Skönhetfilter är ett potentiellt verktyg för deepfake-attacker

Skönhetfilter gör nu mer än att dölja defekter: de kan hjälpa deepfakes och ansiktsmorferingar att undgå upptäcktsystem. En ny studie visar att även subtila utjämningsfilter kan förvirra AI-detektorer, vilket gör att falska bilder ser ut att vara äkta och äkta ser ut att vara falska. Om trenden fortsätter kan skönhetfilter möta restriktioner i högriskssammanhang, från gränskontroll till företags-Zoom-samtal.

I ett akademiskt samarbete 2024 mellan Spanien och Italien rapporterade forskare att 90% av kvinnor i åldern 18-30 använde skönhetfilter innan de publicerade bilder på sociala medier. I detta sammanhang är skönhetfilter algoritmiska eller AI-baserade metoder för att ändra ansiktsutseendet så att det anses förbättrat jämfört med originalet:

Från 2024-studien: exempel på kvinnliga (vänster) och manliga (höger) ansikten före och efter skönhetfilter. Filtreringen ändrade funktioner som hudton, ögon, näsa, läppar, haka och kindben för att förbättra upplevd attraktivitet. Källa: https://arxiv.org/pdf/2407.11981

Sådana filter är också allmänt tillgängliga som inbyggd eller tilläggsfunktion i populära video-baserade system, inklusive Snapchat och Zoom, och erbjuder möjligheten att jämna ut “ofullkomliga” hud och till och med ändra åldern på personen, till den grad att identiteten kan sägas vara väsentligt ändrad:

Klicka för att spela: tre kvinnor stänger av sina video-“förskönings”-filter, vilket visar i vilken utsträckning deras fysionomi ändras av algoritmerna eller AI. Källa: https://www.youtube.com/watch?v=gtCpea_5qxw

Fenomenet tycks ha nått en kulmen så snart tekniken var relativt mogen; en studie från 2020 från City University of London visade att 90% av unga Snapchat-användare i USA, Frankrike och Storbritannien använde filter i sina appar, medan Meta rapporterade att mer än 600 miljoner unga människor hade använt filter på Facebook eller Instagram.

Genom att undersöka de negativa effekterna av sådana filter på mental hälsa, en rapport från Psychology Today upprepade att 90% av unga kvinnor, med en genomsnittsålder på 20, antingen använde filter eller på något sätt redigerade sina foton. De mest populära filtren var de som användes för att jämna ut hudtoner; ge en solbränd utseende; vitna tänder; och till och med minska kroppsstorlek.

Face Off

Eftersom ansiktsfilter är på väg att dra nytta av 2025 års revolution inom video-syntes och mer allmänt från det pågående intresset för detta forskningsområde, är det alltmer som gnager mot säkerhetsgemenskapens oro över bedrägliga eller brottsliga deepfake-video-tekniker.

En fråga är att det finns ett antal “enkla” tester som har utvecklats under de senaste åren för att avslöja en video-deepfaker, som kan försöka bedra stora mängder pengar i ett företagssammanhang, men som nu blir alltmer ineffektiva eftersom dessa Achilles-hälar tas med i träningdata och vid inferenstid:

Klicka för att spela: för några år sedan var att vinka med handen framför en deepfake-ansikte ett tillförlitligt test för videotal, men vi kan se att dedikerade insatser från liknande TikTok gör djupa inbrytningar i de klassiska “tecknen”. Källor: Ibid och https://archive.is/mofRV#wavehands

Mer kritiskt är att den allmänna användningen av ansiktsändrande/förskönande filter förvirrar vattnet för en ny och framväxande generation av deepfake-detektorer som har i uppgift att hålla bedragare utanför företags-videomöten och borta från potentiella offer för “kidnappnings”- och “bedragare”-bedrägeri.

Det är lättare att göra en deepfake övertygande, antingen foto eller video, om bilden har låg upplösning eller är på något sätt försämrad, eftersom det underliggande falska systemet kan dölja sina egna brister bakom vad som ser ut att vara anslutnings- eller plattformsproblem.

I själva verket tar de mest populära försköningsfiltren bort några av de mest användbara materialet för att identifiera video-deepfakes, såsom hudtextur och andra ansiktsdetaljer – och det är värt att överväga att ju äldre ett ansikte är, desto mer detaljer är det troligt att innehålla, och därmed kan användningen av skönhetfilter för åldersförändring vara en särskild frestelse i sådana fall.

Om en detaljfri “android”-liknande utseende är modernt, kan deepfake-detektorer sakna materialet de behöver för att skilja på riktiga och falska bilder och videopersoner. Källa: https://www.instagram.com/reel/DMyGerPtTPF/?hl=sv

Den kungliga samfundets sena 2024-rapport “Vad som är vackert är fortfarande bra: den attraktiva haloeffekten i skönhetfilterns era” bekräftade att användningen av filter allmänt ökar allmän attraktivitet över båda könen (även om ökad attraktivitet tenderar att sänka den allmänna uppskattningen av intelligens hos kvinnor med skönhetfilter):

Därför är det rimligt att säga att detta är en populär teknik; att den fungerar; och att det skulle vara en sorts kulturschock om den plötsligt blev föremål för säkerhetsbegränsningar eller förbjuden i olika sammanhang.

Likväl, under en period då video-deepfakes hotar att bli oändliga från riktiga videodeltagare, både till utseende och tal, är det möjligt att den globala “bruset” från skönhetfilter kan behöva mildras i framtiden, av säkerhetsskäl.

Smooth Criminals

Frågan har undersökts i en ny rapport från Universitetet i Cagliari i Italien, med titeln “Bedräglig skönhet: utvärdering av skönhetfilterns påverkan på deepfake- och morf-attack-detektion”.

I den nya studien tillämpade forskarna skönhetfilter på ansikten från två benchmark-dataset och testade flera deepfake- och morf-attack-detektorer på både original- och ändrade bilder.

I nästan alla fall minskade detektionsnoggrannheten efter förskönande; de mest dramatiska minskningarna inträffade när filter jämnde ut rynkor, ljusade hudton eller subtilt omformade ansiktsdrag. Dessa förändringar tog bort eller förvrängde de signaler som detektionsmodellerna förlitar sig på.

Till exempel minskade den bästa modellen på MorphDB med mer än 9% noggrannhet efter filtrering, och problemet kvarstod över flera detektionsarkitekturer, vilket indikerar att nuvarande system inte är robusta mot vanliga kosmetiska förbättringar.

Författarna slutsatsar:

‘Försköningsfilter utgör en fara för biometrisk autentisering och forensisk analys, och gör robust deepfake- och morf-attack-detektion under sådana förhållanden till en kritisk öppen utmaning.

‘Framtida arbete bör prioritera utvecklingen av digital manipulering-detektionssystem som är robusta mot sådana subtila, realistiska ändringar, antingen avsiktliga eller inte, för att säkerställa tillförlitlig identitetsigenkänning och innehållsverifiering i vardagliga och säkerhetskritiska sammanhang.’

Metod och data

För att utvärdera hur skönhetfilter påverkar deepfake- och morf-attack-detektion tillämpade forskarna en progressiv utjämningsfilter och testade resultaten på två benchmark-konvolutionsneurala nätverk (CNN) som är väl associerade med målproblemet: AlexNet och VGG19.

Vart och ett av de två benchmark-dataset som testades innehöll exempel på lämpliga ansiktsmanipulationer. Det första var CelebDF, en stor video-benchmark som innehåller 590 riktiga och 5 639 förfalskade klipp skapade genom avancerade ansiktsbytestekniker. Samlingen erbjuder en stor variation av belysningsförhållanden, huvudpositioner och naturliga uttryck över 59 individer, vilket gör den väl lämpad för att utvärdera robustheten hos deepfake-detektorer i realistiska mediescenario:

Exempel på påverkade ansiktsbilder från CelebDF. Källa: https://github.com/yuezunli/celeb-deepfakeforensics

Det andra var AMSL (registrering krävs), en morf-attack-dataset byggd från Face Research Lab London-samlingen, som innehåller både riktiga och syntetiskt blandade ansikten. Datasetet innehåller neutrala och leende uttryck från 102 ämnen och var strukturerat för att återspegla realistiska utmaningar för biometrisk autentiseringssystem som används i sammanhang som gränskontroll.

Bilder från källan Face Research Lab London-set (FRLL)-dataset, som används i AMSL. Källa: https://figshare.com/articles/dataset/Face_Research_Lab_London_Set/5047666?file=8541955

Vart och ett av nätverken tränades på 80% av deepfake- eller morf-attack-dataset, med de återstående 20% använda för validering. För att testa robusthet mot förskönande tillämpade forskarna sedan en progressiv utjämningsfilter på testbilderna, med ökande utjämningsradie från 3% till 5% av ansiktshöjden:

Exempel på ansikten från CelebDF (överst) och AMSL (nederst) dataset, visade före och efter tillämpning av ett utjämningsbaserat skönhetfilter. Filterradien skalades relativt till ansiktshöjden, med c = 3% och c = 5% som producerade progressivt starkare effekter.

Vad gäller mått utvärderades varje modell med hjälp av lika felhastighet (EER) på både original- och förskönade testprover. Analysen rapporterade också Bona Fide Presentation Classification Error Rate (BPCER), eller falsk positivhastighet, och Attack Presentation Classification Error Rate (APCER), eller falsk negativhastighet, med tröskelvärdet inställt på originaldata.

Morfade ansikten från AMSL-datasetet.

För att ytterligare utvärdera prestanda undersöktes området under ROC-kurvan (AUC) och poängfördelningarna för riktiga och falska bilder.

Tester

I deepfake-detektionsresultaten visade båda nätverken en ökning av lika felhastighet när förskönande intensitet ökade. AlexNets EER steg från 22,3% på originalbilderna till 28,1% på den högsta utjämningsnivån, medan VGG19:s ökade från 30,2% till 35,2%. Prestandafallet följde olika mönster i varje fall:

Deepfake-detektionsresultat på CelebDF-dataset med AlexNet och VGG19. Båda modellerna testades på original- och förskönade bilder med ökande nivåer av ansiktsutjämnande. Mått som visas inkluderar lika felhastighet (EER), Bona Fide Presentation Classification Error Rate (BPCER) och Attack Presentation Classification Error Rate (APCER), med tröskelvärden fastställda från originaltestuppsättningen. Detektionsnoggrannheten minskade när förskönande intensitet ökade, även om mönstret av försämring skilde sig mellan arkitekturerna.

När förskönande ökade blev AlexNet mer benägna att misstaga riktiga ansikten för falska, vilket visas av en stadig ökning av dess falska positivhastighet (BPCER). VGG19, å andra sidan, hade mest svårt att upptäcka de falska ansiktena själva, med en ökande falsk negativhastighet (APCER). De två modellerna svarade olika på filtren, vilket indikerar att även välkända arkitekturer kan misslyckas på olika sätt när de möter kosmetiska ändringar.

För att bättre förstå dessa resultat tillämpade forskarna försköningsfiltret separat på riktiga och falska bilder och mätte påverkan på detektionsprestanda. Denna nedbrytning, som visas i resultattabellen nedan, klargör källan till varje modells sårbarhet:

Detektionsnoggrannhet för AlexNet och VGG19 under partiell förskönande på CelebDF-dataset. Tabellen rapporterar tre scenarier: förskönade riktiga vs förskönade falska (F-Real vs F-Fake); förskönade riktiga vs original falska (F-Real vs O-Fake); och original riktiga vs förskönade falska (O-Real vs F-Fake), med en minskning av noggrannhet som indikerar minskad detektorprestanda. AlexNet påverkades mest när riktiga bilder förskönades, medan VGG19 hade mest svårt när förskönande tillämpades på falska bilder.

För AlexNet minskade detektionsprestandan när riktiga bilder förskönades, men förbättrades när endast falska bilder utjämnades. För VGG19 förbättrades prestandan något med förskönade riktiga bilder, men försämrades när deepfakes filtrerades. I alla fall minskade starkare förskönande noggrannheten.

Box-plots som visar utmatningsskördefördelningarna för AlexNet och VGG19 på riktiga och falska prover från CelebDF-dataset, under ökande nivåer av förskönande. När utjämningsintensiteten ökar blir skördefördelningarna för riktiga och falska bilder mindre separerbara, vilket indikerar minskad detektions tillförlitlighet. AlexNet blir mindre säker på att identifiera riktiga ansikten, medan VGG19 blir mer benägna att misstolka falska ansikten.

Förskönande gjorde AlexNets utmatningsskörder mer enhetliga över både riktiga och falska prover, medan VGG19 visade större spridning inom varje klass. Trots dessa motsatta effekter på skördespridning förlorade båda modellerna noggrannhet. För AlexNet skiftade skörder för riktiga ansikten närmare de för deepfakes. För VGG19 började skörder för riktiga och falska bilder överlappa, vilket minskade modellens förmåga att skilja dem åt.

Rapporten slår fast:

‘Dessa resultat har viktiga implikationer och visar att det är nödvändigt att överväga den potentiella användningen av försköningsfilter i deepfake-detektion, eftersom dessa kan ha en oförutsägbar påverkan på prestanda. I synnerhet svarar olika arkitekturer olika på ansiktsmanipulationer, även om dessa manipulationer inte är avsedda att bedra.

‘Till exempel, beroende på den specifika deepfake-detektorn, kan försköningsfiltren signifikant ändra utmatningen, vilket gör att riktiga bilder identifieras som falska och, mer kritiskt, tillåter deepfakes att lura detektionen.

‘Därför är det nödvändigt att fokusera på utvecklingen av detektorer som är mer robusta mot sådana subtila, inte strikt onda ändringar som kan tjäna som en kamuflage för onda deepfake-manipulationer.’

I morf-attack-scenariot skapades en syntetisk bild genom att blanda ansiktsdrag från två individer. Denna bild användes för att lura ansiktsigenkänningssystem, vilket tillät båda ursprungsidentiteterna att autentiseras som samma person. Sådana attacker anses särskilt relevanta i säkerhetssammanhang, där biometrisk autentisering kan luras att acceptera den morfiska bilden för officiell identifikation.

Tabellen ovan visar morf-attack-detektionsresultat på AMSL-bilder före och efter förskönande, med båda nätverken som visar skarpa felhastighetsökningar när utjämningsintensiteten ökar.

I morf-attack-scenariot försämrades prestandan mer kraftigt än i deepfake-detektion. AlexNets EER steg från 27,6% till 41,2%, och VGG19:s från 19,0% till 37,3%, driven till stor del av falska positiva: äkta ansikten som misstogs för morfer. Med en 3% utjämningsradie nådde VGG19:s falska positivhastighet 90%.

Denna mönster hölls när filter tillämpades selektivt. Utjämnande av riktiga ansikten försämrade detektion, medan utjämnande av endast morfiska ansikten förbättrade resultaten. När utjämningsintensiteten ökade visade båda nätverken minskad separation mellan riktiga och falska poäng, med VGG19 som blev särskilt instabil.

Dessa fynd, som författarna indikerar, tyder på att skönhetfilter kan hjälpa morfer att undgå upptäckt även mer effektivt än deepfakes, vilket väcker allvarliga säkerhetsoro.

Delvisa exempel (på grund av platsbrist) på hur minimal förskönande (3% utjämningsradie) ändrade AlexNets klassificeringar. Till vänster är ett riktigt ansikte misstolkat som en attack efter filtrering, och till höger är ett morfat ansikte misstolkat som äkta efter filtrering.

Till slut fann forskarna att även milda försköningsfilter kan signifikant försämra prestandan hos state-of-the-art deepfake- och morf-detektorer.

Forskarna fann att påverkan varierade med arkitektur, med AlexNet som visade en gradvis nedgång och VGG19 som kollapsade under minimal filtrering. Eftersom dessa filter är vanliga och inte nödvändigtvis onda, utgör deras förmåga att dölja attacker en praktisk fara, särskilt i biometrisk autentisering. Rapporten betonar behovet av detektionsmodeller som är robusta mot sådana subtila bildmanipulationer.

Slutsats

En anledning till varför det kan vara svårt att träna deepfake-detektionssystem som kan ignorera skönhetfilter är bristen på kontrasterande material; slutligen är det “förskönade” versionen som sprids i stor utsträckning, och, till skillnad från videon vi infogade tidigare som en illustration, är det mycket ovanligt att en “före”-bild tillämpas.

En annan hinder är att många av filtren utför exakt den typ av utjämnande som är typiskt för komprimeringsoperationer när man sparar bilder eller komprimerar video (en fördel för leverantörernas bandbredd, förutom att vara en digital hudförbättring för de som använder filtret).

Deepfake-detektionsforskningssektorn är redan djupt engagerad i att bekämpa fall av verkliga bildförsämringar på grund av problem som dåliga kameror, överdriven komprimering eller hackig nätverksanslutning – alla sådana förhållanden är en direkt fördel för deepfake-bedragare som tvingas anstränga sig mycket mer i en högkvalitativ, högupplöst situation.

Om skönhetfilter till slut kommer att hotas som en säkerhetsrisk verkar troligen bero på den utsträckning till vilken de visar sig vara ett hinder för deepfake-skriningsmetoder, eller om de kommer att utgöra en slags de facto-brandvägg som gynnar malfeasants mer än de som bekämpar dem.

Publicerad första gången onsdag, 24 september 2025