Modelo de aprendizado rodou 31 milhões de testes e derrotou os 11 algoritmos de código aberto avaliados
O pesquisador de segurança cibernética Bill Swearingen apresentou durante um evento em Las Vegas, o primeiro teste público do noRecognition, projeto que investiga se padrões visuais gerados por computador conseguem interferir nos softwares usados para identificar pessoas, veículos e outros objetos em câmeras de vigilância.
Em parceria com o canal Donut Media, ele cobriu um Toyota Yaris 2009 com um de seus padrões e passou com o carro em frente a uma câmera da Flock Safety, empresa norte-americana de leitura automática de placas.
“Provamos que era eficaz”, disse Swearingen, profissional de segurança cibernética e fundador da SIXCYBER, ao TechCrunch.
O alvo é o software, não a câmera
O padrão não impede a câmera de gravar. Ele foi desenhado para impedir que o software conectado à câmera reconheça o que está vendo. Uma pessoa ou um veículo coberto pelo padrão continua aparecendo nas imagens, mas o sistema de detecção pode não classificá-lo como pessoa ou veículo.
Essa é a ideia central do noRecognition. Swearingen quer tornar mais difícil que sistemas automatizados de câmeras rastreiem pessoas em espaços públicos. O objetivo, segundo ele, é dar às pessoas uma forma de “sair do rastreamento”.
“Privacidade é um direito fundamental”, disse Swearingen.
Um ano de testes e 31 milhões de tentativas
O pesquisador passou o último ano construindo e testando o sistema em sua casa em Kansas City, no Meio-Oeste norte-americano. Ele afirma ter rodado cerca de 31 milhões de testes até agora. O trabalho começou como um pequeno laboratório voltado a derrotar algoritmos individuais de detecção de objetos de código aberto e depois evoluiu para um modelo de aprendizado por reforço capaz de gerar e aperfeiçoar padrões por conta própria.
Ele descreveu o processo como ensinar o modelo “a pintar”.
O modelo testa um padrão contra o software de detecção da câmera, se o software ainda consegue identificar o objeto coberto pelo padrão, o sistema ajusta o desenho e tenta de novo. Com o tempo, aprende quais elementos visuais e têm mais chance de confundir os algoritmos.
Segundo o pesquisador, o modelo produziu padrões capazes de derrotar os 11 algoritmos de detecção de código aberto que ele testou, entre eles softwares usados em sistemas associados aos leitores de placas da Flock, às câmeras corporais da Axon e à Clearview AI. Ele afirma que o modelo agora gera novos padrões a cada minuto, e que cada teste sem sucesso fornece mais dados e permite gerar padrões mais eficazes ao longo do tempo.
Aprendizado de máquina adversarial
A tecnologia se encaixa em uma categoria conhecida como aprendizado de máquina adversarial. Ela se apoia no fato de que sistemas de visão computacional não interpretam imagens da mesma forma que as pessoas. Um padrão que parece apenas um desenho incomum para o olho humano pode levar um modelo de detecção a classificar o objeto de forma errada ou a não identificá-lo.
A abordagem é diferente das tentativas de bloquear fisicamente a câmera, noRecognition não pretende esconder alguém do campo de visão nem interferir no equipamento em si, o alvo é a camada de software que processa vídeo, lê placas e identifica rostos ou objetos.
Esse software se tornou item padrão em muitas redes de câmeras. Forças policiais o utilizam para pesquisar imagens e identificar veículos ou pessoas de interesse. Empresas privadas e governos locais também usam ferramentas de detecção automatizada em estacionamentos, ruas e outros espaços públicos.
Esses sistemas conseguem processar um volume de vídeo muito maior do que uma pessoa seria capaz de revisar manualmente, mas também vêm sendo questionados por causa de erros e das consequências de identificações incorretas. Swearingen afirmou que sua preocupação com o avanço das câmeras de vigilância ajudou a motivar o projeto.
Ele contou que percebeu a densidade de câmeras em sua cidade, Kansas City, e começou a pensar em como seria difícil escapar do rastreamento automatizado. Disse também que se sentiu desconfortável ao participar de um protesto no ano passado, pela possibilidade de câmeras rastrearem os manifestantes.
Camisetas agora, envelopamento depois
Artistas e fabricantes de roupas já tentaram desenvolver estampas capazes de confundir sistemas de reconhecimento facial. Para Swearingen, esse trabalho ajudou a demonstrar que o método era possível, seu projeto se concentra em usar um modelo para criar e refinar padrões em escala muito maior.
O noRecognition mantém uma campanha de financiamento coletivo para roupas impressas com os padrões, incluindo camisetas e moletons. Swearingen disse que envelopamentos para veículos podem vir depois. A meta, segundo ele, é fazer padrões grandes e nítidos o suficiente para funcionar a distância, sem tornar a roupa impossível de vestir ou o envelopamento inviável de usar.
Ele mantém em sigilo, por ora, seus padrões mais eficazes, alegando não querer que fabricantes de câmeras desenvolvam defesas rapidamente.
