Strategie Anti-Deepfake con AI

Le deepfake sono una sfida crescente per la fiducia sociale e la sicurezza delle informazioni. Poiché la capacità di prevenire la loro diffusione dipende dalla comprensione approfondita della tecnologia, questo articolo esplora come prevenire le deepfake basate sull’intelligenza artificiale (AI).

Il Motore delle Deepfake: Analisi Tecnica

Il cuore delle deepfake risiede nei modelli generativi, intelligenze artificiali capaci di apprendere da vasti dataset e generare immagini, video e audio incredibilmente realistici. Negli ultimi anni, le Generative Adversarial Networks (GAN) si sono evolute in modelli di diffusione, ancora più potenti. È essenziale un’analisi tecnica di questi motori generativi per creare un solido quadro di prevenzione.

Gioco Competitivo: Generative Adversarial Networks (GAN)

Una GAN è formata da due reti neurali: un generatore e un discriminatore. Il compito del generatore è creare dati sintetici che imitino i dati del mondo reale. Inizia da un input casuale, spesso chiamato vettore latente, e cerca di trasformarlo in un output coerente. Il discriminatore, invece, agisce come un classificatore, valutando i dati per determinare se sono reali (da un dataset di addestramento autentico) o falsi (creati dal generatore).

Il processo di addestramento prevede un ciclo di feedback continuo tra le due reti, simile a un gioco a somma zero. Il generatore crea un’immagine falsa e la passa al discriminatore che riceve anche immagini reali dal set di addestramento. Il discriminatore predice l’autenticità di ogni immagine. Se il discriminatore identifica correttamente l’output del generatore come falso, fornisce un feedback. Il generatore utilizza questo feedback tramite backpropagation per modificare i suoi parametri interni, in modo da produrre immagini più convincenti nella prossima iterazione. Allo stesso tempo, il discriminatore adatta i propri parametri per rilevare meglio i falsi. Questa competizione continua fino a quando il sistema raggiunge un equilibrio, a volte chiamato equilibrio di Nash, in cui l’output del generatore è così realistico che il discriminatore non è più in grado di distinguerlo in modo affidabile dai dati reali, indovinando con una precisione di circa il 50%.

Le GAN hanno dimostrato di poter generare media sintetici in modo efficace, ponendo le basi per molti modelli deepfake influenti. Architetture come le Deep Convolutional GAN (DCGAN) hanno introdotto miglioramenti cruciali aumentando la stabilità sostituendo i livelli di pooling e utilizzando la batch normalization. Le StyleGAN di NVIDIA e i loro successori, StyleGAN2 e StyleGAN3, hanno raggiunto un fotorealismo senza precedenti nella generazione di volti, correggendo artefatti e sviluppando l’architettura del modello. Altre varianti come CycleGAN hanno implementato attività di trasferimento di stile e sono state quindi ampiamente utilizzate anche in applicazioni come Face App per modificare l’età apparente di una persona.

Nonostante la loro potenza, le GAN sono note per la difficoltà di addestramento. Il delicato equilibrio tra generatore e discriminatore può essere facilmente interrotto, portando a instabilità nell’addestramento, convergenza lenta o una modalità di guasto fondamentale chiamata "mode collapse". Il mode collapse si verifica quando il generatore trova una debolezza nel discriminatore e la sfrutta producendo solo una varietà limitata di output (che sa di poter ingannare il discriminatore), non riuscendo così a catturare la vera diversità dei dati di addestramento. Queste sfide intrinseche, insieme ai sottili artefatti che spesso producono, sono state gli obiettivi principali dei primi sistemi di rilevamento deepfake.

L’Inversione del Caos: Modelli di Diffusione

Negli ultimi sviluppi nell’intelligenza artificiale generativa, l’attenzione si è decisamente spostata su una nuova classe di modelli: i modelli di diffusione. Ispirati ai concetti della termodinamica del non equilibrio, i modelli di diffusione funzionano su principi fondamentalmente diversi rispetto alla competizione avversaria delle GAN. Si tratta di modelli generativi probabilistici in grado di generare dati di qualità e diversità eccezionalmente elevate imparando a invertire un processo di corruzione graduale.

Il meccanismo dei modelli di diffusione è un processo a due fasi:

1. Processo di Diffusione Diretta: questa fase aggiunge sistematicamente e gradualmente piccole quantità di rumore gaussiano a un’immagine per un certo numero di passi temporali (ad esempio, T passi). Si tratta di un processo a catena di Markov in cui ogni passo è condizionato al precedente, riducendo gradualmente la qualità dell’immagine fino a renderla indistinguibile dal puro rumore non strutturato al passo temporale finale T.

2. Processo di Rimozione del Rumore Inverso: la chiave del modello è una rete neurale (spesso architettata come una U-Net) che viene addestrata per invertire questo processo. Impara a prevedere il rumore aggiunto a ogni passo temporale del processo diretto e a sottrarlo. Una volta addestrato, il modello può generare nuove immagini di alta qualità elaborando all’indietro i passi temporali, partendo da un campione di rumore casuale e applicando iterativamente questa funzione di "rimozione del rumore" appresa, trasformando il caos in un campione coerente della distribuzione dei dati originale.

Questo processo di raffinamento iterativo consente ai modelli di diffusione di raggiungere livelli di fotorealismo e diversità anche superiori alle migliori GAN. I loro processi di addestramento sono anche molto più stabili di quelli delle GAN, evitando problemi come il mode collapse e producendo risultati più affidabili e diversi. Questa forza tecnica ha reso i modelli di diffusione la base dei più importanti e potenti strumenti odierni di intelligenza artificiale generativa, tra cui modelli da testo a immagine come DALL-E 2 di OpenAI, Imagen di Google, Stable Diffusion di Stability AI e modelli da testo a video come Sora di OpenAI. L’ampia disponibilità e la qualità eccezionale dell’output di questi modelli hanno aumentato notevolmente la minaccia deepfake.

Metodi Operativi

Sia che si tratti di GAN o di modelli di diffusione, i motori generativi sottostanti vengono applicati attraverso diverse tecniche specifiche per creare video deepfake. Questi metodi gestiscono vari aspetti del video di destinazione per ottenere l’inganno desiderato.

• Reenactment: questa tecnica trasferisce le espressioni facciali, i movimenti della testa e i movimenti relativi al parlato di un personaggio sorgente su un soggetto bersaglio in un video. Il processo comprende in genere tre passaggi principali: in primo luogo, il tracciamento delle caratteristiche facciali nei video sorgente e bersaglio; in secondo luogo, l’allineamento di queste caratteristiche a un modello facciale 3D generico utilizzando metriche di coerenza; in terzo luogo, il trasferimento delle espressioni dalla sorgente al bersaglio, seguito da un affinamento successivo per migliorare il realismo e la coerenza.

• Lip-Sync: le deepfake di lip-sync si dedicano alla manipolazione del parlato, utilizzando l’input audio per generare movimenti labiali realistici. L’audio viene trasformato in forme e texture labiali dinamiche che vengono poi abbinate e mixate con cura al video di destinazione, per creare l’illusione che la persona bersaglio stia pronunciando l’audio in ingresso.

• Sintesi Basata su Testo: questo metodo, decisamente più sofisticato, modifica i video sulla base di una sceneggiatura testuale. Funziona analizzando il testo nei suoi fonemi costitutivi (unità sonore) e visemi (rappresentazioni visive dei suoni del parlato). Questi vengono poi abbinati a sequenze corrispondenti nel video sorgente e i parametri di un modello di testa 3D vengono utilizzati per generare e fluidificare i movimenti delle labbra in modo che corrispondano al nuovo testo, consentendo la modifica letterale di ciò che un personaggio sembra dire.

L’evoluzione tecnologica dalle GAN ai modelli di diffusione non è un semplice miglioramento incrementale; si tratta di un cambio di paradigma che altera radicalmente il panorama delle strategie di prevenzione delle deepfake. Le GAN, nonostante la loro potenza, presentano debolezze architetturali note, come l’instabilità dell’addestramento e il mode collapse, che spesso portano ad artefatti prevedibili e rilevabili nel dominio della frequenza dell’immagine. Di conseguenza, un’intera generazione di strumenti di rilevamento è stata costruita specificamente per identificare queste impronte digitali specificamente GAN. I modelli di diffusione, invece, che sono più stabili da addestrare e producono output più diversi, realistici e statisticamente vicini alle immagini reali, non possiedono molti dei difetti evidenti dei loro predecessori.

Di conseguenza, una parte significativa dell’infrastruttura di rilevamento deepfake esistente sta rapidamente diventando obsoleta. Alcuni studi dimostrano una "grave riduzione delle prestazioni" quando i rilevatori addestrati su immagini generate da GAN vengono applicati a contenuti provenienti da modelli di diffusione. È interessante notare che i rilevatori addestrati su immagini di modelli di diffusione sono in grado di identificare con successo i contenuti generati da GAN, ma non viceversa, suggerendo che i modelli di diffusione rappresentano una classe di falsi più sofisticata e difficile da affrontare. In realtà, questo ha resettato efficacemente la corsa agli armamenti tecnologica, richiedendo un ripensamento delle strategie di difesa per confrontarsi con le caratteristiche uniche e più sottili dei media generati dalla diffusione.

Inoltre, la natura a "scatola nera" di questi modelli generativi aumenta la complessità degli sforzi di prevenzione alla fonte. Sia le GAN che i modelli di diffusione operano in modo non supervisionato o semi-supervisionato, imparando a imitare la distribuzione statistica dei set di dati senza etichette semantiche esplicite. Non imparano "cos’è una faccia" in un modo che un umano può capire, ma imparano "quali configurazioni di pixel sono possibili in un set di dati di volti". Ciò rende straordinariamente difficile la programmazione diretta di vincoli nel processo generativo (ad esempio, "non generare immagini dannose"). Il modello si limita a ottimizzare una funzione matematica: ingannare il discriminatore o invertire un processo di rumore. Ciò significa che la prevenzione non può dipendere dalla regolamentazione dall’interno dell’algoritmo core. Le misure più fattibili devono avvenire prima (controllando i dati di addestramento) o dopo la generazione (tramite rilevamento, watermark e provenienza), perché l’atto stesso di creazione è intrinsecamente resistente alla governance diretta.

Analisi Comparativa dei Motori Generativi

Comprendere le differenze strategiche tra GAN e modelli di diffusione è essenziale per qualsiasi stakeholder, dai responsabili politici ai funzionari della sicurezza aziendale. Il passaggio dal dominio tecnologico dei primi ai secondi ha implicazioni enormi per la difficoltà di rilevamento, il potenziale di inganno e il panorama generale delle minacce.

Sistema Immunitario Digitale: Analisi Comparativa dei Metodi di Rilevamento

In risposta alla proliferazione di media sintetici, è emerso un campo diversificato di metodi di rilevamento, formando un nascente "sistema immunitario digitale". Queste tecniche abbracciano l’analisi forense degli artefatti digitali, fino a metodi innovativi per rilevare potenziali segnali biologici. Tuttavia, l’efficacia di questo sistema immunitario è costantemente messa alla prova dalla rapida evoluzione dei modelli generativi e dall’uso di attacchi avversari progettati per eludere il rilevamento. La lotta continua tra creazione e rilevamento rappresenta un paradosso della "Regina Rossa", in cui i difensori devono costantemente innovare per mantenere lo status quo.

Analisi Forense degli Artefatti Digitali

La categoria più consolidata di rilevamento deepfake prevede l’analisi forense degli artefatti digitali, ovvero i sottili difetti e le incoerenze lasciate dal processo di generazione. Questi difetti e incoerenze sono spesso difficili da identificare e non percepibili ad occhio nudo, ma possono essere rilevati da algoritmi specializzati.

• Incoerenze Visive e Anatomiche: i primi modelli generativi, e alcuni anche quelli attuali, faticano a replicare perfettamente la complessità dell’anatomia umana e le caratteristiche fisiche del mondo reale. I metodi di rilevamento sfruttano queste carenze analizzando specifiche anomalie nei media. Tra queste, modelli di occhiolino innaturali, in cui si occhiolina troppo, troppo poco o per niente (spesso un artefatto della mancanza di immagini di occhi chiusi nei dati di addestramento), movimenti oculari robotici o incoerenti e forme labiali o bocche vincolate in cui i denti inferiori non vengono mai visualizzati. Altri indicatori sono la mancanza di sottili variazioni nelle narici durante il parlato, incongruenze nell’illuminazione e ombre che non corrispondono all’ambiente e riflessi errati o mancanti negli occhiali o in altre superfici riflettenti.

• Analisi dei Pixel e della Compressione: queste tecniche operano a livelli inferiori, esaminando la struttura digitale di un’immagine o di un video. L’analisi del livello di errore (ELA) è un metodo per identificare le aree di un’immagine che hanno subito diversi livelli di compressione. Poiché le aree manipolate vengono spesso salvate o ricompresse, possono mostrare livelli di errore diversi rispetto alle parti originali dell’immagine, evidenziando i falsi. Strettamente correlata è l’analisi dei bordi e della fusione, che esamina attentamente i bordi e i contorni tra gli elementi sintetici (ad esempio, le facce scambiate) e gli sfondi reali. Queste aree possono rivelare compromessi attraverso segnali come pixelizzazione incoerente, nitidezza o sfocatura innaturale e sottili differenze di colore e texture.

• Analisi del Dominio della Frequenza: anziché analizzare direttamente i pixel, questi metodi trasformano un’immagine nelle sue componenti di frequenza per cercare modelli innaturali. Poiché i generatori di GAN vengono spesso creati con architetture di upsampling, lasciano caratteristici artefatti spettrali, creando modelli periodici che non sono presenti nelle immagini reali. Sebbene questo sia efficace per la maggior parte delle GAN, questo approccio ha un successo inferiore con i modelli di diffusione, che creano immagini con profili di frequenza più naturali. Tuttavia, alcuni studi dimostrano che i modelli di diffusione possono comunque mostrare incongruenze rilevabili nei dettagli ad alta frequenza rispetto alle immagini reali, fornendo una potenziale via per il rilevamento.

Analisi dei Segnali Biologici: Il "Battito Cardiaco" delle Deepfake

Un campo più recente e promettente nel rilevamento deepfake prevede l’analisi della presenza di segnali biologici autentici nei media. La premessa di base è che, sebbene i modelli generativi stiano diventando sempre più bravi a replicare le apparenze visive, non riescono a simulare i processi fisiologici sottostanti di un essere umano vivente.

La tecnica principale in quest’area è la fotopletismografia remota (rPPG). Questa tecnica utilizza telecamere standard per rilevare sottili variazioni periodiche del colore della pelle, che si verificano quando il cuore pompa il sangue nei vasi sanguigni superficiali del viso. In un video reale di una persona, questo produce un segnale di polso debole ma coerente. Nelle deepfake, questo segnale è spesso assente, distorto o incoerente.

Il metodo prevede più passaggi:

1. Estrazione del Segnale: i segnali rPPG vengono estratti da più regioni di interesse (ROI) sul viso della persona nel video.

2. Elaborazione del Segnale: il segnale grezzo viene ripulito dal rumore e poi elaborato (spesso utilizzando la trasformata di Fourier veloce (FFT)) per analizzare le sue caratteristiche nel dominio del tempo e nel dominio spettrale. La FFT può rivelare la frequenza dominante nel segnale, corrispondente alla frequenza cardiaca.

3. Classificazione: viene addestrato un classificatore (ad esempio, una CNN) per distinguere i modelli ritmici coerenti di un battito cardiaco reale dai segnali rumorosi, incoerenti o assenti che si trovano nei video deepfake.

In ambienti sperimentali controllati, questo approccio ha ottenuto una precisione di rilevamento molto elevata, con alcuni studi che riportano un numero fino al 99,22%. Tuttavia, questo metodo ha una vulnerabilità fondamentale. Tecniche deepfake più avanzate, in particolare quelle che coinvolgono il reenactment, possono ereditare il segnale fisiologico da un video sorgente o "driver". Ciò significa che la deepfake può mostrare un segnale rPPG del tutto normale e coerente. Solo che sarà il battito cardiaco dell’attore sorgente, non del personaggio rappresentato nel video finale. Questa constatazione mette in discussione la semplice supposizione che le deepfake manchino di segnali fisiologici e aumenta la soglia per il rilevamento. I metodi futuri devono andare oltre la semplice verifica della presenza di un polso e devono invece convalidare la coerenza fisiologica e le caratteristiche specifiche dell’identità di quel segnale.

La Corsa agli Armamenti del Rilevamento: Sfide dai Modelli di Diffusione e dagli Attacchi Avversari

Il campo del rilevamento deepfake è definito da un’implacabile corsa agli armamenti. Non appena viene sviluppato un metodo di rilevamento affidabile, i modelli generativi si evolvono costantemente per superarlo. L’ascesa recente dei modelli di diffusione e l’impiego di attacchi avversari rappresentano due delle sfide più significative per i rilevatori moderni.

• Fallimento della Generalizzazione: una delle debolezze principali di molti modelli di rilevamento è la loro incapacità di generalizzare. Un rilevatore addestrato per riconoscere falsi provenienti da un modello generativo specifico (ad esempio, StyleGAN2) o su un set di dati particolare spesso fallisce di fronte a nuove tecniche di manipolazione o a domini di dati diversi. I modelli di diffusione rendono questo problema particolarmente acuto. Poiché i loro output contengono meno artefatti evidenti, sono più diversi e corrispondono più strettamente alle proprietà statistiche delle immagini reali, possono eludere efficacemente i rilevatori progettati per le GAN. Per affrontare questo problema, i ricercatori stanno sviluppando set di dati di benchmark nuovi, più difficili, contenenti deepfake di diffusione all’avanguardia, per spingere verso la creazione di rilevatori più robusti e generalizzabili.

• Attacchi Avversari: anche i rilevatori più accurati sono sensibili alla compromissione diretta attraverso attacchi avversari. In questo scenario, un aggressore introduce sottili e impercettibili perturbazioni nei pixel di un’immagine deepfake. Sebbene queste modifiche siano invisibili agli umani, sono progettate specificamente per sfruttare le debolezze nelle reti neurali del rilevatore, inducendolo a classificare erroneamente l’immagine falsa come reale. Questa minaccia esiste sia nelle impostazioni a "scatola bianca" (in cui l’aggressore ha una conoscenza completa dell’architettura del rilevatore) sia nelle impostazioni a "scatola nera" più realistiche (in cui l’aggressore può solo interrogare il rilevatore e osservare il suo output).

Per contrastare, la comunità della ricerca si sta concentrando sullo sviluppo di una prossima generazione di rilevatori con maggiore resilienza. Le strategie chiave includono:

• Diversità dei Dati di Addestramento: è stato dimostrato che l’aumento dei set di dati di addestramento per includere un’ampia varietà di falsi provenienti da GAN e modelli di diffusione, nonché un’ampia gamma di domini di immagini, produce una migliore generalizzazione.

• Strategie di Addestramento Avanzate: vengono esplorate nuove tecniche (come il "momentum contrastive hard mining") per aiutare i modelli ad addestrarsi in modo più efficace su set di dati eterogenei, ponderando i campioni in base alla difficoltà di classificazione basata su campioni dinamici.

• Architetture Robuste: vengono progettate nuove architetture che sono intrinsecamente più resistenti agli attacchi. Un approccio promettente è l’uso di ensemble disgiunti, in cui più modelli sono addestrati su sottoinsiemi diversi e non sovrapposti dello spettro di frequenza di un’immagine. Ciò costringe un aggressore a trovare una perturbazione che possa confondere più modelli contemporaneamente, un compito molto più difficile. Altri approcci ibridi fondono caratteristiche sia dal dominio spaziale che dal dominio della frequenza per costruire un modello più completo dei dati.

Il costante avanti e indietro tra tecniche generative e tecniche di rilevamento significa che qualsiasi difesa statica è destinata a diventare obsoleta. Allo stesso modo che i modelli generativi si evolvono per eliminare segnali rivelatori come le anomalie nell’occhiolino o gli artefatti GAN, i rilevatori devono spostarsi verso segnali più sottili come le incongruenze ad alta frequenza o le firme rPPG. A sua volta, i modelli generativi possono essere addestrati per imitare persino questi segnali, come si è visto nell’eredità dell’rPPG dai video sorgente. Questo ciclo perpetuo suggerisce che una strategia di prevenzione puramente dipendente dal rilevamento reattivo è impegnata in una corsa agli armamenti costosa e probabilmente irraggiungibile.

È probabile che le strategie di rilevamento più durature siano quelle che sfruttano le differenze fondamentali tra simulazione digitale e realtà fisica. Mentre gli artefatti visivi sono difetti nella simulazione che possono essere gradualmente corretti con algoritmi migliori e maggiore potenza di calcolo, per l’IA è molto più difficile modellare le proprietà emergenti della biologia e della fisica dai primi principi. Un modello generativo non "capisce" il sistema cardiovascolare umano. Impara solo a replicare le configurazioni di pixel associate al viso. Sebbene possa essere addestrato per imitare i risultati visivi di un battito cardiaco, generare segnali fisiologicamente coerenti e accurati per una nuova identità da zero richiederebbe la modellazione di interi sistemi biologici, una sfida di ordine superiore. Pertanto, la ricerca di rilevamento più affidabile si concentrerà su queste "lacune di fisicità", includendo non solo l’rPPG, ma possibilmente altre indicazioni come sottili modelli di respirazione, dilatazione involontaria delle pupille e microespressioni, che sono controllate da processi biologici complessi che sono difficili da simulare con alta fedeltà.

Costruire Fiducia Digitale: Prevenzione Proattiva tramite Watermark e Provenienza

Date le intrinseche limitazioni delle strategie di rilevamento puramente reattive, un regime più resistente e sostenibile per la prevenzione dei danni da deepfake comporta misure proattive. Queste tecniche mirano a costruire fiducia e responsabilità nell’ecosistema dei media digitali fin dalla creazione. Anziché concentrarsi sull’identificazione di falsi dopo che sono stati creati