- À medida que o reconhecimento facial se espalha amplamente por aeroportos, lojas e fotos online, é muito difícil evitar uma verificação de identidade 1:1 controlada apenas com mudanças realistas na aparência
- Depois da pandemia, é possível que os sistemas tenham passado a depender mais das características ao redor dos olhos; assim, máscaras, óculos escuros e maquiagem extrema funcionam mais como formas de dificultar a detecção do que de mudar o rosto
- Na identificação 1:N, como em imagens de vigilância, imagens de baixa qualidade, obstruções, evitar olhar de frente e desfoque de movimento podem atrapalhar a correspondência, mas o efeito depende do algoritmo, do limiar e das condições de captura
- Também são possíveis formas de evasão ativa, como óculos especiais, maquiagem e máscaras faciais, mas ataques que funcionem para todos têm baixa confiabilidade, enquanto métodos personalizados exigem mais esforço
- Evitar reconhecimento facial está ficando cada vez mais difícil por causa da disseminação da tecnologia e da exposição de rostos online; a defesa de longo prazo está mais próxima da regulação de dados biométricos do que de mudar o rosto
É possível mudar o rosto para evitar reconhecimento facial?
- Com apenas modelos de IA e câmeras, dados biométricos podem ser coletados, e podemos ser expostos ao reconhecimento facial até em situações cotidianas, como segurança de aeroportos ou entrada em lojas
- A pergunta central é se é possível esconder características faciais ou mudar bastante a aparência para enganar algoritmos de IA
- No momento, a forma mais segura de evasão é evitar câmeras, mas esse método também pode se tornar difícil se a tecnologia de reconhecimento facial for implantada de forma mais ampla
- Especialistas em privacidade avaliam que talvez já estejamos em desvantagem na proteção de dados biométricos e que, no longo prazo, a regulação federal pode ser uma forma real de defesa
Sistemas modernos são robustos contra mudanças faciais simples
- Cynthia Rudin avalia que é difícil mudar o rosto de forma realista o suficiente para enganar sistemas de reconhecimento facial de ponta
- Durante a pandemia, com muitas pessoas cobrindo nariz e boca com máscaras, é possível que os sistemas tenham mudado para depender mais do formato dos olhos
- Não está claro como mudar realisticamente o formato dos olhos para enganar um sistema
- Óculos escuros, máscaras e maquiagem extrema podem dificultar a detecção do rosto, mas isso está mais próximo de uma forma de cobrir do que de mudar o rosto em si
- Mesmo que mudanças extremas, como cirurgia plástica, enganem um sistema de reconhecimento, se fotos do rosto com identificação forem publicadas na internet, o reconhecimento facial baseado em busca poderá identificá-lo novamente
- Exemplos incluem um amigo marcar a pessoa em redes sociais ou um vídeo de palestra ser publicado online
- Se o rosto alterado não corresponder à carteira de motorista ou ao passaporte, viajar pode se tornar difícil
A diferença entre verificação 1:1 e identificação 1:N
- Walter Scheirer considera que a dificuldade de evitar reconhecimento facial depende de como o algoritmo é usado
- Na biometria humana, há com frequência dois tipos de correspondência: verificação 1:1 e identificação 1:N
- 1:1 verifica se a pessoa diante da câmera corresponde à identidade alegada, comparando com a foto cadastrada no banco de dados
- Esse método é usado em situações como autenticação de computadores de alta segurança, investigações policiais e embarque em voos internacionais em aeroportos
- 1:N compara a foto de um sujeito desconhecido com um conjunto de fotos cadastradas de identidades de interesse
- Esse método é usado com frequência em ambientes de vigilância baseados em vídeo, incluindo atividades policiais e de inteligência governamental
- Em ambientes 1:1 controlados, a evasão é muito difícil
- Quando a captura é feita de frente, com expressão neutra, boa iluminação e fundo controlado, evasões básicas como maquiagem, adicionar ou remover barba e mudar o penteado não têm efeito
- Sistemas modernos de reconhecimento facial baseados em redes neurais mantêm alta precisão de correspondência mesmo diante de várias mudanças de aparência da mesma pessoa
- Em pesquisas recentes sobre o impacto de cirurgias plásticas, mudanças extremas e esteticamente desfavoráveis na estrutura facial podem ter algum efeito, mas procedimentos cosméticos comuns têm menos impacto do que se imagina
Em ambientes de vigilância, reduzir a qualidade da imagem é uma abordagem realista
- Na identificação 1:N em ambientes de vigilância não controlados, há relativamente mais margem para evasão sem medidas cirúrgicas
- Mesmo boas redes neurais têm dificuldade com fotos de baixa qualidade que não contêm pixels faciais informativos suficientes, e isso fica mais complicado quanto maior for a lista de identidades candidatas
- Os métodos de evasão se concentram em impedir que o algoritmo obtenha bons pixels do rosto
- Em situações não suspeitas, é possível cobrir o rosto com um cachecol no inverno ou óculos escuros em um dia claro
- Um chapéu de aba larga esconde a testa e o cabelo e cria sombras no rosto, tornando-se um fator de interferência
- Cobrir o rosto com a mão também ajuda
- Olhar para baixo enquanto se está em movimento dificulta que câmeras ao redor obtenham uma boa imagem frontal do rosto
- Movimentos rápidos, como correr ou andar de bicicleta, podem criar desfoque de movimento nas fotos capturadas
- O conselho mais prático é saber onde o reconhecimento facial foi implantado e evitar essas áreas
- Por quanto tempo esse conselho continuará válido depende de quão amplamente a tecnologia de reconhecimento facial se disseminará no futuro
Ataques adversariais e mudanças de aparência personalizadas
- Xiaoming Liu define “evasão de reconhecimento facial” como a situação em que um sistema de reconhecimento facial não consegue reconhecer o rosto de um sujeito captado pela câmera
- Entre os métodos para fazer ativamente um sistema de reconhecimento facial falhar estão os ataques adversariais físicos
- Modelos de IA podem falhar com pequenas alterações nos dados de entrada, e sistemas de reconhecimento facial também se enquadram nisso
- O ponto central é encontrar uma pequena alteração específica que faça o sistema de reconhecimento facial falhar
- Há pesquisas, como o caso dos óculos especiais da CMU, em que óculos fazem um sistema de reconhecimento facial falhar
- De forma semelhante, cachecóis, máscaras faciais e bigodes também podem ser projetados
- Também há formas de mudar a aparência para ser confundido com outra pessoa
- Um método comum é a maquiagem
- Onde e quanta maquiagem aplicar varia de pessoa para pessoa
- Pessoas com rostos mais comuns e parecidos com os de outras podem ser confundidas com mudanças relativamente pequenas na maquiagem
- Pessoas com rostos muito únicos precisam de mudanças de maquiagem muito maiores
- Também seria possível um aplicativo de smartphone observar o rosto pela câmera e orientar iterativamente onde começar e que cor de maquiagem usar para, com o mínimo de maquiagem, ser confundido por um sistema de reconhecimento facial
- Máscaras faciais caras também podem ser usadas, mas esse método é mais comum em filmes de Hollywood
- O método 1 é mais fácil para o usuário, mas ataques adversariais universais que funcionam para todos têm baixa confiabilidade
- O método 2 é mais personalizado e pode funcionar melhor, mas exige mais esforço na mesma medida
Embeddings e limiares determinam a dificuldade de evasão
- Kevin W. Bowyer considera que a resposta depende do algoritmo de correspondência facial e do limiar usado por esse algoritmo
- Reconhecimento facial é o processo de comparar duas imagens e decidir se elas são parecidas o suficiente para serem da mesma pessoa ou diferentes o suficiente para serem de pessoas diferentes
- Cada algoritmo de reconhecimento facial calcula, a partir da imagem do rosto, um vetor de características, ou embedding, e compara a similaridade entre dois vetores de características
- Uma imagem de rosto pode ser reduzida a uma lista de 512 números
- A similaridade entre duas imagens de rosto pode sair em uma faixa como 0 a 100 ou -1 a +1
- 100 ou +1 só ocorre ao comparar cópias da mesma imagem e é um resultado raro em situações reais
- Supondo que um algoritmo moderno use a faixa de -1 a +1, pares de imagens de pessoas diferentes podem se concentrar perto de 0,0 ou um pouco acima
- Pares de imagens variadas da mesma pessoa podem se concentrar perto de 0,8 ou um pouco acima
- Quando as condições de captura são bem controladas, como em fotos de carteira de motorista, a similaridade média entre duas imagens da mesma pessoa tende a ser maior
- Quando as condições são menos controladas, como em frames de vídeo na entrada de uma loja, a similaridade média entre duas imagens da mesma pessoa tende a ser menor
- Se o limiar for definido como 0,7, quando a similaridade entre duas imagens for menor que 0,7 o sistema decidirá que são pessoas diferentes; se for 0,7 ou mais, decidirá que são a mesma pessoa
- A pergunta “quanto é preciso mudar a aparência” se transforma em “qual é a melhor forma de reduzir o valor de similaridade quando a nova imagem for comparada à imagem existente”
- Entre os métodos possíveis estão óculos escuros, mudança de penteado, expressões exageradas, não olhar diretamente para a câmera, ganho ou perda de peso e maquiagem
- Nenhum método garante que não haverá correspondência com uma foto existente
- Talvez você não saiba qual foto existente será usada na comparação
- Talvez também não saiba qual algoritmo e qual limiar serão usados
- Se souber essas três coisas, poderá experimentar a abordagem mais eficaz
1 comentários
Opiniões do Hacker News
Tive um pensamento parecido em um aeroporto internacional: deixaram a gente passar sem conferir cartão de embarque nem passaporte e, quando passamos pela porta, nos informaram o número do assento.
No México, um funcionário do aeroporto vendendo timeshare foi agressivo demais, segurou meu braço e tentou me impedir de ir embora. Quando denunciei, o aeroporto imediatamente mostrou imagens de todos os meus deslocamentos dentro do terminal e identificou o funcionário.
Como o texto diz, acho que é só questão de tempo até esses sistemas estarem em todos os lugares. Em hubs de transporte público, eles já vêm sendo normalizados quase sem oposição; em breve, governos locais e estabelecimentos privados também vão adotar, e há uma grande chance de que a reação seja algo como “já fazem isso em aeroportos”, então por que tanto drama em supermercados ou nas calçadas?
Quem pega avião uma ou duas vezes na vida está mais preocupado em lidar com uma situação confusa e corrida do que em perceber que reconhecimento facial é algo novo ou que não se trata de uma medida especial pós-11 de Setembro. A maioria dos americanos nunca foi ao exterior ou só visitou um país, e mesmo assim muitas vezes é para lugares como México ou Canadá, indo de carro ou a pé.
Se algo assim acontecesse em uma rotina familiar, perto de casa, acho que haveria menos estresse e mais espaço para pensar, e as pessoas pelo menos parariam para perguntar o que está acontecendo.
Para alguém que já trabalhou montando rapidamente edições a partir de uma biblioteca de vídeos usando pontos de referência de um banco de dados, é um problema bem interessante. Também fico curioso se o vídeo final era uma edição com cortes juntando bons ângulos, como em filme de espionagem; se era uma tela multicâmera mostrando várias câmeras ao mesmo tempo a partir do momento em que identificaram o voo de chegada; ou se o sistema desenhava uma caixa ao redor da pessoa, como se “soubesse”.
Isso dá vontade de saber o quão distópicos esses sistemas de reconhecimento facial são na prática.
Não havia reconhecimento facial nenhum, mas depois daquela experiência passei a ver vigilância por vídeo com bons olhos.
Mas, em uma busca pública em escala nacional, a taxa de falsos positivos é alta demais para funcionar direito. Fora de um contexto local/temporal, como um incidente em local e hora conhecidos, e especialmente em lugares como os EUA, onde o uso de carros particulares é muito disseminado e as pessoas não deixam tantos rastros, esses sistemas muitas vezes não ajudam muito na prática.
Cidadãos dos EUA podem recusar a captura de foto ao entrar no país, mas quem vai se dar ao trabalho? E assim a coisa continua andando.
O novo romance de Helen Phillips, Hum, trata exatamente dessa questão.
A premissa é a seguinte: uma mulher que perdeu o emprego e está em dificuldades financeiras participa de um estudo no qual um robô avançado altera cirurgicamente seu rosto de forma muito sutil, para que ela se torne objeto de teste de um software de reconhecimento facial de última geração.
O marido trabalha como faz-tudo em bicos, principalmente com controle de pragas, então a renda é péssima; eles têm dois filhos pequenos; e ela participa por medo de serem despejados. O estudo paga adiantado uma quantia grande o suficiente para a família viver confortavelmente por 10 meses sem outra renda.
Logo o problema aparece: embora a aparência dela tenha mudado só um pouquinho, familiares e conhecidos ficam todos perturbados. Ela parece igual a antes, mas há algo diferente. O estudo cria esse tipo de rosto para ver como imagens de vigilância lidam com faces no vale da estranheza.
Essa apresentação cobre o começo do livro, então não é spoiler; depois, a história explode em direções interessantes e inesperadas. É ficção científica, o sexto livro de uma romancista premiada e reconhecida pela crítica, e a prosa é linda.
As primeiras 19 páginas podem ser lidas aqui: https://www.amazon.com/Hum-Novel-Helen-Phillips/dp/166800883...
A conclusão me fez lembrar de Lao Rongzhi, da China. Ela foi uma assassina em série junto com seu parceiro Fa Ziying[0], e os dois viajavam pelo país cometendo extorsões e assassinatos
Fa foi preso em 1999 após um confronto com a polícia, mas Lao fez até cirurgias plásticas para mudar o rosto e ficou foragida por 20 anos. A ponto de a maioria das pessoas não a reconhecer
Mas, ao longo desses 20 anos, o software de reconhecimento facial avançou rapidamente, e uma câmera de shopping a reconheceu, fazendo a correspondência com o banco de dados nacional de criminosos. No início, até a polícia achou que fosse um erro, mas provas de DNA confirmaram que era a mesma pessoa, e ela acabou executada
Hoje em dia, acho que ninguém consegue realmente se esconder do reconhecimento facial
[0] https://www.youtube.com/watch?v=I7D3mOHsVhg
“Em 9 de setembro de 2021, Lao foi condenada à morte pelo Nanchang Intermediate People's Court por homicídio doloso, sequestro e roubo. Seus direitos políticos foram privados por toda a vida, e todos os seus bens pessoais também foram confiscados. Lao recorreu da decisão, e o julgamento em segunda instância ocorreu em 18 de agosto de 2022 no Jiangxi Provincial Higher People's Court. Lao admitiu ter sido cúmplice de Fa, mas alegou que, ao longo de todo o relacionamento, sofreu abusos físicos e sexuais de Fa e agiu por medo de perder a vida. Em 30 de novembro do mesmo ano, o tribunal manteve a pena de morte. Em 18 de dezembro de 2023, com a aprovação do Supreme People's Court, o Nanchang Intermediate People's Court executou a pena de morte de Lao Rongzhi.”
https://en.m.wikipedia.org/wiki/Fa_Ziying_and_Lao_Rongzhi
A correspondência real pode ter sido maior. Ainda assim, o reconhecimento facial atual parece dar um “valor de hash” consistente para um rosto, mas de uma forma limitada em número de dígitos ou quantidade de informação. Se você souber a informação adicional de que alguém era passageiro do voo X, consegue inferir quem é com probabilidade muito alta, mas isso não escala bem em larga escala, a menos que se procure muitas pessoas específicas aceitando falsos positivos
As autoridades gostam de dizer que DNA e reconhecimento facial capturaram alguém, porque esse tipo de fala passa a impressão de que as autoridades são oniscientes e onipotentes. Valores como os “97,3%” acima também podem estar errados ou não significar nada. Claro que há casos em que essas tecnologias capturam pessoas, mas elas ainda são limitadas e caras
Se o objetivo é publicar fotos suas preparadas, mas fazer com que o reconhecimento facial não as identifique como você, na prática não é preciso mudar tanto assim o rosto. Veja https://sandlab.cs.uchicago.edu/fawkes/
Imagens preparadas de forma adversarial ainda podem parecer perfeitamente com você aos olhos humanos, e os dados que quebram o reconhecimento facial são codificados de um jeito que, para a percepção humana comum, é quase como esteganografia
A frase “é muito mais fácil exigir que o governo crie leis para nos proteger...” é um pouco ingênua. Os dados já existem em grande parte, e basta outro governo chegar ao poder para que essas proteções possam ser anuladas, então já é tarde demais
Por isso, alemães e europeus há muito tempo vêm lutando com bastante firmeza contra a coleta de dados e para criar salvaguardas, e provavelmente têm algumas das políticas e regulações mais sofisticadas
Mas, com o tempo, torna-se quase impossível manter a coleta de dados no mínimo. Primeiro surgem pequenas exceções justificáveis por si mesmas; depois o número de participantes aumenta; isso se normaliza; e, no fim, não restam salvaguardas
Se pararmos agora, ou em breve, dá para cortar o mal pela raiz. Provavelmente também não é tarde demais para nós. Reconhecimento facial pelo formato do crânio ainda é uma preocupação, mas só se os agentes mal-intencionados tiverem acesso às nossas imagens mais recentes. Caso contrário, só poderão investigar atividades passadas
Outros tipos de dados têm mais restrições que impedem sua utilidade no longo prazo. Isso partindo do princípio de que não embarquemos na ilusão de que “não dá para colocar o gênio de volta na garrafa”
Muitas vezes me perguntei o que aconteceria se alguém saísse por aí com LEDs infravermelhos brilhantes na gola, piscando a 30 Hz ou 60 Hz, quase invisíveis ao olho humano, mas com comprimento de onda baixo o bastante para entrar na maioria dos chips CMOS e ofuscar a câmera
Penso nisso toda vez que vou fazer compras. Não gosto de ser vigiado e não tenho nada a esconder, mas detesto o caráter persuasivo e opressivo disso. Nunca roubei nada na vida. Uma pessoa me seguindo ainda incomoda menos, mas não gosto da análise algorítmica, que é muito mais eficaz, assustadora e invasiva
Provavelmente o resultado de um experimento desses seria pedirem para eu sair ou uma conversa desconfortável com a polícia. Ainda assim, gostaria que alguém mais corajoso do que eu tentasse. Se é possível colocar luzes na roupa, por que não fazê-las em infravermelho?
Quanto é preciso mudar o rosto para evitar reconhecimento facial? A resposta tabu, inspirada no W.O.P.R., é não jogar o jogo
Sempre que possível, evite áreas com câmeras. Isso afeta a receita
Faça chamadas por Zoom ou Jitsi com empresas ou parceiros comerciais quando puder
Seja autossuficiente. Não gaste dinheiro quando não precisar e receba mantimentos saudáveis por entrega. Isso reduz a arrecadação de impostos
Trabalhe de casa se a empresa permitir. Viva o mais perto possível de ficar fora da rede
Para tarefas inevitáveis, contrate outra pessoa. Dê dinheiro ao filho do vizinho para ir ao centro por você
Sei que isso não vai ser popular com ninguém, mas eu sou esse tipo de pessoa
No geral, é um texto razoável, mas os conselhos práticos não mudaram muito desde a última vez que trabalhei nessa área, há mais de 10 anos
Em geral, basta não olhar para cima, cobrir o máximo possível do rosto, misturar padrões para dificultar que o algoritmo associe você como a mesma pessoa ao longo do tempo, conhecer a localização das câmeras e como evitá-las e, se precisar entrar em uma área de vigilância conhecida, sair de lá o mais rápido e discretamente possível. Se você for especialmente paranoico, é melhor também trocar de roupa entre áreas vigiadas
Mas é melhor abandonar agora qualquer esperança de enganar a vigilância governamental. Se um agente estatal competente estiver mirando uma pessoa específica, provavelmente ela já está na rede. Eles já têm informações suficientes para identificar um rosto até em imagens analógicas borradas em preto e branco de câmeras antigas de supermercado
Sem cirurgia plástica significativa ou próteses, não dá para vencer; e, mesmo assim, se eles realmente quiserem, vão coletar impressões digitais parciais de coisas que você tocou para confirmar
A primeira regra de segurança é que, se alguém realmente quiser muito algo que você tem, não há como impedir. É preciso planejar tendo isso em mente. Por isso eu não vou a protestos e evito eventos onde tecnologia de reconhecimento facial foi implantada. Por causa do meu trabalho anterior, já estou várias vezes nesses datasets com material de referência de alta qualidade, e isso é atualizado por fotos de passaporte ou acesso ao Global Entry
A opção mais segura é, em primeiro lugar, não me colocar nessa posição, e provavelmente esse é o melhor caminho para a maioria das pessoas
Em discussões mais inteligentes, o ponto central da biometria é que “uma vez comprometida, fica comprometida para sempre”. Biometria não é uma senha; está mais perto de uma chave pública ou nome de usuário
Felizmente, isso não se aplica da mesma forma ao governo. Mesmo que o governo atual esteja comprometido, é possível, por meio do processo democrático, trocá-lo por um que não esteja comprometido
Por isso dá para dizer que é mais fácil mudar o governo do que mudar o rosto. É aí que o esforço deve ser investido
No momento em que você a aplica a uma população enorme, como a dos Estados Unidos inteiros, ignorando o contexto temporal e regional, surgem colisões. Ainda mais quando se consideram amostras parciais, seja por erro de sensor ou por outros motivos
Pessoas inocentes já foram parar na prisão porque tribunais ignoraram a realidade de que uma correspondência biométrica é sempre apenas uma probabilidade de correspondência, não uma correspondência garantida
Se usar óculos escuros e colocar algo no rosto, como uma máscara ou maquiagem exagerada, dificulta detectar o rosto, mas você diz que isso é “trapaça” porque não é mudar o rosto, e sim escondê-lo, então basta usar óculos escuros e máscara. Quem se importa se é trapaça?