Can a Teenager Fool an AI? Evaluating Low-Cost Cosmetic Attacks on Age Estimation Systems

Questo studio dimostra che semplici modifiche cosmetiche accessibili, come barbe finte e trucco, possono ingannare in modo significativo i sistemi di stima dell'età basati sull'IA, portando fino all'83% dei minori a essere erroneamente classificati come adulti e rivelando così una vulnerabilità critica nelle attuali pipeline di verifica dell'età.

L'essenziale

Immagina di essere un adolescente che vuole accedere a un sito web "solo per adulti", come un negozio di videogiochi o una piattaforma di social media riservata ai maggiorenni. La legge dice che devi avere 18 anni. Per controllare, il sito ti chiede di fare un selfie: un'intelligenza artificiale (AI) guarda la tua foto e decide se sei abbastanza grande per entrare.

Questo studio si chiede: "Un ragazzino può ingannare questa AI?"

La risposta, secondo la ricerca, è un preoccupante "Sì, ed è più facile di quanto pensi".

Ecco una spiegazione semplice di cosa hanno scoperto gli autori, usando qualche metafora.

1. Il "Trucco" da Farmacia

Non serve essere hacker o genio della tecnologia. L'idea è semplice: cosa succederebbe se un ragazzino usasse oggetti che si comprano in qualsiasi supermercato o negozio di costumi per sembrare più vecchio?

Gli autori hanno simulato quattro trucchi facili:

• Una barba finta: Copre il mento e le guance, nascondendo la pelle giovane.
• Capelli grigi: I capelli bianchi sono il simbolo universale della vecchiaia.
• Trucco: Fondotinta e ombreggiature che rendono la pelle più "matura".
• Rughe finte: Linee sulla fronte e intorno agli occhi.

È come se un attore di teatro mettesse in scena un personaggio anziano prima di salire sul palco.

2. Il "Trucco" Digitale (Senza toccare la pelle)

Per non mettere in pericolo i ragazzi reali, gli scienziati non hanno fatto fare foto a veri adolescenti con la barba finta. Hanno usato un AI "pittore" (un programma intelligente) per modificare le foto di 329 persone (dai 10 ai 21 anni) e aggiungere digitalmente questi elementi. È come se avessero usato un filtro di Photoshop super-potente per dire: "Aggiungi una barba grigia a questa faccia".

3. Il Risultato: L'AI viene ingannata facilmente

Hanno testato 8 diversi sistemi di intelligenza artificiale (alcuni creati apposta per contare l'età, altri più generici come ChatGPT o Gemini). Ecco cosa è successo:

• La Barba è un'arma potente: Mettere solo una barba finta ha convinto l'AI che il 28% fino al 69% dei ragazzi (che prima venivano bloccati) fossero adulti. È come se la barba fosse un "pass" magico che fa saltare la fila.
• Il "Combo" Definitivo: Se unisci tutti e quattro i trucchi (barba + capelli grigi + trucco + rughe), l'AI si confonde completamente. In media, l'età stimata aumenta di 7,7 anni.
  • Metafora: Immagina di avere 15 anni. Con questo "pacchetto completo", l'AI ti guarda e pensa: "Oh, questo signore ha 23 anni!".
• Il successo: Con tutti i trucchi insieme, fino all'83% dei ragazzi che l'AI aveva correttamente identificato come minori, sono stati scambiati per adulti e hanno superato il controllo.

4. Chi è stato ingannato di più?

• I modelli "specializzati": I sistemi creati apposta per contare l'età sono stati i più facili da ingannare. Sembrano molto bravi, ma sono ingenui: se vedi una barba, pensano subito "adulto".
• I modelli "generici" (VLM): I modelli più moderni (come quelli che parlano e vedono immagini) sono stati leggermente più resistenti (hanno ingannato meno ragazzi), ma sono comunque stati ingannati in oltre la metà dei casi.

5. Perché è un problema serio?

Attualmente, molte leggi (in Europa, UK e USA) stanno spingendo le aziende a usare queste AI per proteggere i minori. Si pensa che siano sicure come un documento d'identità.
Questo studio dice: "Attenzione! Queste serrature sono fatte di carta."

Se un ragazzino di 15 anni vuole entrare in un sito vietato, non ha bisogno di rubare un documento d'identità. Gli basta andare in un negozio di costumi, comprare una barba finta e un po' di trucco, e l'AI lo lascerà passare.

In sintesi

L'articolo ci avverte che l'intelligenza artificiale usata per la sicurezza online è troppo ingenua. Si fida troppo di ciò che vede (una barba = adulto) senza capire il contesto reale. Finché non si insegnerà a queste AI a essere più "scettiche" e a resistere a questi semplici trucchi, i sistemi di verifica dell'età rimarranno un gioco da ragazzi... letteralmente.

Sommario tecnico

1. Il Problema

I sistemi di stima dell'età basati sull'intelligenza artificiale sono sempre più utilizzati come "guardiani" (gatekeepers) per il controllo dell'accesso a contenuti online riservati agli adulti (es. siti per adulti, vendita di alcolici, social media). Tuttavia, la loro robustezza rispetto a modifiche cosmetiche semplici e accessibili non è stata sistematicamente valutata.

Il paper identifica un vuoto critico: mentre le normative (come l'UK Online Safety Act e il Digital Services Act dell'UE) richiedono la verifica dell'età, non esiste un criterio di robustezza contro l'evasione tramite trucchi fisici. Un adolescente motivato potrebbe utilizzare prodotti da supermercato (barba finta, trucco, parrucca grigia, creme per rughe) per ingannare l'AI, senza possedere alcuna competenza tecnica o accesso ai gradienti del modello.

2. Metodologia

Gli autori hanno condotto il primo studio sistematico su attacchi fisici cosmetici contro sistemi di stima dell'età, utilizzando una simulazione digitale su larga scala per evitare preoccupazioni etiche legate alla modifica fisica di minori reali.

• Dataset: 329 immagini facciali di individui con età reale compresa tra 10 e 21 anni, estratte da 8 dataset pubblici standard (UTKFace, IMDB-WIKI, MORPH, ecc.).
• Simulazione degli Attacchi: Hanno utilizzato un editor di immagini basato su Vision-Language Model (VLM), specificamente Gemini 2.5 Flash Image, per applicare modifiche realistiche.
  • Tipologie di attacco: Barba (finta), capelli grigi, trucco (fondotinta e contouring), rughe simulate.
  • Combinazioni: Sono stati testati tutti i 15 sottoinsiemi non vuoti delle 4 modifiche (singole, doppie, triple e la combinazione completa).
• Modelli Valutati: 8 modelli diversi, divisi in due categorie:
  • 5 architetture specializzate (CV): MiVOLO, Custom-Best, Herosan, MiViaLab, DEX.
  • 3 modelli Vision-Language (VLM): Gemini 3 Flash, Gemini 2.5 Flash, GPT-5-Nano.
• Metriche Chiave:
  • Shift Medio dell'Età ($\Delta\bar{y}$): Quanto l'età stimata aumenta in media dopo l'attacco.
  • Attack Conversion Rate (ACR): La frazione di immagini che il modello classificava correttamente come "minore" alla base, ma che vengono erroneamente classificate come "adulti" dopo l'attacco. Questa metrica è indipendente dalla distribuzione demografica del set di test.

3. Contributi Chiave

1. Primo studio sistematico su attacchi fisici cosmetici: A differenza dei lavori precedenti focalizzati su perturbazioni digitali o makeup ottimizzato tramite gradienti (che richiedono accesso al modello), questo studio simula ciò che un adolescente può fare in 10 minuti con prodotti da farmacia, senza conoscenze tecniche.
2. Benchmark cross-paradigma: Confronto diretto tra architetture di Computer Vision (CV) specializzate e modelli VLM generici (zero-shot) sotto lo stesso modello di minaccia.
3. Introduzione della metrica ACR: Una metrica robusta e agnostica rispetto alla popolazione per misurare l'efficacia reale di un attacco di bypass, superando i limiti delle semplici percentuali di errore.

4. Risultati Principali

I risultati rivelano vulnerabilità critiche nei sistemi attualmente dispiegati:

• Efficacia della Barba: Una barba sintetica da sola è l'attacco singolo più potente, raggiungendo un ACR del 28-69% su tutti i modelli. Sposta l'età stimata in media di +1.6 a +5.1 anni.
• Combinazione di Attacchi: L'uso combinato di tutte e quattro le modifiche (barba + capelli grigi + trucco + rughe) è devastante:
  • Sposta l'età stimata in media di +7.7 anni su tutti i soggetti.
  • Raggiunge un ACR fino all'83% (nel modello più vulnerabile, DEX).
  • In media, il 68,9% dei casi che il modello identificava correttamente come minori viene convertito in "adulti" dopo l'attacco completo.
• Differenze tra Modelli:
  • I modelli specializzati (CV) tendono ad avere un ACR più alto (63-83%) rispetto ai VLM (59-71%), suggerendo che le architetture CV sono più sensibili ai cambiamenti regionali del viso (come la barba).
  • I VLM mostrano una maggiore resilienza, ma non sono immuni; anche il modello più robusto (GPT-5-Nano) ha un ACR del 59,4%.
• Vulnerabilità per Età: I soggetti di età 15-17 anni sono i più a rischio, poiché le loro stime di base si trovano già vicino alla soglia degli 18 anni. I bambini più piccoli (10-12 anni) sono paradossalmente più difficili da bypassare con singoli attacchi perché la loro età stimata è molto inferiore alla soglia.
• Comportamento del Trucco: Il trucco ha uno shift medio di età vicino allo zero (+0.05 anni), ma un ACR significativo (29-49%). Questo indica che il trucco non invecchia sistematicamente il viso, ma spinge selettivamente le stime che si trovano vicino alla soglia decisionale (es. da 17.9 a 18.1) oltre il limite.

5. Significato e Implicazioni

• Vulnerabilità delle Infrastrutture di Verifica: Le tecnologie attualmente implementate come infrastrutture globali per la verifica dell'età sono vulnerabili a bypass a basso costo, senza bisogno di competenze tecniche.
• Ridefinizione dei Criteri di Selezione: La selezione dei modelli per la verifica dell'età non può basarsi solo sull'accuratezza (MAE) su immagini pulite. La robustezza avversaria deve diventare un criterio di valutazione obbligatorio.
• Implicazioni Normative: Le normative attuali non specificano requisiti minimi di robustezza avversaria. Questo studio evidenzia un "punto cieco" normativo: se un sistema può essere ingannato da una barba finta, non è affidabile per la sicurezza dei minori.
• Raccomandazioni:
  • Evitare modelli con binning dell'età troppo grossolano (come DEX) che mostrano alta vulnerabilità.
  • Considerare l'uso di VLM come alternativa più robusta, sebbene richiedano ulteriori conferme statistiche.
  • Implementare controlli complementari (es. rilevamento di vivacità video, analisi multi-frame) poiché l'attacco statico su singola immagine è facilmente eludibile.

In conclusione, il paper dimostra che l'attuale infrastruttura di verifica dell'età basata sull'AI è fragile di fronte a minacce fisiche semplici, richiedendo un ripensamento immediato delle strategie di deployment e delle metriche di valutazione.