As ‘Rotas Secretas’ Que Podem Frustrar os Sistemas de Reconhecimento de Pedestres

Uma nova colaboração de pesquisa entre Israel e Japão sustenta que os sistemas de detecção de pedestres possuem fraquezas inerentes, permitindo que indivíduos bem informados evitem os sistemas de reconhecimento facial navegando por rotas cuidadosamente planejadas em áreas onde as redes de vigilância são menos eficazes.

Com a ajuda de imagens públicas de Tóquio, Nova York e São Francisco, os pesquisadores desenvolveram um método automatizado de cálculo dessas rotas, com base nos sistemas de reconhecimento de objetos mais populares provavelmente utilizados em redes públicas.

As três cruzamentos utilizados no estudo: Shibuya Crossing em Tóquio, Japão; Broadway, Nova York; e Castro District, São Francisco. Fonte: https://arxiv.org/pdf/2501.15653

Por esse método, é possível gerar mapas de calor de confiança que demarcam áreas dentro da imagem da câmera onde os pedestres são menos prováveis de fornecer um acerto positivo de reconhecimento facial:

À direita, vemos o mapa de calor de confiança gerado pelo método dos pesquisadores. As áreas vermelhas indicam baixa confiança, e uma configuração de postura, pose da câmera e outros fatores que provavelmente impedem o reconhecimento facial.

Em teoria, tal método poderia ser instrumentalizado em um aplicativo de localização ou alguma outra plataforma para disseminar as rotas menos ‘amigáveis’ ao reconhecimento de A a B em qualquer local calculado.

O novo artigo propõe tal metodologia, intitulada Técnica de Privacidade Baseada em Localização (L-PET); também propõe uma contramedida intitulada Limiar Adaptativo Baseado em Localização (L-BAT), que basicamente executa as mesmas rotinas, mas então usa as informações para reforçar e melhorar as medidas de vigilância, em vez de criar maneiras de evitar ser reconhecido; e, em muitos casos, tais melhorias não seriam possíveis sem investimento adicional na infraestrutura de vigilância.

O artigo, portanto, estabelece um potencial guerra tecnológica de escalada entre aqueles que buscam otimizar suas rotas para evitar detecção e a capacidade dos sistemas de vigilância de fazer uso total das tecnologias de reconhecimento facial.

Métodos anteriores de frustrar a detecção são menos elegantes do que este, e centram-se em abordagens adversárias, como TnT Attacks, e o uso de padrões impressos para confundir o algoritmo de detecção.

O trabalho de 2019 ‘Fooling automated surveillance cameras: adversarial patches to attack person detection’ demonstrou um padrão impresso adversário capaz de convencer um sistema de reconhecimento de que nenhuma pessoa é detectada, permitindo uma espécie de ‘invisibilidade’. Fonte: https://arxiv.org/pdf/1904.08653

Os pesquisadores por trás do novo artigo observam que sua abordagem requer menos preparação, com nenhuma necessidade de criar itens vestíveis adversários (veja imagem acima).

O artigo é intitulado Uma Técnica de Privacidade para Evitar Detecção por Câmeras de Vídeo de Rua sem Usar Acessórios Adversários, e vem de cinco pesquisadores da Universidade Ben-Gurion do Negev e da Fujitsu Limited.

Método e Testes

De acordo com trabalhos anteriores, como Adversarial Mask, AdvHat, padrões adversários, e várias outras saídas semelhantes, os pesquisadores supõem que o pedestre ‘atacante’ sabe qual sistema de detecção de objetos está sendo usado na rede de vigilância. Isso não é uma suposição irrazoável, devido à ampla adoção de sistemas de código aberto de ponta, como YOLO, em sistemas de vigilância de empresas como Cisco e Ultralytics (atualmente a força central no desenvolvimento do YOLO).

O artigo também supõe que o pedestre tem acesso a um fluxo de vídeo ao vivo na internet fixado nos locais a serem calculados, o que, novamente, é uma suposição razoável na maioria dos lugares prováveis de ter uma intensidade de cobertura.

Sites como 511ny.org oferecem acesso a muitas câmeras de vigilância na área de Nova York. Fonte: https://511ny.or

Além disso, o pedestre precisa ter acesso ao método proposto e à cena em si (ou seja, as cruzamentos e rotas em que uma rota ‘segura’ é a ser estabelecida).

Para desenvolver a L-PET, os autores avaliaram o efeito do ângulo do pedestre em relação à câmera; o efeito da altura da câmera; o efeito da distância; e o efeito do horário do dia. Para obter a verdade do terreno, eles fotografaram uma pessoa nos ângulos 0°, 45°, 90°, 135°, 180°, 225°, 270° e 315°.

Observações de verdade do terreno realizadas pelos pesquisadores.

Eles repetiram essas variações em três alturas de câmera diferentes (0,6m, 1,8m, 2,4m) e com condições de iluminação variadas (manhã, tarde, noite e condições de ‘laboratório’).

Alimentando essas imagens ao Faster R-CNN e YOLOv3 detectores de objetos, eles descobriram que a confiança do objeto depende da acuidade do ângulo do pedestre, da distância do pedestre, da altura da câmera e das condições de iluminação*.

Os autores então testaram uma gama mais ampla de detectores de objetos no mesmo cenário: Faster R-CNN; YOLOv3; SSD; DiffusionDet; e RTMDet.

Os autores afirmam:

‘Descobrimos que todos os cinco arquitetos de detecção de objetos são afetados pela posição do pedestre e pela luz ambiente. Além disso, descobrimos que, para três dos cinco modelos (YOLOv3, SSD e RTMDet), o efeito persiste em todos os níveis de luz ambiente.’

Para estender o escopo, os pesquisadores usaram imagens tiradas de câmeras de trânsito públicas em três locais: Shibuya Crossing em Tóquio, Broadway em Nova York e o Castro District em São Francisco.

Cada local forneceu entre cinco e seis gravações, com aproximadamente quatro horas de imagens por gravação. Para analisar o desempenho da detecção, um quadro foi extraído a cada dois segundos e processado usando um detector de objetos Faster R-CNN. Para cada pixel nos quadros obtidos, o método estimou a confiança média das caixas de detecção de ‘pessoa’ presentes naquele pixel.

‘Descobrimos que, em todos os três locais, a confiança do detector de objetos variou dependendo da localização das pessoas no quadro. Por exemplo, nas imagens do Shibuya Crossing, há grandes áreas de baixa confiança mais distantes da câmera, bem como mais próximas da câmera, onde um poste parcialmente obscurece pedestres que passam.’

O método L-PET é basicamente esse procedimento, argumentavelmente ‘armado’ para obter uma rota por uma área urbana que é menos provável resultar no pedestre sendo reconhecido com sucesso.

Em contraste, o L-BAT segue o mesmo procedimento, com a diferença de que atualiza as pontuações no sistema de detecção, criando um loop de feedback projetado para obviar a abordagem L-PET e tornar as ‘áreas cegas’ do sistema mais eficazes.

(Em termos práticos, no entanto, melhorar a cobertura com base em mapas de calor obtidos exigiria mais do que apenas uma atualização da câmera sentada na posição esperada; com base nos critérios de teste, incluindo localização, exigiria a instalação de câmeras adicionais para cobrir as áreas negligenciadas – portanto, pode-se argumentar que o método L-PET escala essa ‘guerra fria’ particular para um cenário muito caro mesmo)

A confiança média de detecção de pedestres para cada pixel, em diferentes estruturas de detecção, na área observada da Castro Street, analisada em cinco vídeos. Cada vídeo foi gravado sob condições de iluminação diferentes: nascer do sol, dia, pôr do sol e dois cenários noturnos distintos. Os resultados são apresentados separadamente para cada cenário de iluminação.

Ao converter a representação matricial baseada em pixel em uma representação gráfica adequada para a tarefa, os pesquisadores adaptaram o algoritmo de Dijkstra para calcular caminhos ótimos para pedestres navegarem por áreas com detecção de vigilância reduzida.

Em vez de encontrar o caminho mais curto, o algoritmo foi modificado para minimizar a confiança de detecção, tratando regiões de alta confiança como áreas com ‘custo’ mais alto. Essa adaptação permitiu que o algoritmo identificasse rotas que passam por pontos cegos ou zonas de baixa detecção, efetivamente guiando pedestres ao longo de rotas com visibilidade reduzida para sistemas de vigilância.

Uma visualização que mostra a transformação do mapa de calor da cena de uma matriz baseada em pixel para uma representação baseada em gráfico.

Os pesquisadores avaliaram o impacto do sistema L-BAT na detecção de pedestres com um conjunto de dados construído a partir das gravações de quatro horas de tráfego de pedestres públicos. Para popular o conjunto, um quadro foi processado a cada dois segundos usando um detector de objetos SSD.

De cada quadro, uma caixa delimitadora foi selecionada contendo uma pessoa detectada como uma amostra positiva, e outra área aleatória sem pessoas detectadas foi usada como uma amostra negativa. Essas amostras gêmeas formaram um conjunto de dados para avaliar dois modelos Faster R-CNN – um com L-BAT aplicado e outro sem.

O desempenho dos modelos foi avaliado verificando como eles identificavam amostras positivas e negativas com precisão: uma caixa delimitadora que sobrepujava uma amostra positiva era considerada um verdadeiro positivo, enquanto uma caixa delimitadora que sobrepujava uma amostra negativa era rotulada como um falso positivo.

As métricas usadas para determinar a confiabilidade de detecção do L-BAT foram Área Sob a Curva (AUC); taxa de verdadeiro positivo (TPR); taxa de falso positivo (FPR); e confiança média de verdadeiro positivo. Os pesquisadores afirmam que o uso do L-BAT melhorou a confiança de detecção enquanto mantinha uma taxa de verdadeiro positivo alta (embora com um ligeiro aumento de falsos positivos).

Em conclusão, os autores notam que a abordagem tem algumas limitações. Uma delas é que os mapas de calor gerados por seu método são específicos de um horário do dia. Embora eles não o expliquem, isso indicaria que uma abordagem mais ampla e multi-nível seria necessária para levar em conta o horário do dia em um cenário de implantação mais flexível.

Eles também observam que os mapas de calor não se transferirão para diferentes arquiteturas de modelo, e estão vinculados a um modelo de detector de objetos específico. Como o trabalho proposto é essencialmente um conceito de prova, arquiteturas mais hábeis também poderiam ser desenvolvidas para remediar essa dívida técnica.

Conclusão

Qualquer novo método de ataque para o qual a solução é ‘pagar por novas câmeras de vigilância’ tem alguma vantagem, pois expandir redes de câmeras cívicas em áreas altamente vigiadas pode ser politicamente desafiador, bem como representar um gasto cívico notável que geralmente precisará de um mandato de votante.

Talvez a maior pergunta colocada pelo trabalho seja ‘Os sistemas de vigilância de código fechado utilizam frameworks de código aberto de ponta, como o YOLO?’. Isso, é claro, é impossível de saber, pois os fabricantes dos sistemas proprietários que alimentam muitas redes de câmeras estatais e cívicas (pelo menos nos EUA) argumentariam que divulgar tal uso poderia abri-los a ataques.

No entanto, a migração da TI do governo e do código proprietário interno para o código de código aberto global sugeriria que qualquer um que testasse a afirmação dos autores (por exemplo) com o YOLO poderia muito bem acertar na loteria imediatamente.

* Eu normalmente incluiria resultados de tabela relacionados quando são fornecidos no artigo, mas, neste caso, a complexidade das tabelas do artigo as torna pouco esclarecedoras para o leitor casual, e um resumo é, portanto, mais útil.

Publicado pela primeira vez na terça-feira, 28 de janeiro de 2025