Can a Teenager Fool an AI? Evaluating Low-Cost Cosmetic Attacks on Age Estimation Systems

Este estudio demuestra que modificaciones cosméticas sencillas y accesibles, como barbas o maquillaje, pueden engañar eficazmente a los sistemas de estimación de edad basados en IA, clasificando a menores como adultos y revelando una vulnerabilidad crítica en los mecanismos de verificación de edad en línea.

Lo esencial

¿Puede un adolescente engañar a una Inteligencia Artificial? (La respuesta es: ¡Sí, y es muy fácil!)

Imagina que la Inteligencia Artificial (IA) que decide si eres mayor de edad para entrar a un sitio web es como un guardia de seguridad muy estricto pero un poco ingenuo. Este guardia solo te mira la cara y dice: "¿Tienes más de 18 años? Si sí, pasa. Si no, quédate fuera".

Este estudio científico es como un experimento donde un grupo de investigadores le preguntó: "¿Qué pasaría si un adolescente se pone un disfraz muy sencillo, con cosas que compra en cualquier tienda de barrio, para engañar a este guardia?".

La respuesta es alarmante: El guardia cae en la trampa casi siempre.

Aquí te explico cómo funciona, usando analogías sencillas:

1. El "Kit de Disfraz" de la Tienda de Barrio

Los investigadores no usaron supercomputadoras ni hackers expertos. Simularon lo que un adolescente podría hacer en menos de 10 minutos con cosas que cualquiera tiene en casa o en una tienda de disfraces:

• Una barba falsa: Como las que usan los actores en el teatro.
• Pelo gris: Tinte o una peluca de color plata.
• Maquillaje: Base y rubor para parecer más maduro.
• Arrugas falsas: Crema o maquillaje para simular líneas de expresión.

2. La Magia (y el Problema) del "Disfraz"

Los investigadores usaron una IA avanzada (como un editor de fotos mágico) para ponerle estos accesorios a 329 fotos de jóvenes reales (de 10 a 21 años). Luego, les mostraron las fotos modificadas a 8 diferentes "guardias" (sistemas de IA) para ver si los dejaban pasar.

Los resultados fueron sorprendentes:

• La Barba es el Rey del Disfraz: Solo con ponerle una barba falsa a un chico de 15 años, la IA pensó que era un adulto en el 28% al 69% de los casos. Es como si la IA pensara: "¡Vaya, tiene barba! Seguro ya tiene 25 años".
• El "Combo" Definitivo: Si el adolescente se pone la barba, el pelo gris, el maquillaje y las arrugas al mismo tiempo, la IA se confunde totalmente. En promedio, la IA pensó que esos jóvenes eran 7.7 años mayores de lo que realmente eran.
• La Tasa de Éxito: De cada 100 adolescentes que la IA detectaba correctamente como "menores" al principio, casi 70 lograron colarse después de usar el disfraz completo.

3. ¿Por qué falla la IA?

La IA es como un estudiante que ha estudiado mucho para un examen, pero solo ha practicado con fotos "limpias".

• Si le muestras una foto normal, sabe que tienes 15 años.
• Pero si le pones una barba, la IA se fija en ese detalle y dice: "¡Barba! Eso es de adulto". No entiende que es un disfraz, solo ve la señal visual.
• Es como si un guardia de seguridad en una fiesta viera a alguien con un traje de gala y una peluca gris, y pensara: "Este señor es un adulto", sin darse cuenta de que es un niño disfrazado.

4. ¿Qué pasa con los "Guardias" más modernos?

El estudio comparó dos tipos de guardias:

• Los Especializados: Son sistemas creados específicamente para calcular la edad. Son muy buenos en condiciones normales, pero muy fáciles de engañar con maquillaje o barbas.
• Los "Políglotas" (Modelos de Lenguaje Visual): Son IAs más modernas y generales (como las que usan para chatear y ver fotos). Estos se comportaron un poco mejor (engañarlos fue un poco más difícil), pero siguen fallando. Ninguno de los dos tipos es inmune.

5. El Mensaje Importante

Hoy en día, muchas leyes y aplicaciones (para comprar alcohol, ver películas para adultos o entrar a redes sociales) confían en estas IAs para proteger a los niños.

El problema es que estas IAs están "ciegas" ante los disfraces simples.
El estudio concluye que:

1. No podemos confiar ciegamente en estas tecnologías tal como están hoy.
2. Si un adolescente quiere entrar a un sitio prohibido, no necesita ser un hacker; solo necesita una barba falsa y un poco de maquillaje.
3. Las empresas y los gobiernos deben poner a prueba a estas IAs con "disfraces" antes de usarlas, para asegurarse de que no sean tan fáciles de engañar.

En resumen: La tecnología para proteger a los niños es como un candado muy bonito, pero resulta que un adolescente puede abrirlo con una simple llave maestra hecha de maquillaje y una barba de juguete. Es hora de mejorar el candado.

Resumen técnico

Resumen Técnico: Ataques Cosméticos de Bajo Costo contra Sistemas de Estimación de Edad

1. El Problema

Los sistemas de estimación de edad facial se están desplegando masivamente como "guardianes" (gatekeepers) para restringir el acceso de menores a contenido en línea (redes sociales, sitios de apuestas, contenido para adultos), impulsados por regulaciones como la Ley de Seguridad en Línea del Reino Unido y la Ley de Servicios Digitales de la UE.

• La Vulnerabilidad: A pesar de su adopción, la robustez de estos sistemas frente a modificaciones cosméticas físicas simples no ha sido evaluada sistemáticamente.
• La Amenaza: Un adolescente motivado podría engañar a estos sistemas utilizando productos cosméticos básicos y accesibles (barba falsa, tinte de pelo gris, maquillaje y crema de arrugas) para parecer mayor, sin necesidad de conocimientos técnicos avanzados o acceso al modelo subyacente.
• Brecha de Investigación: La investigación adversarial previa se ha centrado en perturbaciones digitales (requiriendo acceso a gradientes) o en el reconocimiento facial (bypass de identidad), ignorando la estimación de edad y los ataques físicos de bajo costo.

2. Metodología

Los autores proponen un marco de evaluación que simula ataques físicos a gran escala sin exponer a sujetos humanos reales a riesgos éticos.

• Modelo de Amenaza: Se asume un adversario (menor de 18 años) sin conocimientos técnicos, con acceso limitado a productos de farmacia o tiendas de disfraces (<$30). El objetivo es cambiar la clasificación de "menor" a "adulto" (≥18 años).
• Simulación de Ataques: En lugar de aplicar maquillaje real, se utilizó un editor de imágenes basado en Visión-Lenguaje (VLM), específicamente Gemini 2.5 Flash Image, para modificar digitalmente 329 imágenes faciales (edades reales 10-21 años) de ocho conjuntos de datos públicos.
• Tipos de Ataques: Se evaluaron cuatro modificaciones cosméticas individuales y todas sus combinaciones (15 subconjuntos no vacíos):
  1. Barba sintética: Añade vello facial.
  2. Pelo gris: Simula el envejecimiento del cabello.
  3. Maquillaje: Base, rubor y contorno maduro.
  4. Arrugas: Líneas de expresión en frente y ojos.
• Estrategia de Combinación: Para evitar artefactos visuales al encadenar ediciones, se utilizó una estrategia de mezcla de píxeles ponderada por prioridad (Barba > Pelo gris > Arrugas > Maquillaje).
• Modelos Evaluados: Se probaron 8 modelos representativos del estado del arte:
  • 5 arquitecturas especializadas en Visión por Computadora (CV): MiVOLO, Custom-Best, Herosan, MiViaLab, DEX.
  • 3 Modelos de Lenguaje-Visión (VLM) de cero disparos (zero-shot): Gemini 3 Flash, Gemini 2.5 Flash, GPT-5-Nano.

3. Métricas Clave

Para cuantificar el éxito del ataque, se introdujo una métrica nueva y crucial:

• Tasa de Conversión de Ataque (ACR - Attack Conversion Rate): La fracción de imágenes que el modelo predijo correctamente como "menor" en la línea base, pero que se convierten en "adulto" tras el ataque.
  • Ventaja: Es agnóstica a la población; no depende de la distribución de edades en el conjunto de pruebas, permitiendo comparaciones justas entre estudios.
• Desplazamiento Medio de Edad ($\Delta \bar{y}$): El cambio promedio en la edad estimada (en años) tras el ataque.

4. Resultados Principales

Los hallazgos demuestran una vulnerabilidad crítica en los sistemas actuales:

• Eficacia de la Barba: Una barba sintética por sí sola logra una ACR de 28% a 69% en todos los modelos. Es el ataque individual más potente, especialmente contra modelos especializados (CV).
• Efecto Combinado: La combinación de las cuatro modificaciones (barba + pelo gris + maquillaje + arrugas) produce un desplazamiento medio de edad de +7.7 años.
  • La ACR máxima alcanza el 83% (en el modelo DEX).
  • El modelo más robusto (Custom-Best) aún sufre una ACR del 75.3%.
• Comparación de Modelos (CV vs. VLM):
  • Los modelos especializados (CV) son generalmente más vulnerables a la barba (ACR promedio 57% vs 31% en VLMs).
  • Los VLMs muestran una ACR ligeramente menor (59-71%) bajo el ataque completo en comparación con los modelos CV (63-83%), aunque los rangos se superponen y la diferencia no es estadísticamente significativa en este estudio.
• Análisis por Edad:
  • Los menores de 10-12 años son más difíciles de engañar porque su predicción base está muy por debajo de 18.
  • Los adolescentes de 15 a 17 años son el grupo más vulnerable, ya que sus predicciones base ya están cerca del umbral de 18 años; cambios cosméticos menores los cruzan fácilmente.

5. Contribuciones Clave

1. Primer Estudio Sistemático: Es la primera investigación que evalúa modificaciones cosméticas físicas deliberadas como un ataque de evasión contra la estimación de edad.
2. Benchmark de Robustez Trans-Paradigma: Compara directamente arquitecturas de CV tradicionales con VLMs modernos bajo un mismo modelo de amenaza del mundo real.
3. Nueva Métrica (ACR): Introduce la Tasa de Conversión de Ataque para medir la eficacia de la evasión de manera independiente a la demografía del conjunto de datos.
4. Protocolo Ético: Demuestra cómo evaluar amenazas de seguridad a gran escala utilizando edición de imágenes generativa en lugar de experimentación con sujetos humanos.

6. Significado e Implicaciones

• Fallo de los Sistemas Actuales: La tecnología que se está desplegando como infraestructura global de verificación de edad es vulnerable a evasiones de bajo costo y sin experiencia técnica.
• Revisión de Criterios de Selección: La evaluación de robustez adversarial debe convertirse en un criterio obligatorio para la selección de modelos, no solo la precisión en imágenes limpias (MAE).
• Advertencia Regulatoria: Las regulaciones actuales no especifican requisitos mínimos de robustez adversarial. Este estudio señala un "punto ciego" regulatorio donde la infraestructura de seguridad puede ser fácilmente eludida.
• Recomendaciones:
  • Evitar modelos con binning de edad grueso (como DEX) para verificación de edad.
  • Considerar el uso de VLMs como alternativa potencialmente más robusta, aunque se requiere más validación estadística.
  • Implementar controles complementarios (no solo estimación de edad estática) para una verificación fiable.

En conclusión, el artículo demuestra que un adolescente con un kit de maquillaje básico y un editor de imágenes IA puede engañar a los sistemas de verificación de edad más avanzados, poniendo en riesgo la seguridad en línea de los menores y la efectividad de las regulaciones globales.