GOTCHA – Система CAPTCHA для живих дипфейків

Нові дослідження Нью-Йоркського університету додають до зростаючих вказівок на те, що нам можуть скоро довести пройти еквівалент “тесту на наявність алкоголю” для автентифікації себе перед початком чутливого відеозв’язку – наприклад, відеоконференції на роботі або будь-якої іншої чутливої ситуації, яка може привабити шахраїв, які використовують програмне забезпечення для потокової передачі дипфейків в режимі реального часу.

Деякі активні та пасивні виклики, застосовані до сценаріїв відеодзвінків у GOTCHA. Користувач повинен виконувати завдання та проходити виклики, а також додаткові «пасивні» методи (наприклад, спроба перевантаження потенційної системи дипфейків) використовуються над якими учасник не має впливу. Джерело: http://export.arxiv.org/pdf/2210.06186

Предложена система називається GOTCHA – данина системам CAPTCHA, які стали все більшим перепонам для перегляду веб-сторінок за останні 10-15 років, у яких автоматизовані системи вимагають від користувача виконання завдань, які машини виконують погано, наприклад, розпізнавання тварин або розшифровку закодованого тексту (і, іронічно, ці виклики часто перетворюють користувача на безкоштовного анотатора типу AMT).

У суті, GOTCHA розширює роботу серпня 2022 року DF-Captcha з Університету Бен-Гуріона, який був першим, хто запропонував зробити людину на іншому кінці дзвінка стрибати через кілька візуально-семантичних колец, щоб довести свою автентичність.

Август 2022 року робота Університету Бен-Гуріона вперше запропонувала ряд інтерактивних тестів для користувача, включаючи закриття обличчя рукою або навіть натискання на шкіру – завдання, які навіть добре треновані системи дипфейків у режимі реального часу можуть не передбачити або не впоратися з ними фотореалістично. Джерело: https://arxiv.org/pdf/2208.08524.pdf

Відзначено, що GOTCHA додає «пасивні» методи до «каскаду» запропонованих тестів, включаючи автоматичне накладення нереальних елементів на обличчя користувача, а також «перевантаження» кадрів, що проходять через систему джерела. Однак тільки завдання, на які реагує користувач, можна оцінити без спеціальних дозволів на доступ до локальної системи користувача – які, мабуть, прийдуть у вигляді локальних модулів або додатків до популярних систем, таких як Skype і Zoom, або навіть у вигляді спеціального пропрієтарного програмного забезпечення, призначеного для виключення фальшивих користувачів.

З паперу, ілюстрація взаємодії між дзвоником та системою у GOTCHA, з пунктирними лініями як потоки рішень.

Дослідники перевірили систему на новому наборі даних, який містить понад 2,5 мільйона відеокадрів від 47 учасників, кожний з яких виконав 13 викликів з GOTCHA. Вони стверджують, що ця структура викликає «сталі та вимірювані» зниження якості контенту дипфейків для шахрайських користувачів, перевантажуючи локальну систему до тих пір, поки очевидні артефакти не стануть очевидними для людського ока (хоча GOTCHA також містить деякі більш тонкі алгоритмічні методи аналізу).

Новий папір називається Gotcha: Система викликів та відповідей для виявлення дипфейків у режимі реального часу (ім’я системи великими літерами в тілі, але не в заголовку публікації, хоча це не акронім).

Ряд викликів

Більшість викликів, з якими стикається користувач, поділяються на кілька типів завдань.

Для закриття користувачу потрібно або закрити обличчя рукою, або іншими об’єктами, або показати обличчя під кутом, який не був навченений у моделі дипфейків (зазвичай через відсутність навчальних даних для «дивних» поз).

Окрім дій, які користувач може виконувати самостійно згідно з інструкціями, GOTCHA може накладати випадкові виїми обличчя, наклейки та фільтри доповненої реальності, щоб «запсувати» потік обличчя, який очікує локальна тренована модель дипфейків, що призводить до її відмови. Як зазначено раніше, хоча це «пасивний» процес для користувача, це інвазивний процес для програмного забезпечення, яке повинно мати можливість втручатися безпосередньо у потік кінцевого кореспондента.

Далі користувачу може бути потрібно показати обличчя у незвичайних виразах, які, ймовірно, будуть відсутні або недостатньо представлені в будь-якому наборі тренувальних даних, що призводить до зниження якості виходу дипфейків (зображення «б», другий стовпець зліва, у першій ілюстрації вище).

У рамках цього напрямку тестів користувачу може бути потрібно прочитати текст або вступити в розмову, яка призначена для виклику локальної системи дипфейків у режимі реального часу, яка може не мати достатнього діапазону фонем або інших типів даних про рух губ, щоб точно відтворити рух губ під таким контролем.

Нарешті (і це викликатиме акторські здібності кінцевого кореспондента), у цьому напрямку користувачу може бути потрібно виконати «мікровираз» – короткий і невольовий вираз обличчя, який розкриває емоцію. Про це папір говорить: ‘[це] зазвичай триває 0,5-4,0 секунди і важко підробити’.

Хоча папір не описує, як витягнути мікровираз, логіка говорить, що єдиний спосіб зробити це – створити відповідну емоцію у кінцевого користувача, можливо, з допомогою якогось шокуючого контенту, представленого йому як частина тестового режиму.

Вигин обличчя, освітлення та несподівані гості

Додатково, у відповідності з пропозиціями серпня, нова робота пропонує просити кінцевого користувача виконувати незвичайні вигини обличчя та маніпуляції, наприклад, натискання пальцем на щоку, взаємодію з обличчям та/або волоссям, а також виконання інших рухів, які жодна поточна система дипфейків у режимі реального часу не зможе впоратися добре, оскільки ці маргінальні дії – навіть якщо вони були присутні у наборі тренувальних даних, їх відтворення буде, ймовірно, низької якості, у відповідності з іншими «відхиленнями» даних.

Усмішка, але це «задепресоване обличчя» не перекладається добре локальною системою дипфейків у режимі реального часу.

Додатковим викликом є зміна умов освітлення, у яких знаходиться кінцевий користувач, оскільки можливо, що навчання моделі дипфейків було оптимізовано для стандартних ситуацій освітлення відеоконференцій, або навіть точних умов освітлення, у яких відбувається дзвінок.

Таким чином, користувачу може бути потрібно направити світло мобільного телефону на обличчя, або якимось іншим чином змінити освітлення (і варто відзначити, що цей підхід є центральною пропозицією іншого паперу про виявлення дипфейків у режимі реального часу, який вийшов цього літа).

Системи дипфейків у режимі реального часу викликаються несподіваним освітленням – і навіть кількома людьми у потоці, де очікувався лише один індивід.

У випадку, якщо запропонована система має можливість втручатися у локальний потік користувача (який підозрюється у наявності посередника дипфейків), додавання несподіваних узорів (див. середній стовпець вище) може скомпрометувати здатність алгоритму дипфейків підтримувати симуляцію.

Додатково, хоча це нереально очікувати, що кореспондент матиме додаткових людей, щоб допомогти йому автентифікувати себе, система може втрутитися додаткових облич (праворуч вище), і побачити, чи зробить будь-яка локальна система дипфейків помилку, перейшовши увагу – або навіть спробувавши створити дипфейки для всіх них (автокодуючі системи дипфейків не мають «визнання ідентичності», яке могло б тримати увагу на одному індивіді в цьому сценарії).

Стеганографія та перевантаження

GOTCHA також включає підхід першого запропонованого Університетом Каліфорнії в Сан-Дієго у квітні цього року, який використовує стеганографію для шифрування повідомлення у локальний відеопотік користувача. Процедури дипфейків повністю знищать це повідомлення, що призведе до відмови у автентифікації.

З квітня 2022 року паперу Університету Каліфорнії в Сан-Дієго та Державного університету Сан-Дієго, метод визначення справжньої ідентичності шляхом перевірки того, чи виживає стеганографічний сигнал, надісланий у відеопотік користувача, локальний цикл цілий – якщо ні, то можуть бути присутні хитрощі дипфейків. Джерело: https://arxiv.org/pdf/2204.01960.pdf

Додатково, GOTCHA здатний перевантажити локальну систему (при наявності доступу та дозволу), дублікуючи потік і представляючи «надмірні» дані будь-якій локальній системі, призначені для виклику відмови у роботі локальної системи дипфейків.

Система містить подальші тести (див. папір для подробиць), включаючи виклик у випадку смартфонного кореспондента, щоб перевернути телефон догори дном, що викривить локальну систему дипфейків:

Знову ж таки, це працюватиме лише у випадку переконливого використання, коли користувач змушений надати місцевий доступ до потоку, і не може бути реалізовано простою пасивною оцінкою відеопотоку користувача, на відміну від інтерактивних тестів (наприклад, натискання пальцем на обличчя).

Практичність

Папір коротко торкається ступеня, у якому тести такого типу можуть розчарувати кінцевого користувача або якимось чином заважати йому – наприклад, зобов’язуючи користувача мати під рукою ряд об’єктів, які можуть знадобитися для тестів, таких як окуляри.

Він також визнає, що може бути складно змусити впливових кореспондентів виконувати тестові процедури. У разі відеодзвінка з генеральним директором автори зазначають:

‘Зручність використання може бути ключовим тут, тому неформальні або фривольні виклики (наприклад, вигини обличчя або вирази) можуть бути не підходящими. Виклики, що використовують зовнішні фізичні статті, можуть бути нежаданими. Контекст тут змінюється належним чином, і GOTCHA адаптує свій набір викликів відповідно.’

Дані та тести

GOTCHA була протестована проти чотирьох штамів локальної системи дипфейків у режимі реального часу, включаючи дві варіації дуже популярного автокодуючого творця дипфейків DeepFaceLab (‘DFL’, хоча папір дивно не згадує DeepFaceLive, який з серпня 2021 року є «живим» варіантом DeepFaceLab і здається найбільш ймовірним початковим ресурсом для потенційного фальсифікатора).

Чотири системи були DFL, треновані «легко» на невідомій людині, яка бере участь у тестах, і парній знаменитості; DFL, треновані більш повно, до 2 мільйонів+ ітерацій або кроків, у яких можна очікувати набагато більш продуктивну модель; Latent Image Animator (LIA); і Face Swapping Generative Adversarial Network (FSGAN).

Для даних дослідники захопили та куратори набір відеокліпів, що містять понад 2,5 мільйона відеокадрів від 47 учасників, кожний з яких виконав 13 активних викликів з GOTCHA, причому кожен користувач виводить близько 5-6 хвилин відео 1080p при 60 кадрах в секунду. Автори також зазначають, що ці дані згодом будуть опубліковані.

Виявлення аномалій можна виконувати або людиною-спостерігачем, або алгоритмічно. Для другого варіанту система була тренована на 600 обличчях з набору даних FaceForensics. Функція втрат регресії була потужною навченою перцептивною подібністю зображення (LPIPS), тоді як бінарна перехресна ентропія використовувалася для тренування класифікатора. EigenCam використовувався для візуалізації вагів детектора.

Основні результати тестів для GOTCHA.

Дослідники виявили, що для повного каскаду тестів через чотири системи найменша кількість і тяжкість аномалій (тобто артефактів, які б розкрили присутність системи дипфейків) були отримані вищою тренованою розподіленою DFL. Менш тренована версія особливо боролася з відтворенням складних рухів губ (які займають дуже мало кадру, але які отримують високу увагу людини), тоді як FSGAN займала середню позицію між двома версіями DFL, а LIA виявилася цілком нездатною до виконання завдання, з думкою дослідників, що LIA буде провалена у реальному розгортанні.

Перша публікація 17 жовтня 2022 року.