Can a Teenager Fool an AI? Evaluating Low-Cost Cosmetic Attacks on Age Estimation Systems

Cette étude démontre que des modifications cosmétiques simples et accessibles, telles que l'ajout de barbes ou de maquillage, peuvent tromper avec une efficacité élevée les systèmes d'estimation d'âge basés sur l'IA, révélant ainsi une vulnérabilité critique des mécanismes de vérification d'âge actuels.

L'essentiel

🕵️‍♂️ Le Titre : "Un adolescent peut-il tromper une intelligence artificielle ?"

Imaginez que vous avez un gardien de sécurité très strict à l'entrée d'un club de nuit ou d'un site web réservé aux adultes. Ce gardien n'est pas un humain, mais une Intelligence Artificielle (IA) dont le seul job est de regarder votre photo et de dire : "Tu as l'air de 17 ans ? Allez, dehors !" ou "Tu as l'air de 25 ans ? Bienvenue à l'intérieur !"

Les gouvernements et les entreprises font confiance à ce gardien robot pour protéger les enfants. Mais cette étude pose une question simple et inquiétante : Est-ce que ce gardien robot est vraiment aussi intelligent qu'on le pense, ou peut-on le berner avec quelques trucs de maquillage du supermarché ?

---

🎭 L'Expérience : Le "Déguisement Numérique"

Les chercheurs ont décidé de tester ce gardien, mais sans mettre de vrais enfants en danger ni les faire maquiller physiquement. Ils ont utilisé une IA de dessin (un outil magique qui modifie les photos) pour simuler ce qu'un adolescent déterminé pourrait faire en 10 minutes devant un miroir avec des produits de maquillage bon marché.

Ils ont pris 329 photos de jeunes (âgés de 10 à 21 ans) et ont appliqué quatre types de "trucs" :

1. La Barbe Factice : Un faux menton poilu (comme un accessoire de carnaval).
2. Les Cheveux Grises : Transformer les cheveux en argenté (comme si on vieillissait).
3. Le Maquillage "Adulte" : Fond de teint et fard à joues pour lisser la peau et donner un air plus mature.
4. Les Rides Simulées : Ajouter des pattes d'oie et des rides sur le front.

Ensuite, ils ont montré ces photos modifiées à 8 gardiens IA différents (certains très spécialisés, d'autres très génériques) pour voir s'ils se faisaient avoir.

---

🚨 Les Résultats : Le Gardien est Facile à Tromper !

Les résultats sont assez choquants, un peu comme si on découvrait que le serrurier de votre maison avait oublié de verrouiller la porte principale.

1. La Barbe est une Arme Magique 🧔

C'est le résultat le plus surprenant. Juste ajouter une fausse barbe suffit à tromper l'IA dans 28 % à 69 % des cas.

• L'analogie : C'est comme si un enfant mettait un manteau trop grand et des lunettes de soleil, et soudain, le gardien pensait : "Ah, c'est un adulte !". La barbe cache le bas du visage, une zone où l'IA regarde pour deviner l'âge.

2. Le "Super-Déguisement" est Dévastateur 🎭

Quand on combine les quatre trucs (barbe + cheveux gris + maquillage + rides), l'IA devient complètement perdue.

• En moyenne, l'IA pense que les jeunes ont 7,7 ans de plus qu'ils ne le sont réellement.
• Pour les modèles les plus faibles, 83 % des adolescents réussissent à entrer dans le club alors qu'ils devraient être dehors. C'est comme si 8 personnes sur 10 parvenaient à passer le portique de sécurité en se déguisant.

3. Les "Robots Spéciaux" vs les "Robots Génériques" 🤖

Les chercheurs ont comparé deux types de gardiens :

• Les Spécialistes : Des IA conçues uniquement pour estimer l'âge. Elles se font tromper très facilement (jusqu'à 83 % de réussite pour les tricheurs).
• Les Généralistes (VLM) : Des IA très puissantes qui comprennent le langage et les images (comme Gemini ou GPT). Elles résistent un peu mieux (environ 60 % de réussite pour les tricheurs), mais elles ne sont pas invincibles.

---

💡 Pourquoi est-ce important ? (La Leçon)

Cette étude nous dit une chose cruciale : La technologie actuelle pour vérifier l'âge est fragile.

Aujourd'hui, beaucoup d'entreprises comptent sur ces IA pour dire : "C'est un enfant, on bloque l'accès". Mais cette recherche prouve que n'importe quel adolescent un peu malin, avec un peu de maquillage du drugstore et un peu de temps, peut contourner le système.

L'analogie finale :
C'est comme si on utilisait un détecteur de métaux pour arrêter les voleurs, mais que le voleur savait simplement qu'il suffisait de porter un manteau en laine très épais pour que le détecteur ne sonne pas. Le détecteur fonctionne bien sur le papier, mais dans la vraie vie, il est facile à piéger.

🔒 Que faut-il faire ?

Les chercheurs concluent que :

1. On ne peut plus faire confiance à ces IA si on les teste seulement sur des photos "propres" (sans maquillage).
2. Il faut tester les systèmes avec des "attaques" (des tricheurs) avant de les utiliser.
3. Il ne faut pas se fier à une seule méthode. Si un adolescent porte une barbe, l'IA doit avoir d'autres moyens de vérifier (comme une vidéo en direct ou d'autres questions) pour ne pas se faire avoir.

En résumé : L'IA est intelligente, mais elle est encore trop naïve face à un simple déguisement.

Résumé technique

1. Problématique

Les systèmes d'estimation de l'âge par reconnaissance faciale sont de plus en plus déployés comme mécanismes de contrôle d'accès (gatekeepers) pour le contenu en ligne restreint aux mineurs (réseaux sociaux, sites pour adultes, vente d'alcool). Cependant, leur robustesse face à des modifications cosmétiques simples et accessibles n'a jamais été systématiquement évaluée.

Le problème central est que des adolescents motivés peuvent potentiellement contourner ces systèmes en utilisant des produits cosmétiques courants (fausse barbe, cheveux gris, maquillage, faux rides) pour apparaître plus âgés. Contrairement aux attaques adverses numériques classiques qui nécessitent un accès aux gradients du modèle ou une expertise technique, cette menace repose sur des modifications physiques réalisables en moins de dix minutes avec des produits de pharmacie, sans aucune connaissance algorithmique.

2. Méthodologie

L'étude propose une approche de simulation à grande échelle pour évaluer cette menace sans impliquer de sujets humains réels, évitant ainsi les problèmes éthiques liés à la modification d'images de mineurs.

• Jeu de données : 329 images faciales d'individus âgés de 10 à 21 ans, extraites de huit jeux de données de référence (UTKFace, IMDB-WIKI, MORPH, etc.).
• Simulation d'attaque : Utilisation d'un éditeur d'images basé sur un Modèle de Langage Visuel (VLM), spécifiquement Gemini 2.5 Flash Image, pour appliquer des modifications cosmétiques réalistes via des prompts textuels.
• Types d'attaques : Quatre catégories de modifications cosmétiques ont été simulées :
  1. Barbe synthétique.
  2. Cheveux gris.
  3. Maquillage (fond de teint, blush, contouring).
  4. Rides simulées.
  • Des combinaisons de ces attaques (jusqu'à 15 sous-ensembles non vides) ont également été testées.
• Modèles évalués : Huit modèles d'estimation d'âge ont été testés :
  • 5 architectures spécialisées en vision par ordinateur (CV) : MiVOLO, Custom-Best, Herosan, MiViaLab, DEX.
  • 3 modèles de langage-vision (VLM) en zero-shot : Gemini 3 Flash, Gemini 2.5 Flash, GPT-5-Nano.
• Métriques :
  • Décalage moyen d'âge ($\Delta\bar{y}$) : Variation moyenne de l'âge prédit.
  • Taux de conversion d'attaque (ACR - Attack Conversion Rate) : Métrique clé définie comme la fraction d'images initialement classées comme « mineur » par le modèle de base qui sont reclassées comme « adulte » après l'attaque. Cette métrique est agnostique à la démographie du jeu de données.

3. Contributions Clés

• Première étude systématique d'attaques cosmétiques physiques : Contrairement aux travaux antérieurs axés sur le contournement de la reconnaissance d'identité (via des perturbations optimisées par gradient), cette étude se concentre sur le contournement de l'estimation de l'âge via des modifications cosmétiques réalistes et accessibles.
• Benchmark de robustesse trans-paradigme : Comparaison directe entre des architectures CV spécialisées et des VLM modernes sous une même menace réelle.
• Introduction de l'ACR : Une nouvelle métrique permettant de comparer la vulnérabilité des modèles indépendamment de la distribution âge/mineur des jeux de données de test.
• Protocole d'évaluation éthique : Utilisation de l'édition d'images par IA pour simuler les attaques sur des données publiques, éliminant le besoin de photographier de vrais mineurs.

4. Résultats Principaux

Les résultats démontrent une vulnérabilité critique des systèmes actuels face à des attaques à faible coût.

• Efficacité de la barbe seule : Une barbe synthétique seule suffit à atteindre un ACR de 28 % à 69 % selon le modèle. Elle déplace l'âge prédit de +1,6 à +5,1 ans. Les modèles spécialisés (CV) sont plus vulnérables (ACR moyen de 57 %) que les VLM (31 %).
• Impact du maquillage : Bien que le maquillage ait un décalage moyen d'âge proche de zéro (+0,05 an), il génère un ACR significatif (29-49 %). Cela indique que le maquillage ne vieillit pas systématiquement le visage, mais pousse spécifiquement les prédictions situées juste en dessous du seuil de 18 ans au-dessus de ce seuil.
• Attaque combinée (les 4 modifications) :
  • Le décalage moyen d'âge prédit est de +7,7 ans sur l'ensemble des sujets.
  • L'ACR moyen atteint 68,9 %, avec un pic à 83 % pour le modèle le plus vulnérable (DEX).
  • Cela signifie que près de 7 cas sur 10 identifiés comme mineurs sont contournés avec succès.
• Comparaison CV vs VLM : Les modèles VLM montrent tendance à un ACR plus faible (59-71 %) que les modèles spécialisés (63-83 %) sous l'attaque complète, bien que les intervalles de confiance se chevauchent. Cependant, même le modèle le plus robuste (GPT-5-Nano) subit un taux de contournement de près de 60 %.
• Vulnérabilité par âge : Les adolescents âgés de 15 à 17 ans sont les plus vulnérables, car leurs prédictions de base se situent déjà près du seuil de décision. Les enfants plus jeunes (10-12 ans) sont paradoxalement plus difficiles à contourner car l'écart avec le seuil de 18 ans est trop grand pour être comblé par une seule attaque.

5. Signification et Implications

• Faille de sécurité critique : Les systèmes d'estimation d'âge déployés actuellement, souvent évalués uniquement sur des images « propres » (sans altération), surestiment considérablement leur efficacité réelle.
• Impératif de robustesse : La sélection de modèles pour la vérification d'âge doit inclure l'évaluation de la robustesse aux attaques adverses comme critère obligatoire.
• Recommandations politiques : Les cadres réglementaires (comme le UK Online Safety Act ou le DSA européen) devraient exiger des tests de robustesse contre des attaques cosmétiques simples avant l'approbation des systèmes de vérification.
• Limites : L'étude note que les attaques sont simulées numériquement et que les résultats pourraient varier avec des conditions réelles (lumière, angles, types de peau). De plus, les éditeurs d'images IA ont parfois refusé de générer des attaques sur des mineurs, ce qui pourrait sous-estimer légèrement le taux réel de contournement.

En conclusion, l'article démontre que l'infrastructure mondiale de contrôle d'âge par IA est actuellement vulnérable à des contournements triviaux, nécessitant une réévaluation urgente des normes de sécurité et des critères de sélection des modèles.