Filtros de Beleza São uma Ferramenta Potencial de Ataque de Deepfake

Os filtros de beleza agora fazem mais do que esconder imperfeições: eles podem ajudar deepfakes e morfismos faciais a escapar dos sistemas de detecção. Um novo estudo mostra que mesmo efeitos de suavização sutis confundem os detectores de IA, tornando imagens falsas em reais e reais em falsas. Se a tendência continuar, os filtros de beleza podem enfrentar restrições em contextos de alto risco, desde o controle de fronteiras até reuniões de Zoom corporativas.

Em uma colaboração acadêmica de 2024 entre a Espanha e a Itália, os pesquisadores relataram que 90% das mulheres com idades entre 18 e 30 anos usavam filtros de beleza antes de postar imagens nas redes sociais. Nesse sentido, os filtros de beleza são métodos algorítmicos ou auxiliados por IA para alterar a aparência facial de modo a ser supostamente melhorada em relação à fonte original:

Do estudo de 2024: exemplo de faces femininas (à esquerda) e masculinas (à direita) antes e após a aplicação de filtros de beleza. O filtro alterou recursos como tom de pele, olhos, nariz, lábios, queixo e maçãs do rosto para aumentar a atratividade percebida. Fonte: https://arxiv.org/pdf/2407.11981

Tais filtros também estão amplamente disponíveis como funcionalidade nativa ou de complemento em sistemas de vídeo populares, incluindo Snapchat e Zoom, oferecendo a capacidade de suavizar a pele “imperfeita” e até alterar a idade do sujeito, a ponto de a identidade poder ser substancialmente alterada:

Clique para reproduzir: três mulheres desligam seus filtros de “beleza” de vídeo, revelando a extensão com que suas fisionomias são alteradas pelos algoritmos ou IA. Fonte: https://www.youtube.com/watch?v=gtCpea_5qxw

O fenômeno pareceu atingir o ponto de saturação assim que a tecnologia estava relativamente madura; um estudo de 2020 da City University de Londres revelou que 90% dos jovens usuários do Snapchat nos Estados Unidos, França e Reino Unido usavam filtros em seus aplicativos, enquanto a Meta relatou que mais de 600 milhões de jovens haviam usado filtros no Facebook ou Instagram.

Ao explorar os efeitos adversos desses filtros na saúde mental, um relatório da Psychology Today afirmou que, entre os estudados, 90% das jovens mulheres, com idade média de 20 anos, usavam filtros ou editavam suas fotos de alguma forma. Os filtros mais populares eram aqueles usados para uniformizar tons de pele; dar uma aparência morena; clarear dentes; e até reduzir o tamanho do corpo.

Confronto

À medida que os filtros faciais estão prestes a se beneficiar da revolução de 2025 na síntese de vídeo e, de forma mais geral, do interesse contínuo nesse setor de pesquisa, a extensão com que podemos “recriar” ou reimaginar a nós mesmos em chats de vídeo ao vivo está cada vez mais em conflito com a preocupação da comunidade de segurança sobre técnicas de vídeo deepfake fraudulentas ou criminosas.

Um problema é que a gama de “testes fáceis” desenvolvidos nos últimos anos para revelar um deepfaker de vídeo, que pode estar tentando defraudar grandes quantias de dinheiro em um contexto corporativo, está inevitavelmente se tornando menos eficaz à medida que esses calcanhares de Aquiles são contabilizados nos dados de treinamento e no tempo de inferência:

Clique para reproduzir: há três ou quatro anos, acenar com a mão em frente a um rosto deepfake era um teste confiável para chamadas de vídeo, mas podemos ver que esforços dedicados de empresas como o TikTok estão fazendo incursões significativas nos “sinais” clássicos. Fontes: Ibid e https://archive.is/mofRV#wavehands

Mais criticamente, o uso generalizado de filtros de beleza que alteram ou mudam o rosto turva as águas para uma nova geração de detectores de deepfakes encarregados de manter impostores fora de chats de vídeo de salas de reunião e longe de potenciais vítimas de fraudes de “sequestro” e “impostor”.

É mais fácil criar um deepfake convincente, seja foto ou vídeo, se a resolução da imagem for baixa ou a imagem estiver degradada de alguma forma, pois o sistema de falsificação subjacente pode esconder suas próprias limitações atrás do que aparentam ser problemas de conectividade ou questões de plataforma.

Na prática, os filtros de beleza mais populares removem alguns dos materiais mais úteis para identificar deepfakes de vídeo, como textura de pele e outras áreas de detalhe facial – e vale a pena considerar que, quanto mais velha é uma face, mais detalhes ela provavelmente contém, e, portanto, o uso de filtros de vaidade de rejuvenescimento pode ser uma tentação particular nesse caso.

Se um visual “android” sem detalhes for a moda, os detectores de deepfakes podem carecer do material necessário para distinguir entre imagens e personagens de vídeo reais e falsos. Fonte: https://www.instagram.com/reel/DMyGerPtTPF/?hl=en

O artigo da Royal Society de fins de 2024, O que é bonito ainda é bom: o efeito de halo de atratividade na era dos filtros de beleza, confirmou que o uso de filtros aumenta universalmente a atratividade geral em ambos os sexos (embora a atratividade aumentada tenda a diminuir a estimativa geral de inteligência em mulheres com filtros de beleza).

Portanto, é justo dizer que essa é uma tecnologia popular; que ela funciona; e que seria um choque cultural se ela de repente se tornasse sujeita a limitações de segurança ou fosse proibida em contextos diversos.

No entanto, em um período em que os deepfakes de vídeo ameaçam se tornar indistinguíveis de participantes de vídeo reais, tanto em aparência quanto em fala, é possível que o “ruído” global dos filtros de beleza precise ser mitigado no futuro, por razões de segurança.

Criminosos Suaves

A questão foi mais recentemente investigada em um novo artigo da Universidade de Cagliari, na Itália, intitulado Beleza Enganosa: Avaliando o Impacto dos Filtros de Beleza na Detecção de Ataques de Deepfake e Morfismo.

Nesse novo estudo, os pesquisadores aplicaram filtros de beleza a faces de dois conjuntos de dados de referência e testaram vários detectores de deepfakes e ataques de morfismo em imagens originais e alteradas.

Na maioria dos casos, a precisão de detecção caiu após a beleza; as quedas mais dramáticas ocorreram quando os filtros suavizaram rugas, aclararam o tom de pele ou sutilmente redefiniram recursos faciais. Essas mudanças removeram ou distorceram os sinais que os modelos de detecção dependem.

Por exemplo, o modelo de melhor desempenho no MorphDB perdeu mais de 9% de precisão após a filtragem, e o problema persistiu em várias arquiteturas de detecção, indicando que os sistemas atuais não são robustos em relação a melhorias cosméticas comuns.

Os autores concluem:

‘Os filtros de beleza representam uma ameaça à integridade da autenticação biométrica e dos sistemas de análise forense, tornando a detecção robusta de deepfakes e ataques de morfismo um desafio crítico aberto.

‘O trabalho futuro deve priorizar o desenvolvimento de sistemas de detecção de manipulação digital que sejam robustos a essas alterações sutis, reais e mundanas, sejam elas maliciosas ou não, para garantir o reconhecimento de identidade confiável e a verificação de conteúdo em contextos cotidianos e críticos de segurança.’

Método e Dados

Para avaliar como os filtros de beleza afetam a detecção de deepfakes e morfismo, os pesquisadores aplicaram um filtro de suavização progressivo e testaram os resultados em duas redes neurais convolucionais (CNNs) bem associadas ao problema-alvo: AlexNet e VGG19.

Cada uma das duas bases de dados de referência testadas continha exemplos de manipulações faciais apropriadas. A primeira foi CelebDF, um grande conjunto de dados de vídeo que apresenta 590 clipes reais e 5.639 clipes forjados criados por meio de técnicas de troca de faces avançadas. A coleção oferece uma ampla gama de condições de iluminação, poses de cabeça e expressões naturais em 59 indivíduos, tornando-a bem adequada para avaliar a robustez dos detectores de deepfakes em cenários de mídia do mundo real:

Exemplos de imagens faciais afetadas, do CelebDF. Fonte: https://github.com/yuezunli/celeb-deepfakeforensics

A segunda foi AMSL (registro necessário), um conjunto de dados de ataques de morfismo construído a partir da coleção Face Research Lab London collection, contendo faces reais e sinteticamente mescladas. O conjunto de dados inclui expressões neutras e sorridentes de 102 sujeitos e foi estruturado para refletir desafios realistas para sistemas de autenticação biométrica usados em contextos como controle de fronteiras.

Imagens do conjunto de dados Fonte Face Research Lab London (FRLL) usado em AMSL. Fonte: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Cada rede foi treinada em 80% do conjunto de dados de deepfakes ou morfismo, com os 20% restantes usados para validação. Para testar a robustez contra a beleza, os pesquisadores aplicaram um filtro de suavização progressivo às imagens de teste, aumentando o raio de blur de 3% para 5% da altura da face:

Exemplos de faces do CelebDF (topo) e AMSL (fundo) datasets, mostradas antes e após a aplicação de um filtro de beleza baseado em suavização. O raio do filtro foi escalonado em relação à altura da face, com c = 3% e c = 5% produzindo efeitos progressivamente mais fortes.

Quanto às métricas, cada modelo foi avaliado usando a Taxa de Erro Equivalente (EER) em ambos os conjuntos de teste originais e embelezados. A análise também relatou a Taxa de Erro de Classificação de Apresentação Bona Fide (BPCER), ou taxa de falso positivo, e a Taxa de Erro de Classificação de Apresentação de Ataque (APCER), ou taxa de falso negativo, usando o limiar definido nos dados originais.

Imagens morfadas do conjunto de dados AMSL.

Para avaliar ainda mais o desempenho, a Área Sob a Curva ROC (AUC) e as distribuições de pontuações para imagens reais e falsas foram examinadas.

Testes

Nos resultados da detecção de deepfakes, ambas as redes mostraram taxas de erro equivalentes em ascensão à medida que a intensidade da beleza aumentava. A EER do AlexNet subiu de 22,3% nas imagens originais para 28,1% no nível de suavização mais alto, enquanto a EER do VGG19 aumentou de 30,2% para 35,2%. A queda de desempenho seguiu padrões diferentes em cada caso:

Resultados da detecção de deepfakes no conjunto de dados CelebDF usando AlexNet e VGG19. Ambos os modelos foram testados em imagens originais e embelezadas com níveis crescentes de suavização facial. As métricas mostradas incluem Taxa de Erro Equivalente (EER), Taxa de Erro de Classificação de Apresentação Bona Fide (BPCER) e Taxa de Erro de Classificação de Apresentação de Ataque (APCER), usando limiares fixados no conjunto de teste original. A precisão de detecção diminuiu à medida que a intensidade da beleza aumentou, embora o padrão de degradação diferisse entre as arquiteturas.

À medida que a beleza aumentava, o AlexNet se tornava mais propenso a confundir faces reais com falsas, mostrado por um aumento constante em sua taxa de falso positivo (BPCER). O VGG19, por outro lado, lutava principalmente para detectar os próprios deepfakes, com uma taxa de falso negativo (APCER) em crescimento. Os dois modelos responderam de maneira diferente aos filtros, indicando que mesmo arquiteturas bem conhecidas podem falhar de maneiras diferentes quando enfrentam alterações cosméticas.

Para entender melhor esses resultados, os pesquisadores aplicaram o filtro de beleza separadamente a imagens reais e falsas e mediram o impacto no desempenho da detecção. Essa quebra, mostrada na tabela de resultados abaixo, esclarece a fonte da vulnerabilidade de cada modelo:

Precisão de detecção para AlexNet e VGG19 sob embelezamento parcial no conjunto de dados CelebDF. A tabela relata três cenários: embelezado real vs embelezado falso (F-Real vs F-Fake); embelezado real vs original falso (F-Real vs O-Fake); e original real vs embelezado falso (O-Real vs F-Fake), com uma diminuição na precisão indicando desempenho reduzido do detector. O AlexNet foi mais afetado quando imagens reais foram embelezadas, enquanto o VGG19 lutou mais quando a embelezamento foi aplicado a imagens falsas.

Para o AlexNet, o desempenho de detecção caiu quando as imagens reais foram embelezadas, mas melhorou quando apenas as imagens falsas foram suavizadas. Para o VGG19, o desempenho melhorou ligeiramente com imagens reais embelezadas, mas piorou quando os deepfakes foram filtrados. Em todos os casos, a embelezamento mais forte reduziu a precisão.

Gráficos de caixa mostrando as distribuições de pontuações de saída do AlexNet e VGG19 em amostras reais e falsas do conjunto de dados CelebDF, sob níveis crescentes de embelezamento. À medida que a suavização intensifica, as distribuições de pontuações para imagens reais e falsas se tornam menos separáveis, indicando confiabilidade de detecção reduzida. O AlexNet se torna menos confiante na identificação de faces reais, enquanto o VGG19 se torna mais propenso a misclassificar os falsos.

A embelezamento tornou as pontuações de saída do AlexNet mais uniformes em ambos os conjuntos de amostras reais e falsas, enquanto o VGG19 mostrou uma dispersão maior dentro de cada classe. Apesar desses efeitos contrastantes na variabilidade das pontuações, ambos os modelos perderam precisão. Para o AlexNet, as pontuações para faces reais se aproximaram das pontuações para os deepfakes. Para o VGG19, as pontuações para imagens reais e falsas começaram a se sobrepor, reduzindo a capacidade do modelo de distingui-las.

O artigo afirma:

‘Esses resultados têm implicações importantes e revelam que é necessário considerar o uso potencial de filtros de beleza na detecção de deepfakes, pois esses podem ter um impacto imprevisível no desempenho. Em particular, diferentes arquiteturas respondem de maneira diferente a manipulações faciais, mesmo que essas manipulações não sejam destinadas a enganar.

‘Por exemplo, com base no detector de deepfake específico, os filtros de beleza poderiam alterar significativamente a saída, tornando imagens reais identificadas como falsas e, mais criticamente, permitindo que os deepfakes enganem a detecção.

‘Portanto, é necessário se concentrar no desenvolvimento de detectores mais robustos a essas alterações sutis, não estritamente maliciosas, que poderiam servir como camuflagem para manipulações maliciosas de deepfakes.’

No cenário de ataque de morfismo, uma imagem sintética foi criada mesclando recursos faciais de dois indivíduos. Essa imagem foi usada para enganar sistemas de reconhecimento facial, permitindo que ambas as identidades de origem fossem autenticadas como a mesma pessoa. Tais ataques são considerados especialmente relevantes em contextos de segurança, onde os sistemas biométricos poderiam ser enganados para aceitar a imagem morfada para identificação oficial.

Resultados da detecção de ataques de morfismo em imagens do AMSL antes e após a embelezamento, com ambas as redes mostrando aumentos acentuados de erros à medida que a intensidade da suavização aumenta.

No cenário de ataque de morfismo, o desempenho se deteriorou mais acentuadamente do que na detecção de deepfakes. A EER do AlexNet subiu de 27,6% para 41,2%, e a EER do VGG19 subiu de 19,0% para 37,3%, impulsionada principalmente por falsos positivos: faces reais classificadas como morfadas. Com um raio de suavização de 3%, a taxa de falso positivo do VGG19 atingiu 90%.

Esse padrão se manteve quando os filtros foram aplicados seletivamente. Suavizar faces reais degradou a detecção, enquanto suavizar apenas faces morfadas melhorou os resultados. À medida que a suavização se intensificava, ambas as redes mostraram uma separação reduzida entre as pontuações reais e falsas, com o VGG19 se tornando especialmente instável.

Essas descobertas, indicam os autores, sugerem que os filtros de beleza poderiam ajudar os morfismos a evadir a detecção ainda mais eficazmente do que os deepfakes, levantando sérias preocupações de segurança.

Exemplos parciais (devido à falta de espaço) de como a embelezamento mínima (raio de suavização de 3%) alterou as classificações do AlexNet. À esquerda, uma imagem real é classificada como um ataque após a filtragem, e à direita, uma imagem morfada é classificada como legítima após a filtragem.

Finalmente, os pesquisadores descobriram que mesmo filtros de beleza leves podem degradar significativamente o desempenho dos detectores de deepfakes e morfismo de última geração.

O impacto variou de acordo com a arquitetura, com o AlexNet mostrando uma queda gradual e o VGG19 colapsando sob uma filtragem mínima. Como esses filtros são comuns e não são inerentemente maliciosos, sua capacidade de ocultar ataques representa, sugerem os autores, uma ameaça prática, especialmente em sistemas biométricos. O artigo enfatiza a necessidade de modelos de detecção que sejam robustos a essas manipulações de imagem sutis.

Conclusão

Uma razão pela qual pode ser difícil treinar sistemas de detecção de deepfakes que possam ignorar filtros de beleza é a falta de material contrastante; ultimatemente, a versão “embelezada” é a que se torna amplamente disseminada, e, ao contrário do vídeo que incorporamos anteriormente como ilustração, é muito raro que uma foto “antes” seja aplicada.

Outro obstáculo é que muitos dos filtros realizam exatamente o tipo de suavização típico de operações de compressão ao salvar imagens ou compactar vídeo (um benefício para a largura de banda dos provedores, além de ser um “maquiagem” digital para aqueles que usam o filtro).

O setor de pesquisa de detecção de deepfakes já está profundamente engajado em combater instâncias de degradação de imagem real devido a problemas como câmeras de baixa qualidade, compressão excessiva ou conectividade de rede instável – todas essas condições sendo um benefício direto para os fraudadores de deepfakes, que são forçados a tentar muito mais em um cenário de alta qualidade e alta resolução.

Se os filtros de beleza eventualmente se tornarem ameaçados como uma responsabilidade de segurança parece provável que dependa da extensão com que eles provem um obstáculo para os métodos de detecção de deepfakes, ou acabem constituindo uma espécie de firewall de fato que beneficia mais os malfeitores do que aqueles que os combatem.

Publicado pela primeira vez na quarta-feira, 24 de setembro de 2025