VIPatch: adesivo adversarial físico engana sistemas de reconhecimento facial que combinam câmeras visíveis e infravermelhas
Pesquisadores apresentam o VIPatch, um adesivo físico disfarçado de curativo que engana simultaneamente sensores visíveis e infravermelhos usados em sistemas de detecção facial fundidos — uma combinação até então considerada mais resistente a ataques adversariais do que sensores isolados. O ataque atinge taxa de sucesso acima de 90% tanto no domínio digital quanto no físico, mantendo aparência discreta para observadores humanos.
Sistemas de detecção facial que fundem imagens visíveis e infravermelhas são cada vez mais usados justamente porque a combinação dos dois espectros é considerada mais robusta contra ataques adversariais do que qualquer um dos sensores isoladamente — um patch que engana a câmera comum tende a ficar visível ou inconsistente no infravermelho, e vice-versa. O VIPatch (Visual-Infrared Patch) ataca essa suposição diretamente: em vez de otimizar um padrão adversarial só para um espectro, os autores criam uma máscara de cor em gradiente combinada visualmente com um curativo (band-aid) sobre o rosto, e otimizam esse elemento de forma conjunta para enganar tanto a análise visível quanto a infravermelha ao mesmo tempo.
O fluxo de ataque parte de uma otimização digital do padrão adversarial, que depois orienta a fabricação do adesivo físico real a ser colado no rosto de uma pessoa. O resultado reportado é uma taxa de sucesso de ataque superior a 90% tanto em testes digitais quanto em testes físicos reais, mantendo o padrão discreto o suficiente para não chamar atenção de um observador humano — ao contrário de patches adversariais anteriores, que costumam ter cores e texturas claramente artificiais e fáceis de notar a olho nu.
Isso importa na prática porque sistemas de detecção facial multiespectral já são usados em controle de acesso físico e vigilância justamente por sua robustez percebida contra falsificação, incluindo cenários de segurança de perímetro e autenticação biométrica. Um atacante que consiga produzir fisicamente um adesivo como o VIPatch — algo tecnicamente factível fora de um laboratório, já que o próprio artigo demonstra a viabilidade da fabricação física — poderia burlar esse tipo de controle sem levantar suspeita visual, o que é bem mais grave do que um ataque adversarial que só funciona contra uma foto digital ou que exige um objeto obviamente estranho no rosto. O trabalho reforça que a fusão de modalidades sensoriais reduz, mas não elimina, a superfície de ataque adversarial contra sistemas biométricos, e que defesas específicas para ataques físicos multiespectrais ainda são pouco maduras.