ARMOR++: Agentic Orchestration of a Multi-Domain Primitive Set for Transferable Attacks on Deepfake Detectors
Dit artikel introduceert ARMOR++, een robuust multi-agent framework dat Qwen2.5-VL en Qwen3 gebruikt om een diverse set van adversariële primitieven te orkestreren, waarbij het aanzienlijk hogere transfereerbaarheid en aanvalspercentages bereikt tegen deepfake-detectoren vergeleken met bestaande state-of-the-art methoden onder strikte black-box beperkingen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je het internet voor als een enorme, bruisende kunstgalerie waar iedereen een schilderij kan maken. Lange tijd, als je wilde weten of een schilderij echt of een vervalsing was, keek je er gewoon met je ogen naar. Maar onlangs is er een nieuw soort magische penseel verschenen — kunstmatige intelligentie — dat gezichten zo perfect kan schilderen dat zelfs experts moeite hebben om het verschil te zien. Dit heeft een kat-en-muisspel met hoge inzet gecreëerd. Aan de ene kant hebben we "detectives" (AI-modellen) die getraind zijn om de minuscule, onzichtbare imperfecties op te sporen die door deze magische penselen zijn achtergelaten. Aan de andere kant hebben we "hackers" die proberen de detectives te misleiden door net genoeg ruis aan een nepgezicht toe te voegen om het er echt uit te laten zien voor de detective, zonder dat dit de manier waarop het gezicht er voor een mens uitziet, verandert. Dit gaat niet alleen over kunst; het gaat over vertrouwen. Als we niet kunnen onderscheiden wat echt is, kunnen we onze nieuwsberichten, onze beveiligingscamera's of zelfs onze eigen ogen niet vertrouwen. De grote vraag is: hoe weten we of onze digitale detectives werkelijk betrouwbaar zijn, of dat ze gemakkelijk worden misleid door een slimme truc?
Maak kennis met ARMOR++, een nieuw, superintelligent "hacker"-team ontworpen om deze detectives te testen. Denk aan deepfake-detectoren als beveiligers bij een club. Sommige beveiligers kijken alleen naar de vorm van iemands gezicht (zoals een Convolutioneel Neuraal Netwerk), terwijl anderen naar het hele plaatje kijken en hoe de stukjes in elkaar passen (zoals een Vision Transformer). Het probleem is dat een truc die werkt op het ene type beveiliger, vaak faalt bij het andere. Eerdere pogingen om deze beveiligers te misleiden waren als het gooien van één type steen tegen een muur; soms werkte het, maar vaak was de muur te sterk of gemaakt van een ander materiaal.
ARMOR++ is anders omdat het niet alleen één steen gooit; het stuurt een heel team van specialisten die met elkaar communiceren. Het team wordt geleid door twee zeer intelligente "agenten" (computerprogramma's gebaseerd op grote taalmodellen). De eerste agent, de Analist, bekijkt het nepgesicht en gebruikt zijn "ogen" om de vreemde plekken te vinden — zoals een wazige rand of een vreemde textuur — en zegt: "Hé, val hier aan!" De tweede agent, de Dirigent, fungeert als een coach. Hij kiest niet zomaar één aanval; hij beheert een squad van vijf verschillende "aanvallers", die elk een unieke superkracht hebben:
- De Blender: Voegt een gladde, dichte laag ruis toe overal.
- De Pincher: Past een paar specifieke pixels aan om de beveiliger in de war te brengen.
- De Shifter: Vervormt het gezicht voorzichtig, zoals het uitrekken van een rubberen vel.
- De Frequentiewizard: Verandert de "kleuren" van de afbeelding op een manier die mensen niet kunnen zien, maar computers wel (zoals het draaien aan een radiozender).
- De Blokverschuiver: Snijdt de afbeelding in puzzelstukjes en wisselt deze om.
Wat ARMOR++ bijzonder maakt, is dat het een spel van "raden en controleren" speelt zonder ooit de doelwit-beveiliger om hulp te vragen. Het oefent op een set oefen-beveiligers (surrogaatmodellen) die het van binnen en buiten kent. Het probeert verschillende combinaties van zijn vijf aanvallers uit, luistert naar zijn slimme agenten en past zijn strategie in realtime aan. Als een aanval niet werkt, geeft het team niet op; het verandert de regels, probeert een andere mix van aanvallen en gaat door totdat het de perfecte combinatie vindt om de doelwit-beveiliger te misleeden.
Het onderzoek wijst uit dat deze teamgerichte aanpak ongelooflijk effectief is. Wanneer het werd getest op een enorme collectie nepgesichten (de AADD-2025 benchmark), slaagde ARMOR++ erin om de meest geavanceerde "blinde" beveiligers (degenen die het nog nooit eerder had gezien) ongeveer 44,3% van de tijd te misleiden bij afbeeldingen van lage kwaliteit en 32,1% van de tijd bij afbeeldingen van hoge kwaliteit. Om dit in perspectief te plaatsen: het vorige beste team (genaamd ARMOR) misleidde hen slechts ongeveer 39,6% en 28,3% van de tijd, en standaard "enkele aanval"-methoden haalden nauwelijks de 20%.
De onderzoekers controleerden ook of deze trucs nog steeds werkten als de beveiligers een basisopleiding hadden gekregen om aanvallen te weerstaan (zoals "adversarial training"). Zelfs dan was ARMOR++ het meest succesvol en misleidde het de beveiligers nog steeds ongeveer 19,8% van de tijd, terwijl andere methoden bijna naar nul zakten. Dit suggereert dat zelfs onze beste huidige beveiligingssystemen een aanzienlijke "blind spot" hebben als het gaat om deze slimme, veelzijdige trucs. De auteurs concluderen dat hoewel onze detectoren beter worden in het opsporen van vervalsingen, ze nog steeds niet betrouwbaar genoeg zijn om volledig te vertrouwen, vooral wanneer ze worden geconfronteerd met een aanvaller die kan denken, zich aanpassen en vele verschillende soorten trucs tegelijkertijd kan gebruiken. Het is een waarschuwing: in de race tussen makers van vervalsingen en echte detectoren, hebben de detectoren nog veel werk te doen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.