Estratégias contra Deepfakes de IA

O Motor dos Deepfakes: Análise Técnica

Os deepfakes, com a sua crescente sofisticação, representam um desafio sem precedentes à confiança social e à segurança da informação. A capacidade de prevenir a sua disseminação depende de uma compreensão abrangente das tecnologias subjacentes. Neste contexto, os deepfakes assentam em modelos generativos, uma forma de inteligência artificial capaz de aprender e gerar imagens, vídeos e áudios incrivelmente realistas a partir de vastos conjuntos de dados. Nos últimos anos, as redes adversariais generativas (GANs) evoluíram para modelos de difusão ainda mais poderosos. Desta forma, uma análise técnica destes motores generativos torna-se imperativa para criar uma estrutura de prevenção robusta.

Jogo Adversarial: Redes Adversariais Generativas (GANs)

As GANs são constituídas por duas redes neurais: o gerador e o discriminador. O gerador é responsável por criar dados sintéticos que imitem os dados reais. Começa com uma entrada aleatória, geralmente denominada vetor latente, e tenta transformá-la numa saída coerente. O discriminador, por outro lado, atua como um classificador, avaliando os dados para determinar se são reais (provenientes de um conjunto de dados de treino real) ou falsos (criados pelo gerador).

O processo de treino envolve um ciclo de feedback contínuo entre as duas redes, semelhante a um jogo de soma zero. O gerador cria uma imagem falsa e passa-a para o discriminador, que também recebe imagens reais do conjunto de treino. O discriminador prevê então a autenticidade de cada imagem. Se o discriminador identificar corretamente a saída do gerador como falsa, fornece feedback. O gerador utiliza este feedback através de retropropagação para ajustar os seus parâmetros internos, de modo a gerar imagens mais convincentes na iteração seguinte. Ao mesmo tempo, o discriminador ajusta os seus próprios parâmetros, de modo a detetar melhor as falsificações. Esta competição adversária continua até que o sistema atinja um ponto de equilíbrio, por vezes denominado equilíbrio de Nash, no qual as saídas do gerador são tão realistas que o discriminador já não consegue distingui-las de forma fiável dos dados reais e adivinha com uma precisão de aproximadamente 50%.

As GANs demonstraram ser eficazes na geração de média sintética e lançaram as bases para muitos modelos de deepfake influentes. Arquiteturas como as GANs convolucionais profundas (DCGANs) introduziram melhorias cruciais através da substituição de camadas de pooling e utilizando a normalização de batch para melhorar a estabilidade. O StyleGAN da NVIDIA, e os seus sucessores, StyleGAN2 e StyleGAN3, alcançaram um fotorrealismo sem precedentes na geração de rostos, corrigindo artefatos e avançando a arquitetura do modelo. Outras variantes, como o CycleGAN, permitiram tarefas de transferência de estilo e, consequentemente, foram amplamente utilizadas em aplicações como a Face App para alterar a idade e a aparência de uma pessoa.

Apesar do seu poder, as GANs são notoriamente difíceis de treinar. O delicado equilíbrio entre o gerador e o discriminador pode ser facilmente perturbado, levando à instabilidade no treino, à convergência lenta ou a um modo de falha crítico denominado "colapso de modo". O colapso de modo ocorre quando o gerador descobre uma fraqueza no discriminador e a explora gerando apenas uma variedade limitada de saídas que sabe que pode enganar o discriminador, falhando assim em capturar a verdadeira diversidade dos dados de treino. Estes desafios inerentes, e os artefatos subtis que muitas vezes produzem, tornaram-se alvos primários para os primeiros sistemas de deteção de deepfakes.

Inversão do Caos: Modelos de Difusão

Na IA generativa, o estado da arte mudou decisivamente para uma nova classe de modelos: modelos de difusão. Inspirados em conceitos da termodinâmica fora do equilíbrio, os modelos de difusão operam numa lógica fundamentalmente diferente da competição adversária das GANs. São modelos generativos probabilísticos que podem gerar dados excecionalmente de alta qualidade e diversificados aprendendo a inverter um processo de corrupção gradual.

O mecanismo dos modelos de difusão é um processo de duas fases:

1. Processo de Difusão Direta: Esta fase adiciona, de forma metódica e gradual, pequenas quantidades de ruído gaussiano a uma imagem ao longo de um período de tempo (por exemplo, T passos). Este é um processo de cadeia de Markov em que cada passo é condicionado pelo passo anterior, degradando progressivamente a qualidade da imagem até que, no passo de tempo final T, se torna indistinguível de ruído puro e não estruturado.

2. Processo de Remoção de Ruído Inverso: A chave do modelo é uma rede neural (frequentemente uma arquitetura U-Net) que é treinada para inverter este processo. Aprende a prever o ruído que foi adicionado em cada passo temporal do processo direto e a subtraí-lo. Após o treino, o modelo pode gerar novas imagens de alta qualidade processando os passos temporais ao contrário, começando com uma amostra de ruído aleatório e aplicando iterativamente esta função de "remoção de ruído" aprendida, transformando o caos numa amostra coerente da distribuição de dados original.

Este processo de refinamento iterativo permite que os modelos de difusão atinjam níveis superiores de fotorrealismo e diversidade do que até mesmo as melhores GANs. Os seus processos de treino também são muito mais estáveis do que os das GANs, evitando problemas como o colapso de modo e produzindo saídas mais fiáveis e diversificadas. Estas vantagens técnicas tornaram os modelos de difusão a base das ferramentas de IA generativas mais proeminentes e poderosas da atualidade, incluindo modelos de texto para imagem como o DALL-E 2 da OpenAI, o Imagen da Google e a Stable Diffusion da Stability AI, bem como modelos de texto para vídeo como o Sora da OpenAI. A ampla disponibilidade e a excelente qualidade das saídas destes modelos melhoraram drasticamente a ameaça dos deepfakes.

Métodos de Operação

Quer sejam GANs ou modelos de difusão, os motores generativos subjacentes são aplicados através de várias técnicas específicas para criar vídeos deepfake. Estes métodos abordam vários aspetos dos vídeos alvo para obter o efeito enganoso desejado.

• Reencenação: Esta técnica transfere as expressões faciais, os movimentos da cabeça e os movimentos relacionados com a fala de um ator de origem para um alvo num vídeo. O processo normalmente envolve três passos principais: primeiro, rastrear os pontos de referência faciais nos vídeos de origem e de destino; segundo, alinhar esses pontos de referência com um modelo facial 3D genérico utilizando uma métrica de consistência; e terceiro, transferir as expressões da origem para o alvo, seguidas de refinamentos posteriores para melhorar o realismo e a coerência.

• Sincronização Labial: As técnicas deepfake de sincronização labial dedicam-se especificamente ao tratamento da fala, utilizando principalmente a entrada de áudio para gerar movimentos labiais realistas. O áudio é convertido em formas e texturas labiais dinâmicas que são cuidadosamente combinadas e misturadas com o vídeo de destino para criar a ilusão de que o alvo está a dizer o áudio de entrada.

• Síntese Baseada em Texto: Este método altamente sofisticado modifica um vídeo com base num script de texto. Funciona através da análise do texto nos seus fonemas (unidades de som) e visemas (representações visuais dos sons da fala) constituintes. Estes são então combinados com sequências correspondentes no vídeo de origem e os parâmetros de um modelo de cabeça 3D são utilizados para gerar e suavizar os movimentos dos lábios para corresponder ao novo texto, permitindo editar literalmente o que uma pessoa parece estar dizer.

A progressão tecnológica das GANs para os modelos de difusão não é apenas uma melhoria incremental; é uma mudança de paradigma que altera fundamentalmente o panorama das estratégias de prevenção de deepfakes. As GANs, embora poderosas, têm fraquezas arquitetónicas conhecidas, como instabilidade no treino e colapso de modo, que muitas vezes deixam artefactos predizíveis e detetáveis no domínio da frequência da imagem. Consequentemente, toda uma geração de ferramentas de deteção foi construída especificamente para reconhecer estas impressões digitais específicas das GANs. No entanto, os modelos de difusão, sendo mais estáveis no treino e produzindo saídas mais diversificadas, mais realistas e estatisticamente mais próximas das imagens reais, não apresentam muitas das deficiências óbvias dos seus antecessores.

Como resultado, uma parte significativa da infraestrutura de deteção de deepfakes existente está rapidamente a tornar-se obsoleta. Estudos mostraram que os detetores treinados em imagens geradas por GANs apresentam uma "degradação de desempenho severa" quando aplicados a conteúdos de modelos de difusão. Notavelmente, os detetores treinados em imagens de modelos de difusão conseguem identificar com sucesso conteúdos gerados por GANs, mas o inverso não é verdadeiro, sugerindo que os modelos de difusão representam uma classe de falsificações mais sofisticadas e desafiantes. Na realidade, isto efetivamente reiniciou a corrida armamentista tecnológica, exigindo uma reformulação das estratégias de defesa face às características únicas e mais subtis da média gerada por difusão.

Além disso, a natureza de "caixa negra" destes modelos generativos aumenta a complexidade dos esforços de prevenção na origem. Tanto as GANs como os modelos de difusão operam de uma forma não supervisionada ou semi-supervisionada, aprendendo a imitar a distribuição estatística dos conjuntos de dados sem rótulos semânticos explícitos. Não aprendem "o que é um rosto" de uma forma que um ser humano possa compreender - aprendem "quais padrões de pixels são plausíveis num conjunto de dados de rostos". Isto torna excecionalmente difícil programar restrições diretamente no processo generativo (por exemplo, "não gerar imagens nocivas"). O modelo está simplesmente a otimizar uma função matemática: ou enganar o discriminador ou inverter um processo de ruído. Isto significa que a prevenção não pode depender da regulação algorítmica central a partir do seu interior. As intervenções mais viáveis devem ocorrer antes da geração (controlando os dados de treino) ou após a geração (através da deteção, marcas de água e proveniência), uma vez que o ato de criação em si resiste inerentemente à governação direta.

Análise Comparativa dos Motores Generativos

Compreender as distinções estratégicas entre as GANs e os modelos de difusão é essencial para qualquer interveniente, desde os formuladores de políticas aos diretores de segurança corporativa. A mudança do domínio tecnológico do primeiro para o último tem profundas implicações para a dificuldade de deteção, a probabilidade de engano e o panorama geral das ameaças.

Sistema Imunitário Digital: Análise Comparativa de Abordagens de Deteção

Em resposta à proliferação de média sintética, surgiu um campo diversificado de abordagens de deteção, formando um "sistema imunitário digital" em evolução. Estas técnicas vão desde a análise forense de artefactos digitais a métodos inovadores de deteção de sinais biológicos subjacentes. No entanto, a eficácia deste sistema imunitário é continuamente desafiada pela rápida evolução dos modelos generativos e pelos ataques adversariais projetados para evadir a deteção. A luta constante entre criação e deteção é um paradoxo da "Rainha Vermelha", onde os defensores devem inovar continuamente para manter o status quo.

Análise Forense de Artefactos Digitais

A categoria mais estabelecida de deteção de deepfakes envolve a análise forense de artefactos digitais, que são as falhas sutis e inconsistências deixadas para trás durante o processo generativo, que são muitas vezes impercetíveis e não detetáveis a olho nu, mas podem ser identificadas com algoritmos especializados.

• Inconsistências Visuais e Anatómicas: Os modelos generativos iniciais e alguns atuais lutam para replicar perfeitamente as complexidades da anatomia humana e as propriedades físicas do mundo real. Os métodos de deteção exploram estas falhas analisando anomalias específicas na média. Isto inclui padrões de pestanejo não naturais, como pestanejar demasiado, pestanejar pouco ou não pestanejar de todo (muitas vezes devido à falta de imagens de olhos fechados nos dados de treino), movimentos oculares robóticos ou inconsistentes e formas labiais ou bucais restritas que nunca revelam os dentes inferiores. Outras pistas são a falta de variações subtis nas narinas durante a fala, iluminação e sombras inconsistentes que não correspondem ao ambiente circundante e reflexos defeituosos ou ausentes em óculos ou outras superfícies reflexivas.

• Análise de Pixeis e Compressão: Estas técnicas operam num nível mais baixo, examinando a estrutura digital de uma imagem ou vídeo. A Análise de Nível de Erro (ELA) é um método para identificar áreas de uma imagem que têm diferentes níveis de compressão. Uma vez que as áreas manipuladas são frequentemente novamente guardadas ou comprimidas novamente, podem apresentar níveis de erro diferentes das partes originais da imagem, destacando as falsificações. Intimamente relacionada com esta está a análise de limites e mistura, que examina cuidadosamente as fronteiras e os contornos entre os elementos sintéticos (por exemplo, rostos trocados) e os fundos reais. Estas áreas podem denunciar a manipulação através de sinais como pixelização inconsistente, nitidez ou desfocagem não naturais e subtis diferenças de cor e textura.

• Análise de Domínio de Frequência: Em vez de analisar os pixeis diretamente, estes métodos transformam uma imagem nas suas componentes de frequência para procurar padrões não naturais. Os geradores das GANs, devido às suas arquiteturas de upsampling, frequentemente deixam para trás artefactos espectrais característicos, criando padrões periódicos que não estão presentes em imagens reais. Embora isto seja eficaz para a maioria das GANs, esta abordagem tem menos sucesso com modelos de difusão, que geram imagens com perfis de frequência mais naturais. No entanto, alguns estudos sugerem que os modelos de difusão podem ainda apresentar discrepâncias detetáveis em detalhes de alta frequência em comparação com imagens reais, proporcionando um possível caminho para a deteção.

Análise de Sinais Biológicos: O “Bater do Coração” dos Deepfakes

Um campo mais recente e promissor na deteção de deepfakes envolve a análise da presença de sinais biológicos genuínos na média. A premissa central é que, embora os modelos generativos se tornem cada vez melhores a replicar a aparên

cia visual, não conseguem simular os processos fisiológicos subjacentes de uma pessoa viva.

A técnica principal nesta área é a fotopletismografia remota (rPPG). Esta técnica utiliza câmaras padrão para detetar alterações subtis e periódicas na cor da pele que ocorrem quando o coração bombeia sangue para os vasos sanguíneos superficiais no rosto. Num vídeo real de uma pessoa, isto produz um sinal de pulso fraco, mas consistente. Num deepfake, este sinal está frequentemente ausente, distorcido ou inconsistente.

Os métodos para a deteção envolvem vários passos:

1. Extração de Sinal: Os sinais de rPPG são extraídos de várias regiões de interesse (ROI) no rosto da pessoa no vídeo.

2. Processamento de Sinal: O sinal bruto é limpo para remover o ruído e, em seguida, processado (normalmente utilizando uma Transformada Rápida de Fourier (FFT)) para analisar as suas características de domínio de tempo e frequência. A FFT pode revelar a frequência dominante do sinal, que corresponde à frequência cardíaca.

3. Classificação: Um classificador (por exemplo, uma CNN) é treinado para distinguir entre os padrões rítmicos coerentes de um batimento cardíaco real e os sinais ruidosos, inconsistentes ou ausentes encontrados em vídeos falsos.

Em ambientes de laboratório controlados, esta abordagem alcançou taxas de precisão de deteção notavelmente elevadas, com alguns estudos a reportar até 99,22%. No entanto, existe uma vulnerabilidade crítica neste método. As técnicas deepfake mais avançadas, particularmente as que envolvem reencenação, podem herdar os sinais fisiológicos do vídeo de origem ou "condutor". Isto significa que um deepfake pode exibir um sinal de rPPG perfeitamente normal e consistente. Será simplesmente o batimento cardíaco do ator de origem, não o da pessoa retratada no vídeo final. Esta descoberta desafia a suposição simplista de que os deepfakes carecem de sinais fisiológicos e aumenta a fasquia para a deteção. Os métodos futuros devem ir além da mera verificação da presença de um pulso e devem validar a coerência fisiológica e as características específicas da identidade desse sinal.

A Corrida Armamentista da Deteção: Desafios dos Modelos de Difusão e Ataques Adversariais

O campo da deteção de deepfakes é definido por uma corrida armamentista implacável. À medida que uma abordagem de deteção fiável é desenvolvida, os modelos generativos evoluem continuamente para a contornar. O recente aumento dos modelos de difusão e a utilização de ataques adversariais representam dois dos desafios mais significativos colocados aos detetores modernos.

• Falha de Generalização: Uma fraqueza significativa de muitos modelos de deteção é a sua incapacidade de generalizar. Um detetor treinado para identificar falsificações de um modelo generativo específico (por exemplo, StyleGAN2) ou num conjunto de dados específico frequentemente falha quando confrontado com novas técnicas de manipulação ou domínios de dados diferentes. Os modelos de difusão tornaram este problema particularmente agudo. Devido às suas saídas conterem menos artefactos óbvios, serem mais diversificados no conteúdo e corresponderem mais de perto às propriedades estatísticas das imagens reais, podem contornar efetivamente os detetores projetados para GANs. Para abordar este problema, os investigadores estão a desenvolver novos conjuntos de dados de referência mais difíceis que incorporam deepfakes de difusão de última geração para impulsionar a criação de detetores mais robustos e generalizáveis.

• Ataques Adversariais: Mesmo os detetores altamente precisos são suscetíveis a subversão direta através de ataques adversariais. Aqui, um atacante introduz perturbações minúsculas e impercetíveis nos pixeis de uma imagem deepfake. Embora estas alterações sejam indetetáveis para o olho humano, são projetadas especificamente para explorar fraquezas na rede neural do detetor, fazendo com que classifique incorretamente a imagem falsa como real. Esta ameaça existe tanto em configurações de "caixa branca" (onde o atacante tem conhecimento completo da arquitetura do detetor) como em configurações de "caixa negra" mais realistas (onde o atacante só pode consultar o detetor e observar as suas saídas).

Em resposta, a comunidade de investigação está a concentrar-se no desenvolvimento de detetores de próxima geração com resiliência reforçada. As principais estratégias incluem:

• Diversidade dos Dados de Treino: Aumentar o conjunto de dados de treino para incluir uma gama diversificada de falsificações de GANs e modelos de difusão, bem como uma variedade de domínios de imagem, demonstrou melhorar a generalização.

• Estratégias de Treino Avançadas: Novas técnicas como o "aumento de dificuldade de momentos" estão a ser exploradas para ponderar amostras com base na dificuldade variável na sua classificação, ajudando o modelo a treinar de forma mais eficaz em conjuntos de dados heterogéneos.

• Arquiteturas Robustas: Estão a ser projetadas novas arquiteturas para serem inerentemente mais resistentes a ataques. Uma abordagem promissora é utilizar conjuntos disjuntos, onde vários modelos são treinados em subconjuntos diferentes e não sobrepostos do espectro de frequência de uma imagem. Isto obriga os atacantes a encontrarem perturbações que possam enganar vários modelos simultaneamente, uma tarefa muito mais difícil. Outros métodos híbridos fundem características dos domínios espaciais e de frequência para construir um modelo mais abrangente dos dados.

O constante vaivém entre as técnicas de criação e as técnicas de deteção sugere que qualquer defesa estática está destinada a tornar-se obsoleta. À medida que os modelos generativos evoluem para eliminar sinais reveladores como anomalias de pestanejo ou artefactos de GANs, os detetores devem mudar para sinais mais subtis, como discrepâncias de alta frequência ou sinais de rPPG. Por sua vez, os modelos generativos podem ser treinados para imitar esses sinais, como visto na herança de rPPG de vídeos de origem. Este ciclo eterno indica que uma estratégia de prevenção que dependa apenas da deteção reativa está inserida numa corrida armamentista dispendiosa e possivelmente invencível.

É provável que as estratégias de deteção mais duradouras sejam aquelas que exploram aslacunas fundamentais entre a simulação digital e a realidade física. Enquanto os artefactos visuais são falhas na simulação que podem ser progressivamente corrigidas com melhores algoritmos e mais poder computacional, é muito mais difícil para a IA modelar propriedades emergentes da biologia e da física a partir dos primeiros princípios. Um modelo generativo não “sabe” sobre o sistema cardiovascular humano. Aprende apenas a replicar padrões de pixeis associados a rostos. Embora possa ser treinado para imitar os aspetos visuais de um batimento cardíaco, gerar um sinal fisiologicamente consistente e preciso para uma nova identidade a partir do zero exigiria modelar sistemas biológicos completos, um desafio de ordem superior. Consequentemente, a investigação mais fiável em deteção orientar-se-á para estas “lacunas de fisicalidade”, não apenas incluindo rPPG, mas potencialmente outros sinais, como subtis padrões respiratórios, dilatação involuntária da pupila e microexpressões - todos controlados por processos biológicos complexos que são difíceis de simular com alta precisão.

Construindo Confiança Digital: Prevenção Proativa através de Marcas de Água e Providência

Dadas as limitações inerentes das estratégias de deteção puramente reativas, um regime de prevenção de danos de deepfakes mais resiliente e sustentável envolve medidas proativas. Estas técnicas são projetadas para construir confiança e responsabilidade nos ecossistemas de média digital desde a sua criação. Em vez de se concentrar na identificação de falsificações após serem criadas e espalhadas, esta mudança de paradigma centra-se na verificação da autenticidade e da origem de conteúdo legítimo. Duas tecnologias líderes nesta área são as marcas de água digitais forenses e a providência de conteúdo baseada em blockchain.

Marcas de Água Digitais Forenses: Assinaturas Invisíveis

As marcas de água digitais forenses são uma técnica proativa que incorpora identificadores únicos e invisíveis diretamente no conteúdo digital, como imagens, vídeos ou documentos. Ao contrário das marcas de água visíveis - como um logótipo sobreposto a uma imagem -, as marcas de água forenses são ocultadas nos próprios dados do ficheiro e projetadas para