki wykrywania ataków morfingowych na obrazach AMSL przed i po zastosowaniu filtrów piękności, z obiema sieciami wykazującymi gwałtowny wzrost błędów wraz ze wzrostem intensywności wygładzania.

W scenariuszu ataku morfingowego, wydajność spadła bardziej gwałtownie niż w przypadku wykrywania głębokiej fałszywki. Współczynnik błędu sieci AlexNet wzrósł z 27,6% do 41,2%, a współczynnik błędu sieci VGG19 z 19,0% do 37,3%, głównie z powodu fałszywie dodatnich: prawdziwe twarze zostały błędnie sklasyfikowane jako morfy. Przy promieniu wygładzania 3% współczynnik fałszywie dodatnich sieci VGG19 osiągnął 90%.

Ten wzorzec utrzymywał się, gdy filtry były stosowane selektywnie. Wygładzanie prawdziwych twarzy pogorszyło wykrywanie, podczas gdy wygładzanie tylko morfowanych twarzy poprawiło wyniki. Gdy wygładzanie się nasilało, obie sieci wykazały zmniejszoną separację między prawdziwymi i fałszywymi punktacjami, przy czym sieć VGG19 stała się szczególnie niestabilna.

Te wyniki, jak wskazują autorzy, sugerują, że filtry piękności mogą pomóc morfom w uniknięciu wykrycia jeszcze skuteczniej niż głębokie fałszywki, co budzi poważne obawy bezpieczeństwa.

Częściowe przykłady (ze względu na brak miejsca) tego, jak minimalne filtry piękności (promień wygładzania 3%) zmieniły klasyfikację sieci AlexNet. Po lewej, prawdziwy obraz jest błędnie sklasyfikowany jako atak po zastosowaniu filtru, a po prawej, morfowany obraz jest błędnie sklasyfikowany jako autentyczny po zastosowaniu filtru.

Wreszcie, naukowcy stwierdzili, że nawet łagodne filtry piękności mogą znacznie pogorszyć wydajność najnowocześniejszych detektorów głębokiej fałszywki i ataków morfingowych.

Wpływ różnił się w zależności od architektury, przy czym sieć AlexNet wykazywała stopniowy spadek, a sieć VGG19 załamała się przy minimalnym filtrowaniu. Ponieważ te filtry są powszechne i nie są z natury złowrogie, ich zdolność do ukrywania ataków stanowi, jak sugerują autorzy, praktyczne zagrożenie, szczególnie w systemach biometrycznych. Artykuł podkreśla potrzebę detektorów, które są odporne na takie subtelne manipulacje obrazu.

Wnioski

Jednym z powodów, dla których może być trudno opracować systemy wykrywania głębokiej fałszywki, które mogą ignorować filtry piękności, jest brak materiału kontrastowego; ostatecznie wersja “urodzona” jest tą, która jest powszechnie rozpowszechniana, a w przeciwieństwie do wideo, które osadziliśmy wcześniej jako ilustrację, jest bardzo rzadko, gdy “przed” zdjęcie jest stosowane.

Inny przeszkodą jest to, że wiele filtrów wykonuje rodzaj wygładzania, typowego dla operacji kompresji podczas zapisywania obrazów lub kompresji wideo (co jest korzystne dla dostawców pasma, oprócz cyfrowego liftingu twarzy dla tych, którzy używają filtru).

Sektor badań nad głęboką fałszywką jest już głęboko zaangażowany w zwalczanie przypadków rzeczywistej degradacji obrazu z powodu problemów, takich jak słabej jakości kamery, nadmiernej kompresji lub złej łączności sieciowej – wszystkie te warunki są bezpośrednim zyskiem dla oszustów głębokiej fałszywki, którzy są zmuszeni do większych starań w scenariuszach o wysokiej jakości i wysokiej rozdzielczości.

Czy filtry piękności ostatecznie staną się zagrożeniem dla bezpieczeństwa, wydaje się, że zależy od stopnia, w jakim staną się przeszkodą dla metod wykrywania głębokiej fałszywki, czy ostatecznie staną się rodzajem de facto zapory ogniowej, która będzie korzystać więcej przestępcom niż tym, którzy z nimi walczą.

Pierwotnie opublikowane w środę, 24 września 2025