UN FANTASMA DE TEATRO ENGAÑA AL RECONOCIMIENTO FACIAL

El reconocimiento facial desbloquea hoy los teléfonos, aprueba pagos y controla a los viajeros en las fronteras. Sus redes neuronales son, señala el artículo, más precisas que los humanos. A medida que crece la dependencia, crece también el incentivo para engañarlo, y los sistemas cuentan con dos tipos de guardianes. Los detectores de ataques de presentación buscan fotos impresas, vídeos reproducidos o máscaras, comprobando texturas y signos de vida. Los detectores de morphing buscan caras mezcladas digitalmente, creadas fusionando a dos personas en una sola imagen.

Una ilusión salida del escenario

Tyler Fitzsimmons y Adam Czajka (Universidad de Notre Dame) recuperan un viejo truco teatral: el fantasma de Pepper, en el que un panel de vidrio inclinado refleja una imagen oculta de modo que un «fantasma» parece estar en el escenario.

En su «Ghost Attack», el reflejo superpone la cara de otra identidad a la cara que está frente a la cámara. Para un observador humano, la persona parece bastante normal, ligeramente borrosa o parcialmente oculta por un destello. Para el software, las dos caras se funden en una firma facial híbrida.

El ataque ocurre en el espacio libre entre el sensor y la persona. No requiere acceso al software de reconocimiento, a su estado interno ni a sus decisiones, ni tampoco al hardware de la cámara: funciona como un ataque de caja negra pura. Los autores lo presentan como el primer ataque físico de este tipo, a medio camino entre los ataques de presentación y el morphing.

Una prueba de laboratorio cuidadosa

Los investigadores no utilizaron sujetos vivos. Las caras genuinas eran fotografías de una base de datos de investigación estándar, mostradas en una pantalla y filmadas de nuevo; la identidad «fantasma» procedía de una segunda pantalla, reflejada en el vidrio. Esto mantiene el protocolo reproducible, y los autores sostienen que usar sujetos vivos no cambiaría las conclusiones. Construyeron un conjunto de datos, GhostFace, de 100 identidades diversas en género, origen y edad, grabadas con intensidades de ataque crecientes.

Después lo enfrentaron a sistemas de código abierto de uso extendido: cinco comparadores faciales, tres detectores de suplantación y cuatro detectores de morphing, siguiendo normas internacionales de ensayo.

Tres guardianes, todos engañados

• Los detectores de suplantación clasificaron entre el 80 % y el 96 % de las imágenes de ataque a máxima intensidad como caras vivas y genuinas. Incluso el más sensible dejó pasar aproximadamente cuatro de cada cinco.
• Los detectores de morphing, entrenados con morphings digitales, no detectaron entre el 16 % y el 61 % de las imágenes de ataque con un ajuste estricto, sin señalar nunca una cara genuina. Los modelos entrenados con mezclas digitales, concluyen los autores, no detectan de forma fiable las ópticas.
• Los comparadores faciales aceptaron impostores en proporciones variables. El más vulnerable, ArcFace, aceptó el 32,75 % de las imágenes de ataque como la persona objetivo con el umbral probado, y al menos una imagen en 99 de los 100 vídeos de ataque. El modelo más reciente probado aún aceptó el 7 % con un umbral más estricto. El más resistente, MagFace, que tiene en cuenta la calidad de imagen en sus decisiones, aceptó menos del 1 %.

En ocasiones, la cara mezclada no se reconoció como ninguna de las dos personas, sino como una tercera identidad de la base de datos.

Cerrar el punto ciego

Los autores describen un punto ciego importante: los sistemas biométricos actuales no tienen en cuenta las proyecciones transparentes, y el artículo muestra los límites tanto de las comprobaciones de vida basadas en texturas como de los detectores de morphing entrenados solo con imágenes digitales. El estudio sigue siendo una demostración de laboratorio con modelos de código abierto y fotografías recapturadas. Para apoyar nuevas investigaciones, los autores ofrecen el conjunto de datos GhostFace a otros equipos bajo petición, como nueva referencia para evaluar conjuntamente el reconocimiento facial, la detección de suplantación y la detección de morphing.