Camuflagem de IA engana câmeras de vigilância de rebanho

Bill Swearingen afirma que encontrou uma maneira barata e eficaz de esconder coisas dos olhos automatizados da vigilância moderna: uma camuflagem gerada por IA que engana modelos de detecção de objetos usados por sistemas como o Flock. Swearingen, pesquisador de segurança de Kansas City e co-fundador do meetup SecKC, passou o último ano realizando repetidamente o mesmo experimento em casa. Após cerca de 31 milhões de testes, ele afirma que seu modelo de aprendizado por reforço pode gerar padrões sob demanda que fazem o software de detecção do Flock ignorar qualquer coisa coberta pelo padrão. Ele demonstrou publicamente pela primeira vez a técnica na sexta-feira na Def Con, em parceria com a Donut Media, envolvendo um Toyota Yaris de 2009 com um de seus designs mais recentes e dirigindo-o em frente a uma câmera do Flock. “Provamos que era eficaz”, disse ele ao TechCrunch, embora tenha admitido que as rodas do carro apresentaram um desafio. A Donut Media planeja publicar em breve um vídeo da demonstração. Aviso importante: o adesivo não cega a câmera. A gravação ainda é feita e um humano assistindo ao vídeo vê um carro. O que o padrão visa é a camada da máquina — o modelo de detecção de objetos que normalmente rotula “isso é um veículo” ou “isso é uma placa” e registra. Ao alimentar um detector de IA com ruído visualmente projetado, adaptado aos próprios limites de decisão dele, o modelo deixa de registrar o objeto. Em resumo, o aprendizado adversarial transforma design visível em invisibilidade estatística. Swearingen descreve seu sistema — chamado noRecognition — como uma forma de “ensinar ao modelo como pintar”. O modelo de reforço avalia cada saída em relação ao detector-alvo e melhora iterativamente, produzindo agora novos padrões candidatos aproximadamente a cada minuto. Ele diz que mantém os padrões mais fortes off-line para evitar que fabricantes de câmeras treinem seus sistemas contra eles. “Privacidade é um direito fundamental”, disse ele aos jornalistas, apresentando o projeto como uma maneira das pessoas optarem por sair do rastreamento onipresente. Ele afirma que a ideia surgiu de uma preocupação pessoal: ele queria participar de um protesto e temia ser registrado por câmeras próximas. O trabalho noRecognition insere-se em uma longa história de táticas anti-deteção de baixa e alta tecnologia. Manifestantes usaram cones para confundir táxis robóticos, máscaras e capuzes são comuns em linhas de protesto, e roupas adversariais e óculos anti-reconhecimento comercialmente vendidos já apareceram — embora a evidência de sua eficácia no mundo real tenha sido mista. O que diferencia o projeto de Swearingen é seu foco explícito em pilhas comerciais amplamente implantadas, com o Flock sendo especificamente apontado. O sistema de vigilância da empresa tornou-se controverso no Capitólio, e documentos internos mostram que ele já propôs transformar até 350 mil câmeras de painel de Uber e Lyft em uma frota móvel de varredura de placas. Leitores automatizados já tiveram consequências reais perigosas — correspondências erradas levaram a paradas de trânsito armadas — e críticos alertam que comunidades imigrantes e manifestantes podem ser arrastados pela aplicação automatizada. Legisladores também estão analisando recursos de reconhecimento facial de outras empresas, como os óculos inteligentes da Meta, o que significa que respostas legais à detecção automatizada estão sendo ativamente exploradas. Swearingen lançou uma campanha de financiamento coletivo para financiar produtos iniciais — camisetas e moletoms agora, adesivos para veículos depois — dizendo que o objetivo é uma resolução de padrão que funcione à distância e um visual que as pessoas realmente usem. Ele observa áreas legais ambíguas: dirigir um carro envolto levanta questões estaduais sobre obstrução de placas, e seus padrões evitam explicitamente cobrir placas de licenciamento, concentrando-se apenas na carroceria. “Cada falha melhora meu modelo, e por isso [os padrões] ficam cada vez melhores”, disse ele. O projeto levanta questões mais agudas sobre o futuro da vigilância, a corrida armamentista entre sistemas de detecção e tecnologias evasivas, e como a sociedade escolhe equilibrar segurança, privacidade e liberdades civis. A demonstração de Swearingen mostra que, por enquanto, uma combinação de aprendizado de máquina inteligente e design gráfico pode fazer os detectores de IA modernos olharem para outro lado.