← Voltar ao Blog
Radar de pesquisaDetecção de rostoDetecção de ataques de apresentaçãoarXivJulho de 2026

Radar mensal do arXiv

Artigos sobre Detecção Facial de Julho de 2026: Patches Multiespectrais, PAD Guiado por Conceito e Desafios Oculares

Em julho, os artigos sobre detectores faciais diretos eram escassos, mas a camada de segurança de captura estava ativa. Esta análise, portanto, segue a pilha de detecção de dentro para fora: se um detector visual-infravermelho combinado pode ser fisicamente ocultado, se um modelo anti-falsificação facial pode ser generalizado para materiais e sensores invisíveis e se a vivacidade ocular pode forçar uma resposta biológica em tempo real que uma reprodução ou gerador não consegue reproduzir.

O que este mês sinaliza

O VIPatch demonstra que a combinação de sensores visíveis e infravermelhos não elimina automaticamente o risco físico de ataques adversários, pois uma máscara e um adesivo térmico coordenados podem suprimir ambos os canais. O CPG-PAD ataca uma vulnerabilidade diferente: os alertas anti-falsificação que se baseiam em artefatos do conjunto de dados em vez de conceitos visuais reutilizáveis. O protocolo ocular passa da classificação passiva para um desafio ativo, acoplando o rastreamento do olhar e a resposta pupilar. Em conjunto, os artigos defendem defesas de captura em camadas, testes explícitos entre domínios e uma separação cuidadosa entre evidências de segurança simuladas e alegações de implementação validadas por humanos.

Artigo 012026-07-25cs.CR

Escondendo-se à vista de todos: um ataque físico adversário eficaz contra a detecção facial por fusão visual-infravermelha.

arXivPDF

Autores e instituições

Qiucheng Yu

City University of Hong Kong, Hong Kong, China

Tao Ni

King Abdullah University of Science and Technology, Saudi Arabia

Yihe Zhou

City University of Hong Kong, Hong Kong, China

Jiayimei Wang

City University of Hong Kong, Hong Kong, China

Qingchuan Zhao

City University of Hong Kong, Hong Kong, China

Que problema resolve

Os patches anteriores apresentam baixa transferência para detectores combinados porque a otimização para a imagem visível pode entrar em conflito com a resposta infravermelha, e padrões chamativos são mais fáceis de serem percebidos por pessoas ou sistemas secundários. O VIPatch busca um ataque conjunto, visualmente discreto e fisicamente viável.

Resultado-chave

O ataque digital de caixa preta apresenta uma taxa média de reconhecimento de alvos (ASR) de 94,59% em detectores visíveis e 97,40% em detectores infravermelhos. No cenário de fusão física, o VIPatch atinge 97,27% de ASR nos testes YOLOv8-Face e MTCNN e 100% nos testes TFW e OpenCV. Sua taxa de ASR física visível permanece em 80,29% sob luz de 12.000 lux e varia de 92,51% a 100% nas distâncias testadas de um a três metros.

Resumo

Modelos de detecção facial baseados em aprendizado profundo que combinam imagens visuais e infravermelhas são cada vez mais utilizados em uma ampla gama de aplicações, porém permanecem suscetíveis a ataques adversários de patches. A maioria dos ataques anteriores visa apenas a imagem visual ou infravermelha no domínio digital, o que os torna ineficazes contra modelos combinados no mundo físico. Além disso, muitos desses métodos são facilmente perceptíveis, pois seus padrões de patches divergem substancialmente daqueles observados no mundo real. Neste artigo, apresentamos o VIPatch (Visual-Infrared Patch), um novo ataque adversário físico de patches que produz patches discretos, realistas e com aparência natural para imagens faciais. Especificamente, o VIPatch cria uma máscara de cores gradientes juntamente com um adesivo de curativo sobre as imagens visual e infravermelha, otimizando conjuntamente esses dois elementos; os patches digitais resultantes orientam a fabricação de suas contrapartes físicas. Os resultados experimentais mostram que o VIPatch atinge taxas de sucesso de ataque competitivas (acima de 90%) tanto no domínio digital quanto no físico, mantendo os patches imperceptíveis para observadores humanos.

Ponto de partida da pesquisa

A fusão visual-infravermelha é usada para manter a detecção facial funcionando em ambientes com pouca luz e temperaturas controladas, mas a maioria das pesquisas adversárias ataca apenas uma modalidade ou permanece digital. Um sistema de produção precisa saber se um objeto de aparência comum pode suprimir ambos os canais após impressão, posicionamento, mudanças de iluminação e movimento da câmera.

Método

A VIPatch otimiza conjuntamente uma máscara facial com gradiente de cores para o canal visível e um adesivo térmico semelhante a um curativo para o canal infravermelho, fabricando em seguida suas contrapartes físicas. A avaliação combina múltiplos detectores visíveis e infravermelhos, transferência de dados em modelos de caixa branca e caixa preta, e testes físicos em diferentes ângulos de visão, iluminação de 200 a 12.000 lux e distâncias de um a três metros.

Síntese do artigo

A detecção multiespectral deve ser modelada como um sistema acoplado, e não como duas defesas independentes. O ataque é resultado de uma simulação de ataque (red team), e não de uma mitigação, mas fornece aos fornecedores de detectores condições físicas concretas, modelos de transferência e metas de sucesso de ataque para avaliar a detecção de falhas, verificações de consistência do sensor e políticas de contingência.

Artigo 022026-07-01cs.CV

CPG-PAD: Apresentação guiada por instruções conceituais para detecção de ataques.

arXivPDF

Autores e instituições

Haoyuan Zhang

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

Xiangyu Zhu

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Li Gao

China Mobile Financial Technology Co., Ltd., China

Ajian Liu

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Siran Peng

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Zhen Lei

State Key Laboratory of Multimodal Artificial Intelligence Systems, Institute of Automation, Chinese Academy of Sciences, China

School of Artificial Intelligence, University of Chinese Academy of Sciences, China

Centre for Artificial Intelligence and Robotics, Hong Kong Institute of Science and Innovation, Chinese Academy of Sciences, Hong Kong, China

School of Computer Science and Engineering, Macau University of Science and Technology, Macau, China

Que problema resolve

O objetivo deste artigo é alinhar dicas aprendidas com evidências visuais detalhadas e relevantes para o ataque, suprimindo atalhos específicos do domínio. Ele também testa a mesma ideia em protocolos de ataque com múltiplas fontes, fontes limitadas, fonte única e instrumentos de apresentação não vistos, em vez de se basear em uma única divisão entre conjuntos de dados.

Resultado-chave

Sem dados suplementares, o CPG-PAD atinge uma taxa média de transferência de hífen (HTER) de 2,08% no protocolo de múltiplas fontes com quatro vias, melhorando a linha de base do CLIP de 5,43%; com o CelebA-Spoof, atinge 1,19%. Apresenta uma HTER média de 5,33% na transferência de fonte única e 1,02% em instrumentos de ataque não vistos, onde a linha de base do CLIP é de 3,03%. Utilizando um limiar do conjunto de validação em vez de um limiar derivado do teste, obtém-se uma HTER média de 2,28%, tornando visível a limitação do limiar.

Resumo

A Detecção de Ataques de Apresentação (PAD, na sigla em inglês) serve como uma salvaguarda crucial para sistemas de reconhecimento facial contra ataques de apresentação, como fotos impressas, vídeos reproduzidos e máscaras 3D. Apesar do progresso significativo, os modelos de PAD existentes ainda têm dificuldades em generalizar para domínios desconhecidos devido a variações em sensores, iluminação e materiais de ataque. Modelos de Visão-Linguagem (VLMs, na sigla em inglês) recentes demonstraram forte capacidade de generalização, mas suas aplicações em PAD permanecem limitadas porque os prompts aprendidos, tipicamente otimizados sob supervisão de rótulos de classe, não conseguem se alinhar explicitamente com a semântica visual refinada relevante para o ataque. Como resultado, as representações aprendidas frequentemente se ajustam excessivamente a artefatos específicos do domínio, em vez de capturar pistas de ataque transferíveis. Para solucionar isso, propomos a Detecção de Ataques de Apresentação Guiada por Prompts Informados por Conceitos (CPG-PAD), uma estrutura que introduz orientação conceitual em nível de modelo no processo de aprendizado de prompts. Especificamente, desenvolvemos um módulo de Aprimoramento Orientado a Conceitos Visuais (VCE) que emprega técnicas de Inteligência Artificial Explicável (XAI) para descobrir automaticamente conceitos visuais relevantes para o PAD e gerar mapas de calor associados a esses conceitos, fornecendo orientações localizadas e precisas. Guiado por esses mapas de calor, um mecanismo de Injeção de Conceitos Baseada em Instrução (PCI) integra esses conceitos ao espaço de instruções por meio de um Decodificador de Instrução Visual (VPD) e uma função de perda de mapeamento de conceitos, permitindo que as instruções se alinhem ao espaço conceitual interno do modelo. Esse design permite que o CPG-PAD capture pistas de ataque generalizáveis ​​e invariantes ao domínio, suprimindo efetivamente os vieses específicos do conjunto de dados. Experimentos extensivos em nove conjuntos de dados de referência demonstram que o CPG-PAD atinge consistentemente o melhor desempenho entre domínios em configurações de múltiplas fontes, fontes limitadas e fonte única.

Ponto de partida da pesquisa

Os modelos anti-falsificação facial geralmente apresentam bom desempenho nos sensores e mídias de ataque vistos durante o treinamento, mas falham quando a iluminação, as câmeras, os processos de impressão, as máscaras ou a maquiagem mudam. Os modelos de visão-linguagem oferecem amplos conhecimentos prévios, mas o aprendizado baseado apenas em rótulos ainda pode se fixar em artefatos locais do conjunto de dados em vez de conceitos que descrevem um ataque de apresentação real.

Método

O CPG-PAD utiliza inicialmente métodos de explicabilidade em seu módulo de Aprimoramento Orientado a Conceitos Visuais para descobrir conceitos e gerar mapas de calor conceituais localizados. Um Decodificador de Estímulos Visuais e uma função de perda de mapeamento conceitual injetam esses mapas no espaço de estímulos, conectando as características visuais do CLIP a múltiplos estímulos reais/falsos treináveis. O modelo, baseado exclusivamente em visão computacional, é avaliado em nove conjuntos de dados e apresenta métricas convencionais de HTER/AUC e métricas de ponto de operação alinhadas à ISO.

Síntese do artigo

Os comandos guiados por conceitos são promissores quando um produto PAD precisa interagir com sensores e materiais de ataque, principalmente porque ocupam menos espaço apenas com recursos visuais do que os modelos de linguagem multimodal. Os compradores ainda devem comparar os resultados com base em limites calibrados para implantação: o artigo observa explicitamente que os limites de EER (Taxa de Erro de Engenharia) derivados de testes comuns podem superestimar a prontidão em campo.

Artigo 032026-07-10cs.CV

Um protocolo de desafio-resposta de fluxo duplo para verificação da vitalidade ocular

arXivPDF

Autores e instituições

Ismail Kably

Konelia Inc., Austin, Texas, USA

Que problema resolve

O protocolo proposto aborda ameaças de reprodução, deepfake generativo e próteses aos sistemas ocular e da íris, acoplando o olhar de perseguição suave voluntário ao reflexo pupilar involuntário à luz. A questão central é se o atraso na renderização cria uma lacuna de sincronização mensurável em desafios aleatórios repetidos.

Resultado-chave

A simulação reporta uma AUC de 0,502 quando a renderização do gerador não adiciona latência, 0,717 em 25 ms, 0,948 em 50 ms e pelo menos 0,997 além de 75 ms para uma única rodada. Em 25 ms, dez rodadas elevam a AUC para 0,966, e cinco ou mais rodadas reduzem o limiar de detecção simulado de 0,90 de AUC de 50 ms para 25 ms. Estes são resultados in silico; nenhum sujeito humano ou ataque generativo real foi medido.

Resumo

Os sistemas biométricos oculares enfrentam ataques de apresentação sofisticados, incluindo reproduções de vídeo em alta resolução e deepfakes generativos em tempo real, que facilmente contornam as verificações estáticas de vivacidade. As estruturas atuais de Detecção de Ataques de Apresentação (PAD) geralmente dependem de métricas fisiológicas isoladas, como rastreamento ocular ou o Reflexo Pupilar à Luz (RPL), que podem ser falsificadas independentemente. Este artigo propõe um protocolo de Fusão de Sensores Espaço-Luminância, que introduz uma estrutura de desafio-resposta de fluxo duplo para verificação de vivacidade ocular, unindo essas métricas em um desafio de autenticação simultâneo. Ao gerar um estímulo visual aleatório e variável no tempo, que flutua tanto na trajetória espacial quanto na intensidade da luminância, construímos um modelo de verossimilhança de espaço de estados matematicamente acoplado, denominado Matriz de Sincronização, para avaliar a correlação cruzada contínua entre as latências biológicas esperadas do rastreamento de perseguição suave e da constrição pupilar. Utilizando simulação de Monte Carlo baseada em distribuições de latência derivadas da literatura, demonstramos a separabilidade teórica entre condições de ataque genuínas e simuladas, e mostramos que um projeto de desafio com múltiplas rodadas melhora a detecção de deepfakes generativos quando existe uma lacuna de latência de renderização não nula. Este trabalho fornece uma estrutura teórica com suporte de simulação para a defesa dinâmica de próxima geração contra falsificação em biometria ocular e de íris; a validação com participantes humanos é identificada como trabalho futuro necessário antes que se possa afirmar sua eficácia em aplicações práticas.

Ponto de partida da pesquisa

A observação estática do olhar ou a verificação da pupila podem ser reproduzidas independentemente, e os sistemas generativos em tempo real reproduzem cada vez mais movimentos oculares plausíveis. Um teste de vivacidade mais robusto deve exigir duas respostas biologicamente controladas a um novo estímulo e verificar a relação temporal entre elas, em vez de classificar um único quadro capturado.

Método

Um monitor varia simultaneamente a posição e a luminância do alvo. O sistema estima a latência do olhar, a latência da constrição da pupila e sua correlação cruzada em uma Matriz de Sincronização, combinando-as em uma pontuação conjunta. Um estudo de Monte Carlo executa 10.000 tentativas por condição, utilizando distribuições de latência extraídas da literatura anterior, e avalia uma, três, cinco ou dez rodadas independentes em diferentes atrasos do gerador.

Síntese do artigo

O projeto oferece um modelo útil para interação ativa e explicita sua relação de compromisso entre segurança e latência, mas ainda não é uma afirmação de precisão que possa ser implementada. Uma avaliação do produto ainda precisaria de calibração humana, medições de tempo dos sensores, ataques de latência correlacionada e testes de equipe vermelha contra renderizadores reais em tempo real.