Can a Teenager Fool an AI? Evaluating Low-Cost Cosmetic Attacks on Age Estimation Systems

Die Studie zeigt, dass einfache, mit Haushaltskosmetik nachahmbare physische Manipulationen wie Bartwuchs oder Make-up KI-gestützte Altersschätzungssysteme zuverlässig täuschen können, indem sie Minderjährige fälschlicherweise als Erwachsene einstufen, was die Notwendigkeit robusterer Verifikationsverfahren unterstreicht.

Das Wesentliche

Stell dir vor, das Internet ist eine riesige, belebte Stadt mit vielen Clubs, Bars und Geschäften, die nur für Erwachsene (ab 18 Jahren) zugänglich sind. An den Eingängen stehen heute nicht mehr nur strengen Türsteher mit Papiernachweisen, sondern KI-Türsteher (künstliche Intelligenz). Diese KI schaut dir kurz ins Gesicht und entscheidet: „Du siehst jung aus – rein darf nicht!" oder „Du siehst erwachsen aus – willkommen!"

Die Forscher dieses Papiers haben sich gefragt: Was passiert, wenn ein Teenager versucht, diesen KI-Türsteher zu täuschen?

Hier ist die einfache Erklärung der Studie, verpackt in ein paar anschauliche Bilder:

1. Der Trick: Keine Hacking-Kenntnisse nötig

Früher dachte man, man müsse ein genialer Hacker sein, um eine KI zu täuschen. Man müsste komplexe digitale Muster in das Foto einfügen, die für das menschliche Auge unsichtbar sind.

Diese Studie zeigt aber etwas ganz anderes: Man braucht kein Computer-Genie. Ein normaler Teenager kann das mit Dingen aus dem Drogeriemarkt machen.
Stell dir die KI wie einen sehr aufmerksamen, aber etwas naiven Türsteher vor, der nur auf bestimmte Merkmale achtet (wie Bartstoppeln, graue Haare oder Falten). Wenn ein Teenager diese Merkmale einfach vortäuscht, denkt die KI: „Aha, dieser Junge ist ja schon ein alter Hase!"

2. Die vier „Verkleidungen" (Die Waffen)

Die Forscher haben vier einfache Methoden getestet, die jeder Teenager zu Hause nachmachen könnte (in der Simulation durch eine KI-Bildbearbeitung):

• Der falsche Bart: Ein aufgeklebter oder gemalter Bart. Das ist wie ein magischer Zauberstab für die KI. Sobald ein Gesicht einen Bart hat, denkt die KI sofort: „Das ist ein Mann, der ist sicher über 18."
• Graue Haare: Ein grauer Haartönung oder eine Perücke. Das ist wie ein alter Hut, den man aufsetzt. Die KI sieht Grau und denkt automatisch an „Erwachsen".
• Make-up: Ein erwachsenes Make-up, das die Haut glatter oder reifer wirken lässt.
• Falten: Künstliche Falten (z. B. mit Creme gemalt), die die Stirn oder Augen umgeben.

3. Das Experiment: Der große Test

Die Forscher haben 329 Fotos von echten Menschen (im Alter von 10 bis 21 Jahren) genommen. Sie haben diese Fotos digital so bearbeitet, als hätte der Teenager den Bart aufgesetzt, die Haare gefärbt und das Make-up aufgetragen. Dann haben sie diese „verkleideten" Fotos acht verschiedenen KI-Türsteher-Systemen gezeigt.

Das Ergebnis war erschreckend einfach:

• Nur der Bart allein: Schon allein ein aufgeklebter Bart reichte aus, um bis zu 69 % der Teenager durch das Sicherheitsgitter zu lassen, die vorher als Minderjährige erkannt wurden.
• Die „Super-Verkleidung": Wenn man alle vier Tricks kombiniert (Bart + graue Haare + Make-up + Falten), dann schaut die KI auf das Bild und denkt im Durchschnitt: „Dieser Teenager ist 7,7 Jahre älter als er wirklich ist."
• Der Durchbruch: Bei der stärksten Verkleidung wurden 83 % der Teenager, die eigentlich als Minderjährige erkannt wurden, plötzlich für Erwachsene gehalten.

4. Warum ist das ein Problem?

Stell dir vor, du hast einen sehr teuren, hochmodernen Alarmsystem-Schloss an deiner Haustür. Es funktioniert perfekt, wenn niemand etwas tut. Aber sobald jemand einen einfachen Trick anwendet (wie einen falschen Schlüssel oder ein Stück Klebeband), geht die Tür einfach auf.

Das ist genau das Problem mit den aktuellen Altersverifikationssystemen:

• Sie sind darauf trainiert, normale Gesichter zu erkennen.
• Sie sind nicht darauf trainiert, zu prüfen, ob das Gesicht „echt" ist oder ob jemand nur ein paar Dinge aufgemalt hat.
• Die Gesetze in vielen Ländern (wie in der EU oder den USA) verlangen, dass Plattformen Kinder schützen. Aber diese Studie zeigt: Der aktuelle Schutz ist wie ein Papierzaun. Ein Teenager kann ihn mit ein paar Dollar aus der Drogerie umgehen.

5. Was bedeutet das für die Zukunft?

Die Forscher sagen: „Halt, Stop!"
Bevor wir KI-Systeme überall einsetzen, um Kinder zu schützen, müssen wir testen, wie robust sie gegen solche einfachen Tricks sind.

• Die gute Nachricht: Einige neuere KI-Modelle (die sogenannten „VLMs", die wie ein menschlicher Denker funktionieren) waren etwas widerstandsfähiger als die alten, spezialisierten Systeme. Aber auch sie ließen sich täuschen.
• Die schlechte Nachricht: Kein System war zu 100 % sicher.

Fazit in einem Satz:
Ein Teenager muss kein Hacker sein, um Altersgrenzen im Internet zu umgehen; er braucht nur einen Bart und ein bisschen Make-up – und die aktuelle KI-Technologie ist darauf nicht vorbereitet. Es ist Zeit, die Türsteher besser zu trainieren, nicht nur auf Gesichter zu schauen, sondern auch auf die Wahrheit dahinter.

Technische Zusammenfassung

1. Problemstellung

Altersschätzungssysteme werden zunehmend als Gatekeeper für altersbeschränkte Online-Inhalte (z. B. soziale Medien, Glücksspiel, Alkoholverkauf) eingesetzt, um die Einhaltung gesetzlicher Vorschriften (wie dem UK Online Safety Act oder dem EU Digital Services Act) zu gewährleisten. Trotz dieser weitverbreiteten Nutzung wurde die Robustheit dieser KI-Systeme gegenüber einfachen kosmetischen Manipulationen bisher nicht systematisch untersucht.

Das zentrale Problem ist, dass Minderjährige (unter 18 Jahren) potenziell in der Lage sein könnten, Altersverifizierungssysteme durch nicht-technische, physische Mittel zu täuschen. Bisherige Forschungsarbeiten konzentrierten sich entweder auf digitale Adversarial-Attacks (die Modellzugriff erfordern) oder auf das Umgehen von Gesichtserkennung (Identity Bypass), nicht jedoch auf das Umgehen von Altersschätzung durch alltägliche Kosmetik.

2. Methodik

Die Autoren entwickelten einen neuen Ansatz zur Simulation physischer Angriffe, der keine ethischen Bedenken bezüglich der Manipulation realer Personen aufwirft.

• Threat Model (Bedrohungsmodell): Der Angreifer ist ein technisch unerfahrener Minderjähriger, der über keine Modellzugriffe oder Gradientenberechnungen verfügt. Die Ressourcen beschränken sich auf im Drogeriemarkt erhältliche Kosmetikartikel: ein künstlicher Bart, graue Haare (Färbung/Perücke), Make-up und simulierte Falten.
• Datensatz: Der Testdatensatz besteht aus 329 Gesichtsbildern von Personen im Alter von 10 bis 21 Jahren, extrahiert aus acht Standard-Datensätzen (z. B. UTKFace, IMDB-WIKI, MORPH).
• Simulationswerkzeug: Anstatt physische Experimente durchzuführen, nutzten die Autoren einen Vision-Language-Model (VLM) Bildeditor (Gemini 2.5 Flash Image), um die kosmetischen Änderungen digital auf die Bilder anzuwenden. Dies ermöglichte eine skalierbare und reproduzierbare Simulation.
• Angriffstypen:
  1. Bart: Hinzufügen eines realistischen Vollbarts mit grauen Einmischungen.
  2. Graue Haare: Umwandlung der Haarfarbe in silbergrau.
  3. Make-up: Anwendung von Foundation, Rouge und Konturierung, um das Alter zu erhöhen.
  4. Falten: Hinzufügen von natürlichen Falten an Stirn und Augenwinkel.
  • Es wurden alle 15 nicht-leeren Teilmengen dieser Angriffe (Einzelangriffe, Paare, Tripel, Vollkombination) getestet.
• Ausgewertete Modelle: Acht Modelle wurden evaluiert:
  • 5 spezialisierte Computer-Vision-Architekturen (z. B. MiVOLO, Custom-Best, DEX).
  • 3 Zero-Shot Vision-Language-Modelle (VLMs: Gemini 3 Flash, Gemini 2.5 Flash, GPT-5-Nano).

3. Schlüsselbeiträge

• Erste systematische Studie zu physischen kosmetischen Angriffen: Dies ist die erste Arbeit, die kosmetische Modifikationen als gezielten Angriff auf Altersschätzungssysteme untersucht, ohne dass technisches Wissen oder Modellzugriff nötig sind.
• Einführung der „Attack Conversion Rate" (ACR): Die Autoren führen eine neue Metrik ein, die den Anteil der Bilder misst, die vom Modell ursprünglich als „Minderjähriger" klassifiziert wurden, aber nach dem Angriff als „Erwachsener" eingestuft werden. Im Gegensatz zur reinen Umgehungsrate ist die ACR populationsunabhängig und ermöglicht einen fairen Vergleich zwischen Datensätzen mit unterschiedlichen Altersverteilungen.
• Cross-Paradigma Benchmark: Erster direkter Vergleich der Robustheit zwischen spezialisierten CV-Modellen und modernen VLMs unter einem gemeinsamen realen Bedrohungsmodell.

4. Ergebnisse

Die Studie zeigt erhebliche Schwachstellen in aktuellen Altersverifizierungssystemen:

• Einzelne Angriffe:
  • Ein künstlicher Bart ist der effektivste Einzelangriff. Er erzielt eine ACR von 28 % bis 69 % über alle Modelle hinweg und verschiebt das geschätzte Alter im Durchschnitt um +1,6 bis +5,1 Jahre.
  • Graue Haare wirken stärker auf VLMs als auf spezialisierte Modelle.
  • Make-up hat einen überraschenden Effekt: Es verursacht kaum eine Verschiebung des durchschnittlichen Alters (+0,05 Jahre), erreicht aber dennoch eine signifikante ACR (29–49 %). Dies deutet darauf hin, dass Make-up Vorhersagen selektiv knapp über die Schwelle von 18 Jahren schiebt, ohne das Alter systematisch zu erhöhen.
• Kombinierte Angriffe:
  • Die Kombination aller vier Angriffe (Bart + graue Haare + Make-up + Falten) führt zu einer durchschnittlichen Altersverschiebung von +7,7 Jahren.
  • Die ACR steigt auf bis zu 83 % (beim Modell DEX). Im Durchschnitt werden 68,9 % der Fälle, die das Modell ursprünglich als Minderjährige identifizierte, nach dem Angriff als Erwachsene fehlklassifiziert.
• VLMs vs. Spezialisierte Modelle:
  • VLMs zeigen tendenziell eine niedrigere ACR (59–71 %) als spezialisierte Modelle (63–83 %), obwohl die Bereiche sich überschneiden. Dies könnte darauf hindeuten, dass VLMs robuster gegenüber diesen spezifischen kosmetischen Manipulationen sind, erfordert aber weitere statistische Validierung.
• Altersabhängigkeit:
  • Minderjährige im Alter von 15–17 Jahren sind am anfälligsten, da ihre Basisvorhersagen bereits nahe an der 18-Jahres-Schwelle liegen.
  • Jüngere Kinder (10–12 Jahre) sind paradoxerweise schwerer zu umgehen, da selbst eine starke Altersverschiebung sie nicht über die Schwelle bringt.

5. Bedeutung und Implikationen

• Kritische Sicherheitslücke: Die Ergebnisse zeigen, dass die derzeit als globale Infrastruktur für Altersgating eingesetzte Technologie durch kostengünstige, nicht-technische Mittel leicht umgangen werden kann.
• Regulatorische Blindstelle: Keine der aktuellen regulatorischen Rahmenwerke (UK, EU, USA) definiert Mindestanforderungen für die adversarische Robustheit von Altersschätzungssystemen. Diese Studie füllt diese Lücke.
• Empfehlungen für die Praxis:
  • Die Auswahl von Modellen für Altersverifizierung muss adversarische Robustheit als primäres Kriterium enthalten, nicht nur die Genauigkeit auf sauberen Daten (Clean MAE).
  • Modelle mit grober Altersbinnung (wie DEX) sollten vermieden werden, da sie eine hohe ACR und eine geringe Sensitivität für Minderjährige aufweisen.
  • Selbst die robustesten getesteten Modelle benötigen zusätzliche Kontrollmechanismen, da keine 100 %ige Sicherheit gegen kosmetische Angriffe gewährleistet ist.
• Zukünftige Forschung: Es wird empfohlen, Video-Liveness-Erkennung und Multi-Frame-Analysen zu integrieren, um solche statischen kosmetischen Angriffe zu erschweren. Zudem sollte die Robustheit gegenüber anderen Manipulationen (Hüte, Brillen, Lichtverhältnisse) untersucht werden.

Zusammenfassend demonstriert das Paper, dass die Annahme, KI-gestützte Altersverifizierung sei ein zuverlässiger Gatekeeper, ohne Berücksichtigung von Adversarial-Robustheit gegen alltägliche kosmetische Mittel, trügerisch ist.