Deepfake em verificação remota, a ameaça real e as defesas

Deepfake é mídia sintética: vídeo ou imagem em que um rosto é trocado, reencenado ou inteiramente gerado por modelos de aprendizado de máquina. A técnica saiu do laboratório para o noticiário e, no caminho, encontrou um alvo com dinheiro na ponta: os fluxos de verificação de identidade remota, em que uma selfie e uma prova de vida decidem se uma conta abre.

A ameaça é real, mas costuma ser descrita de forma errada nos dois extremos. Nem o deepfake é um passe-livre que derrota qualquer sistema, nem existe fornecedor honesto prometendo bloquear todo deepfake para sempre. A Europol, agência europeia de cooperação policial, dedicou ao tema um relatório público em 2022, Facing reality? Law enforcement and the challenge of deepfakes, alertando para o uso de mídia sintética em fraudes, inclusive contra verificação de identidade remota. Entender o ataque por dentro é o primeiro passo para avaliar defesas sem comprar promessa impossível.

Por onde o rosto falso entra: tela ou injeção

Um deepfake precisa chegar até o software de análise, e há dois caminhos com naturezas muito diferentes.

O primeiro é o ataque de apresentação: o vídeo sintético é exibido numa tela, e a tela é apresentada à câmera real do dispositivo. Esse é o território da norma ISO/IEC 30107-1, que define o quadro conceitual de ataques de apresentação em sistemas biométricos, e da detecção correspondente, o PAD, sigla de presentation attack detection. Contra apresentação, os sinais físicos ajudam a defesa: reflexo e moiré da tela, ausência de volume tridimensional, bordas do dispositivo.

O segundo caminho é a injeção: o fraudador entrega o vídeo diretamente ao software por câmera virtual ou manipulação do fluxo de captura, sem que lente nenhuma participe. Nesse cenário os sinais físicos da tela desaparecem, porque não há tela, e a defesa muda de natureza: em vez de analisar só o conteúdo, é preciso analisar a procedência da captura. Esse ataque tem anatomia própria, destrinchada no artigo sobre injeção de câmera.

O que a pesquisa mostra sobre detectar rosto sintético

A detecção de manipulação facial é uma área ativa de pesquisa, e os resultados públicos ensinam humildade. O FaceForensics++, conjunto de dados e estudo publicado por Rössler e coautores em 2019, mediu a conta com precisão: o melhor detector avaliado no trabalho acerta 99,26% em vídeo cru, 95,73% com compressão leve e 81,00% em vídeo de baixa qualidade. E o detector baseado em características de esteganálise, que supera o observador humano por larga margem no vídeo cru, cai abaixo do desempenho humano justamente na faixa de baixa qualidade. Vídeo que trafega por aplicação real chega comprimido, ou seja, a faixa em que a detecção é mais frágil é exatamente a que um produto encontra em produção.

Do lado dos ataques de apresentação, o NIST, o instituto de padrões dos Estados Unidos, mantém avaliações públicas de tecnologias de PAD dentro do programa FATE, com resultados que variam bastante conforme o tipo de instrumento de ataque. A leitura honesta dos dois corpos de evidência é a mesma: detecção funciona, melhora continuamente e nunca é definitiva, porque o gerador do outro lado também melhora. É uma corrida, não uma linha de chegada.

Defesa que funciona é defesa em camadas

Se nenhuma camada isolada resolve, a arquitetura certa combina camadas com falhas independentes:

• Prova de vida ativa e passiva: a análise de vivacidade do rosto capturado, medida contra ataques de apresentação nos termos da ISO/IEC 30107.
• Sinais de captura: indícios de câmera virtual, de automação e de manipulação do ambiente de execução, que atacam a injeção onde o conteúdo não denuncia nada.
• Desafio imprevisível: instruções que o usuário executa na hora, elevando o custo de gerar o vídeo certo em tempo real.
• Coerência entre evidências: o rosto da selfie contra o rosto do documento, os dados do documento contra a base cadastral, tudo tendo que fechar junto.
• Busca um-para-muitos: o mesmo rosto tentando abrir contas repetidas é sinal forte mesmo quando cada tentativa isolada parece limpa, como descrito no artigo sobre detecção de contas duplicadas.
• Limites e monitoramento: contagem de tentativas, velocidade entre etapas e revisão do que insiste em falhar.

O ponto da arquitetura não é nenhuma camada ser perfeita; é obrigar o ataque a vencer todas ao mesmo tempo. Um deepfake excelente exibido numa tela cai no sinal físico; um deepfake injetado cai na procedência da captura; um ataque que passa uma vez esbarra na repetição. Na UNIFOKAL o desenho segue essa lógica de camadas, e mantemos a regra de honestidade que recomendamos exigir de qualquer fornecedor: descrever o que cada camada mede, nunca prometer imunidade.

Como avaliar promessas de fornecedor sem se enganar

Três perguntas separam marketing de engenharia. Primeira: contra que classe de ataque a solução foi medida? Apresentação e injeção são problemas diferentes, e a ISO/IEC 30107-3 define como se mede a parte de apresentação, com taxas de erro específicas; peça os números e o contexto do teste. Segunda: o que acontece com o caso que a análise não decide? Sistema sério tem rota de revisão, não só aprova e reprova. Terceira: com que frequência os modelos são atualizados? Numa corrida, a cadência de atualização vale mais que o resultado de um teste antigo.

E uma pergunta para o próprio leitor: qual é o custo de errar para cada lado no seu produto? Deepfake é um risco entre vários no funil de cadastro, e gastar contra ele mais do que contra os vazamentos maiores é erro de alocação. O artigo sobre onde o funil de onboarding vaza coloca essa ameaça no mapa completo, e setores obrigados por lei a usar biometria facial, como o de apostas de quota fixa, têm motivo extra para fazer essa conta com cuidado.

Fontes citadas

• ISO/IEC 30107-1, quadro conceitual de ataques de apresentação em biometria, e ISO/IEC 30107-3, metodologia de teste e métricas de PAD
• NIST, avaliações públicas de detecção de ataque de apresentação no programa FATE (Face Analysis Technology Evaluation): pages.nist.gov
• Europol, Facing reality? Law enforcement and the challenge of deepfakes, relatório público de 2022
• Rössler et al., FaceForensics++: Learning to Detect Manipulated Facial Images, publicado na ICCV 2019: arxiv.org/abs/1901.08971