← Retour au Blog
Radar de rechercheDétection facialeDétection d'attaques de présentationarXivJuillet 2026

Radar arXiv mensuel

Articles sur la détection faciale de juillet 2026 : Patchs multispectraux, PAD guidé par concept et défis oculaires

Les publications sur la détection directe du visage étaient rares en juillet, mais la couche de sécurité de capture était active. Ce tour d'horizon examine donc la chaîne de détection : la possibilité de dissimuler physiquement un détecteur visuel-infrarouge fusionné, la capacité d'un modèle anti-usurpation d'identité faciale à se généraliser à des matériaux et capteurs inconnus, et la capacité de la présence d'un regard à induire une réponse biologique en temps réel qu'une rediffusion ou un générateur ne peut reproduire.

Ce que révèle ce mois-ci

VIPatch démontre que la combinaison de capteurs visibles et infrarouges n'élimine pas automatiquement le risque d'attaque physique, car un masque et un autocollant thermique coordonnés peuvent neutraliser les deux canaux. CPG-PAD exploite une autre faiblesse : les invites anti-usurpation qui s'appuient sur des artefacts de données plutôt que sur des concepts visuels réutilisables. Le protocole oculaire passe d'une classification passive à une approche active, en associant le suivi du regard et la réponse pupillaire. Ensemble, ces articles plaident en faveur de défenses multicouches contre la capture, de tests interdomaines explicites et d'une distinction rigoureuse entre les preuves de sécurité simulées et les affirmations de déploiement validées par des humains.

Article 012026-07-25cs.CR

Se cacher à la vue de tous : une attaque physique adverse efficace par patch contre la détection de visages fusionnée visuelle-infrarouge

arXivPDF

Auteurs & institutions

Qiucheng Yu

City University of Hong Kong, Hong Kong, China

Tao Ni

King Abdullah University of Science and Technology, Saudi Arabia

Yihe Zhou

City University of Hong Kong, Hong Kong, China

Jiayimei Wang

City University of Hong Kong, Hong Kong, China

Qingchuan Zhao

City University of Hong Kong, Hong Kong, China

Problème traité

Les correctifs précédents s'adaptent mal aux détecteurs fusionnés car l'optimisation pour l'image visible peut entrer en conflit avec la réponse infrarouge, et les motifs visibles sont plus facilement repérables par les personnes ou les systèmes secondaires. VIPatch vise une attaque physiquement réalisable, conjointe et visuellement discrète.

Résultat clé

L'attaque numérique en boîte noire atteint en moyenne un taux de reconnaissance automatique (ASR) de 94,59 % avec les détecteurs visibles et de 97,40 % avec les détecteurs infrarouges. En configuration physique fusionnée, VIPatch atteint un ASR de 97,27 % avec YOLOv8-Face et MTCNN, et de 100 % avec TFW et OpenCV. Son ASR physique visible se maintient à 80,29 % sous un éclairage de 12 000 lux et varie de 92,51 % à 100 % sur les distances testées, de un à trois mètres.

Résumé

Les modèles de détection faciale par fusion visuelle-infrarouge basés sur l'apprentissage profond sont de plus en plus déployés dans un large éventail d'applications, mais restent vulnérables aux attaques par patch adverses. La plupart des attaques existantes ciblent soit l'image visuelle, soit l'image infrarouge seule dans le domaine numérique, ce qui les rend inefficaces contre les modèles fusionnés dans le monde physique. De plus, nombre de ces méthodes sont facilement repérables, car leurs motifs de patch diffèrent sensiblement de ceux observés dans le monde réel. Dans cet article, nous présentons VIPatch (Visual-Infrared Patch), une nouvelle attaque par patch adverse physique qui produit des patchs discrets, réalistes et d'apparence naturelle sur les images faciales. Plus précisément, VIPatch crée un masque à dégradé de couleurs associé à un pansement adhésif sur les images visuelle et infrarouge, et optimise conjointement ces deux éléments ; les patchs numériques obtenus servent ensuite de guide pour la fabrication de leurs équivalents physiques. Les résultats expérimentaux montrent que VIPatch atteint des taux de réussite d'attaque compétitifs (plus de 90 %) dans les domaines numérique et physique, tout en conservant des patchs imperceptibles pour les observateurs humains.

Point de départ de la recherche

La fusion visuelle-infrarouge permet de maintenir la détection faciale opérationnelle en faible luminosité et dans des environnements à température variable, mais la plupart des recherches sur les attaques adverses ne ciblent qu'une seule modalité ou restent numériques. Un système de production doit savoir si un objet d'apparence ordinaire peut supprimer les deux canaux après impression, mise en place, variations d'éclairage et mouvements de caméra.

Méthode

VIPatch optimise conjointement un masque facial à dégradé de couleurs pour le canal visible et un pansement thermique pour le canal infrarouge, puis en fabrique des prototypes physiques. L'évaluation combine plusieurs détecteurs visibles et infrarouges, des transferts en boîte blanche et en boîte noire, ainsi que des tests physiques portant sur l'angle de vision, un éclairage de 200 à 12 000 lux et des distances de un à trois mètres.

À retenir

La détection multispectrale doit être modélisée comme un système couplé, et non comme deux défenses indépendantes. L'attaque présentée ici résulte d'un test d'intrusion plutôt que d'une mesure d'atténuation ; elle fournit néanmoins aux fournisseurs de détecteurs des conditions physiques concrètes, des modèles de transfert et des objectifs de réussite d'attaque permettant d'évaluer la détection des correctifs, les contrôles de cohérence des capteurs et les politiques de repli.

Article 022026-07-01cs.CV

CPG-PAD : Détection des attaques par présentation guidée par des invites conceptuelles

arXivPDF

Auteurs & institutions

Haoyuan Zhang

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

Xiangyu Zhu

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Li Gao

China Mobile Financial Technology Co., Ltd., China

Ajian Liu

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Siran Peng

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Zhen Lei

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Centre for Artificial Intelligence and Robotics, Hong Kong Institute of Science and Innovation, Chinese Academy of Sciences, Hong Kong, China

School of Computer Science and Engineering, Macau University of Science and Technology, Macau, China

Problème traité

Cet article vise à aligner les amorces apprises avec des preuves visuelles précises et pertinentes pour l'attaque, tout en supprimant les raccourcis spécifiques au domaine. Il teste également cette idée à travers des protocoles d'attaque par présentation multi-sources, à sources limitées, à source unique et avec des instruments d'attaque par présentation non vus, plutôt que de s'appuyer sur une seule division des données entre les différents ensembles.

Résultat clé

Sans données supplémentaires, CPG-PAD atteint un taux d'erreur de hachage (HTER) moyen de 2,08 % dans le protocole multi-sources à quatre voies, améliorant ainsi la performance de référence de CLIP (5,43 %). Avec CelebA-Spoof, ce taux atteint 1,19 %. Il affiche un HTER moyen de 5,33 % en transfert mono-source et de 1,02 % sur des instruments d'attaque non observés, contre 3,03 % pour la performance de référence de CLIP. L'utilisation d'un seuil basé sur l'ensemble de validation plutôt que sur les tests donne un HTER moyen de 2,28 %, mettant en évidence la limitation liée au seuillage.

Résumé

La détection des attaques par présentation (PAD) constitue une protection essentielle pour les systèmes de reconnaissance faciale contre les attaques par présentation telles que les photos imprimées, les vidéos relues et les masques 3D. Malgré des progrès significatifs, les modèles PAD existants peinent encore à généraliser à des domaines inconnus en raison des variations des capteurs, de l'éclairage et des éléments d'attaque. Les modèles vision-langage (VLM) récents ont démontré une forte capacité de généralisation, mais leurs applications en PAD restent limitées car les amorces apprises, généralement optimisées sous supervision par étiquette de classe, ne parviennent pas à s'aligner explicitement sur la sémantique visuelle fine pertinente à l'attaque. Par conséquent, les représentations apprises surajustent souvent les artefacts spécifiques au domaine au lieu de capturer des indices d'attaque transférables. Pour remédier à cela, nous proposons la détection des attaques par présentation guidée par des amorces informées par des concepts (CPG-PAD), un cadre qui introduit un guidage conceptuel au niveau du modèle dans le processus d'apprentissage des amorces. Plus précisément, nous avons conçu un module d'amélioration visuelle pilotée par les concepts (VCE) qui utilise des techniques d'IA explicable (XAI) pour découvrir automatiquement les concepts visuels pertinents pour la détection d'attaques par ordinateur (PAD) et générer des cartes thermiques associées à ces concepts, fournissant ainsi un guidage précis et localisé. Grâce à ces cartes thermiques, un mécanisme d'injection de concepts basé sur des invites (PCI) intègre ces concepts dans l'espace des invites via un décodeur d'invites visuelles (VPD) et une fonction de perte de mappage conceptuel, permettant ainsi aux invites de s'aligner sur l'espace conceptuel interne du modèle. Cette conception permet à CPG-PAD de capturer des indices d'attaque généralisables et invariants au domaine, tout en supprimant efficacement les biais spécifiques aux ensembles de données. De nombreuses expériences menées sur neuf ensembles de données de référence démontrent que CPG-PAD atteint systématiquement des performances inter-domaines de pointe dans des contextes multi-sources, à sources limitées et à source unique.

Point de départ de la recherche

Les modèles anti-usurpation d'identité faciale fonctionnent souvent bien avec les capteurs et les supports d'attaque utilisés lors de l'entraînement, mais échouent lorsque l'éclairage, les caméras, les procédés d'impression, les masques ou le maquillage changent. Les modèles vision-langage offrent des connaissances a priori larges, mais l'apprentissage par invite basé uniquement sur les étiquettes peut se focaliser sur des artefacts locaux plutôt que sur des concepts décrivant une véritable attaque par présentation.

Méthode

CPG-PAD utilise d'abord des méthodes d'explicabilité dans son module d'amélioration conceptuelle visuelle pour découvrir des concepts et produire des cartes thermiques conceptuelles localisées. Un décodeur d'invites visuelles et une fonction de perte de cartographie conceptuelle injectent ensuite ces cartes dans l'espace des invites, reliant les caractéristiques visuelles de CLIP à de multiples invites réelles/fictives apprenables. Le modèle basé uniquement sur la vision est évalué sur neuf jeux de données et fournit des mesures HTER/AUC conventionnelles ainsi que des métriques de point de fonctionnement alignées sur la norme ISO.

À retenir

Les invites guidées par concept sont prometteuses lorsqu'un produit PAD doit interagir avec des capteurs et analyser des matériaux, notamment parce qu'elles nécessitent moins d'efforts visuels que les modèles multimodaux. Les acheteurs doivent néanmoins comparer les résultats obtenus avec des seuils calibrés pour le déploiement : l'article souligne explicitement que les seuils EER couramment utilisés lors des tests peuvent surestimer l'état de préparation sur le terrain.

Article 032026-07-10cs.CV

Protocole de vérification de la vivacité oculaire par double défi-réponse

arXivPDF

Auteurs & institutions

Ismail Kably

Konelia Inc., Austin, Texas, USA

Problème traité

Le protocole proposé vise à contrer les menaces de relecture, de génération de deepfakes et de prothèses oculaires et iriens en couplant le suivi oculaire volontaire au réflexe photomoteur pupillaire involontaire. La question centrale est de savoir si le délai de rendu induit un écart de synchronisation mesurable lors de la répétition de défis aléatoires.

Résultat clé

La simulation indique une AUC de 0,502 lorsque le rendu du générateur n'ajoute aucune latence, de 0,717 à 25 ms, de 0,948 à 50 ms et d'au moins 0,997 au-delà de 75 ms pour un seul cycle. À 25 ms, dix cycles portent l'AUC à 0,966, et cinq cycles ou plus abaissent le seuil de détection simulé de 0,90 (AUC) de 50 ms à 25 ms. Ces résultats sont obtenus par simulation ; aucune mesure n'a été effectuée sur des sujets humains ni lors d'attaques génératives réelles.

Résumé

Les systèmes biométriques oculaires sont confrontés à des attaques de présentation sophistiquées, notamment la relecture vidéo haute résolution et les deepfakes générés en temps réel, qui contournent aisément les contrôles de présence statiques. Les cadres actuels de détection d'attaques par présentation (PAD) reposent généralement sur des mesures physiologiques isolées, telles que le suivi du regard ou le réflexe photomoteur (PLR), qui peuvent être falsifiées indépendamment. Cet article propose un protocole de fusion de capteurs spatio-luminance, qui introduit un cadre de vérification de la présence oculaire basé sur un double flux de défi-réponse, en unifiant ces mesures en un défi d'authentification simultané. En générant un stimulus visuel aléatoire et variable dans le temps, fluctuant à la fois dans sa trajectoire spatiale et son intensité lumineuse, nous construisons un modèle de vraisemblance d'espace d'état mathématiquement couplé, appelé matrice de synchronisation, afin d'évaluer la corrélation croisée continue entre les latences biologiques attendues du suivi de la poursuite oculaire et de la constriction pupillaire. En utilisant une simulation de Monte Carlo basée sur des distributions de latence issues de la littérature, nous démontrons la séparabilité théorique entre les conditions d'attaque réelles et simulées, et montrons qu'une conception de défi à plusieurs tours améliore la détection des deepfakes génératifs en présence d'un écart de latence de rendu non nul. Ce travail fournit un cadre théorique, étayé par la simulation, pour la défense dynamique contre l'usurpation d'identité de nouvelle génération dans les systèmes biométriques oculaires et iriens ; une validation sur des sujets humains est identifiée comme une étape future nécessaire avant tout déploiement.

Point de départ de la recherche

Les contrôles statiques du regard ou de la pupille peuvent être reproduits indépendamment, et les systèmes génératifs en temps réel reproduisent de plus en plus fidèlement les mouvements oculaires. Un test de vivacité plus rigoureux devrait exiger deux réponses biologiquement pertinentes à une nouvelle stimulation et vérifier leur relation temporelle plutôt que de classer une seule image capturée.

Méthode

Un écran fait varier simultanément la position et la luminance de la cible. Le système estime la latence du regard, la latence de constriction pupillaire et leur corrélation croisée dans une matrice de synchronisation, puis les combine en un score global. Une étude de Monte Carlo effectue 10 000 essais par condition à partir de distributions de latence issues de la littérature existante et évalue un, trois, cinq ou dix cycles indépendants pour différents délais de génération.

À retenir

Cette conception offre un modèle utile pour la surveillance en temps réel et explicite le compromis entre sécurité et latence, mais ne constitue pas encore une garantie de précision déployable. Une évaluation du produit nécessiterait un étalonnage humain, des mesures de synchronisation des capteurs, des attaques par latence corrélée et des tests d'intrusion sur des moteurs de rendu temps réel.