Immaginate un mondo in cui i vostri occhi e il vostro cervello sono sostituiti da un computer con una telecamera super intelligente. Questa è la realtà della moderna "visione AI", una tecnologia che aiuta le auto a guida autonoma a vedere i pedoni, aiuta le telecamere di sicurezza a contare la folla e tiene d'occhio le autostrade trafficate. Questi sistemi sono incredibilmente bravi a individuare le persone, ma hanno un punto debole segreto: possono essere ingannati. Proprio come un essere umano può essere tratto in inganno da un'astuta illusione ottica, queste telecamere AI possono essere confuse da schemi speciali progettati per sembrare rumore per noi, ma che agiscono come una "benda" per il computer. Questo campo di studio è chiamato "attacchi avversari" (adversarial attacks). Non si tratta di rompere la telecamera con un martello; si tratta di dipingere un quadro che faccia andare in cortocircuito il cervello dell'IA. Perché questo è importante? Perché se una telecamera di sicurezza in una stazione ferroviaria affollata o un semaforo possono essere ingannati nel non vedere una persona, l'intero sistema fallisce, portando potenzialmente ad incidenti pericolosi o violazioni della sicurezza.

Ora, incontrate AdvSerial, un nuovo "mantello magico" progettato dai ricercatori per testare quanto siano davvero vulnerabili queste telecamere AI. Mentre i precedenti tentativi di ingannare l'IA si concentravano su viste piatte, all'altezza del suolo (come una telecamera all'altezza degli occhi), questo nuovo metodo prende di mira le telecamere montate su pali e edifici — quelle utilizzate nelle smart city o sulle autostrade. Queste telecamere ad alto angolo vedono le persone dall'alto, il che ne distorce la forma e le rende più difficili da ingannare. I ricercatori hanno costruito una "macchina da cucire" digitale che prende un particolare schema caotico e lo cuce su modelli 3D di vestiti. Hanno poi insegnato a questo schema come sopravvivere alle strane angolazioni e ai movimenti della vita reale. Quando lo hanno testato, i risultati sono stati sorprendenti: in un esperimento nel mondo fisico, il mantello ha nascosto con successo le persone da un popolare rilevatore AI chiamato YOLO-v5 per circa il 74,8% delle volte. Ancora più impressionante, ha ridotto la fiducia della telecamera nel vedere una persona da un solido 84,30% a un incerto 39,38%. La cosa migliore? Questo trucco ha funzionato anche contro difese avanzate che cercano di individuare schemi "strani" o di osservare il video nel tempo per catturare l'inganno.

La storia della giacca "invisibile"

Entriamo nel dettaglio di come funziona. Immaginate di cercare di nascondere una persona a una guardia di sicurezza che guarda dall'alto da una torre alta. Se incollate solo un grande adesivo brutto sulla loro maglietta, la guardia potrebbe notare l'adesivo e ignorarlo. Se provate a dipingere uno schema sulla maglietta che sembri una normale camicia ma che confonda la guardia, lo schema potrebbe venire stirato e distorto quando la persona cammina, facendolo sembrare un disordine e rivelando l'inganno.

I ricercatori, guidati da Yuanhao Huang e Yilong Ren, hanno capito che per nascondere davvero una persona a queste telecamere dall'alto, non bastava creare un adesivo piatto. Era necessario un abito 3D dinamico. Hanno creato un sistema chiamato AdvSerial che fa tre cose principali:

1. La macchina da cucire digitale (Feature Smooth Quiloting): Immaginate di realizzare un patchwork con molti piccoli pezzi di tessuto, ognuno con un motivo folle e confuso. Se li cucite semplicemente insieme, le cuciture (le linee dove si incontrano i quadrati) saranno evidenti. Una telecamera intelligente potrebbe vedere quelle linee nette e dire: "Aha! Quello è un pattern falso!". Per risolvere il problema, i ricercatori hanno inventato un modo intelligente per cucire i quadrati. Invece di limitarsi a far corrispondere i colori, hanno guardato a dove il cervello della telecamera era più sensibile. Hanno cucito i quadrati insieme nelle "zone cieche" del cervello della telecamera — punti in cui la telecamera non presta molta attenzione. Questo è chiamato Feature Smooth Quiloting. Rende le cuciture invisibili all'IA, anche se sono presenti, assicurando che il pattern appaia come una superficie unica e fluida.

2. Il manichino viaggiatore nel tempo (Serial Frame Loss): La maggior parte dei trucchi precedenti funzionava per una singola foto. Ma nel mondo reale, le persone si muovono! Camminano, corrono e oscillano le braccia. Se il pattern funziona solo quando resti fermo, è inutile per una telecamera di sicurezza che registra un video. I ricercatori hanno addestrato il loro pattern su un manichino 3D che si muoveva costantemente, cambiando pose e ruotando su se stesso. Hanno utilizzato una speciale regola matematica chiamata Serial Frame Loss per garantire che il pattern continuasse a funzionare durante tutto il video. È come insegnare un trucco di magia non solo per un secondo, ma per un intero minuto, indipendentemente da come il mago si muove. Questo ha evitato l'effetto "sfarfallio" in cui l'IA vede la persona per un secondo, poi la perde, e poi la vede di nuovo.

3. Il test ad alto angolo: Non hanno testato questo sistema solo su uno schermo del computer. Hanno stampato i pattern su abiti reali e hanno fatto camminare delle persone davanti a vere telecamere di sicurezza montate a 3 o 5 metri di altezza. Hanno testato il tutto in diverse condizioni meteorologiche (soleggiato, pioggia, nebbia) e a diverse distanze (da 5 a 30 metri).

I Risultati: Una lezione magistrale nell'occultamento

I risultati sono stati un campanello d'allarme per il mondo della sicurezza. Quando hanno testato il loro "mantello magico" contro otto diversi tipi di rilevatori AI (inclusa la popolare serie YOLO e altri), i risultati sono stati coerenti e spaventosi:

• La Grande Vittoria: Contro il rilevatore YOLO-v2, il mantello ha funzionato l'89,71% delle volte. Contro il più moderno YOLO-v5 nel mondo reale, ha comunque funzionato il 74,8% delle volte.
• Crollo della Confidenza: Prima dell'attacco, le telecamere erano molto sicure di vedere una persona (84,30% di confidenza). Dopo l'attacco, quella confidenza è precipitata al 39,38%. La telecamera diceva fondamentalmente: "Non sono sicuro che sia una persona o solo un'ombra".
• Sconfiggere le Difese: I ricercatori hanno cercato di rompere il proprio trucco utilizzando due difese avanzate. Una difesa (NapGuard) cerca linee nette e innaturali nei pattern. L'altra (Sparse4D-v3) osserva il video nel tempo per vedere se le cose si muovono in modo strano. Il mantello ha sconfitto entrambe. Era così fluido che la difesa che rileva le linee non l'ha notato, ed era così costante nel tempo che la difesa che controlla il video non ha trovato alcun glitch.

Perché questo è importante (E cosa non lo è)

Questo articolo non dice che l'IA sia rotta per sempre. Al contrario, funge da test di stress. Dimostra che le telecamere su cui facciamo affidamento per la sicurezza nelle nostre città hanno un punto cieco specifico: faticano a vedere le persone che indossano questi specifici, accuratamente progettati schemi quando vengono viste da angoli elevati.

I ricercatori hanno scoperto che il trucco funziona meglio quando la persona sta ferma o si muove lentamente. Quando le persone corrono o oscillano le braccia selvaggiamente, il pattern viene stirato e la telecamera potrebbe scorgere un riflesso della persona (il tasso di successo è sceso un po', ma era comunque molto più basso del normale). Questo ci dice che, sebbene l'attacco sia potente, non è un mantello dell'invisibilità "magico" che funziona il 100% delle volte in ogni situazione.

Il punto più importante è che i vecchi modi di testare la sicurezza (prendere solo una foto e vedere se l'IA si confonde) non sono sufficienti. Dobbiamo testare come questi sistemi gestiscono le persone in movimento, i cambiamenti di angolazione e le condizioni meteorologiche del mondo reale. I ricercatori suggeriscono che, per risolvere il problema, i futi sistemi di sicurezza devono essere più intelligenti nel modo in cui tracciano il movimento e gestiscono le forme 3D, non solo le immagini 2D.

In breve, AdvSerial è uno strumento potente che espone una debolezza nascosta nelle nostre telecamere delle smart city. Dimostra che se conosci come funziona il cervello dell'IA, puoi progettare un pattern che la faccia "diventare cieca" rispetto alle persone, anche da un'altezza elevata. È un promemoria del fatto che, mentre costruiamo città più intelligenti, dobbiamo anche costruire difese più intelligenti per mantenerle sicure.