Can a Teenager Fool an AI? Evaluating Low-Cost Cosmetic Attacks on Age Estimation Systems

Este estudo demonstra que modificações cosméticas simples e acessíveis, como barbas e maquiagem, podem enganar com sucesso sistemas de estimativa de idade baseados em IA, fazendo com que modelos especializados e de linguagem visual classifiquem erroneamente adolescentes como adultos, o que revela uma vulnerabilidade crítica nos pipelines de verificação de idade atuais.

O essencial

O Jogo do "Fingir que é Adulto": Como Teenagers Podem Enganar a IA

Imagine que você tem um porteiro digital muito inteligente, um robô que olha para o seu rosto na câmera e decide: "Você pode entrar" ou "Você é muito novo, volte". Esse é o sistema de verificação de idade que muitas redes sociais e sites de conteúdo adulto estão começando a usar para proteger crianças.

Mas e se um adolescente esperto pudesse enganar esse porteiro robô apenas usando coisas que ele já tem em casa? É exatamente isso que este estudo descobriu.

A Ideia Principal: O "Disfarce" de Farmácia

Os pesquisadores queriam saber: Um adolescente consegue burlar a IA apenas usando maquiagem, barba falsa ou tingindo o cabelo?

Eles não pediram para crianças reais se maquiarem (o que seria antiético). Em vez disso, usaram uma IA de edição de imagens (como um Photoshop superpoderoso) para simular, digitalmente, o que aconteceria se um adolescente aplicasse quatro truques simples:

1. Barba Falsa: Um bigode ou barba postiça.
2. Cabelo Cinza: Tingir o cabelo de branco/cinza.
3. Maquiagem: Usar base e contorno para parecer mais maduro.
4. Rugas: Desenhar linhas de expressão na testa e ao redor dos olhos.

Pense nisso como um adolescente se preparando para uma festa, mas com um objetivo diferente: não é para ficar bonito, é para parecer mais velho.

O Resultado: O Robô Caiu no Golpe

Os resultados foram assustadores. A IA, que deveria ser super precisa, foi enganada com muita facilidade.

• A Barba é a Arma Secreta: Apenas colocar uma barba falsa na foto foi suficiente para enganar a IA em até 69% dos casos. É como se o robô pensasse: "Ninguém com barba é criança, deixe entrar".
• O Combo Definitivo: Quando o adolescente usou os quatro truques juntos (barba + cabelo cinza + maquiagem + rugas), a IA achou que a pessoa era, em média, 7,7 anos mais velha.
• A Taxa de Sucesso: Em muitos casos, o sistema que deveria bloquear o adolescente, acabou liberando 83% deles. Ou seja, de 100 jovens que a IA deveria ter parado, 83 entraram porque o disfarce funcionou.

Analogia: O Detetive que Esqueceu de Olhar os Pés

Imagine um detetive muito inteligente que só olha para o rosto de alguém para adivinhar a idade.

• Se você colocar uma barba, o detetive pensa: "Ah, só adultos têm barba".
• Se você colocar cabelo cinza, ele pensa: "Cabelo cinza é de gente mais velha".
• Se você colocar rugas, ele pensa: "Rugas significam idade".

O problema é que a IA foi treinada para olhar apenas para essas "pistas" superficiais. Ela não sabe que um adolescente pode colar uma barba de Halloween em 5 minutos. É como tentar adivinhar a idade de alguém olhando apenas para o que ele está vestindo, sem olhar para o rosto real. Se a criança vestir um terno de adulto, a IA acha que é um adulto.

Por que isso é um problema?

Hoje, muitos países estão criando leis para obrigar sites a verificarem a idade das pessoas. Eles estão apostando nessa tecnologia de "olhar e decidir".

Este estudo é um alerta: Essa tecnologia não é segura.

• Se a lei disser "use IA para bloquear crianças", e a IA pode ser enganada com uma barba falsa de R$ 10,00 comprada na loja de conveniência, então a lei não vai funcionar.
• O estudo mostrou que até os sistemas mais modernos e caros (como os usados pelo Google e OpenAI) caíram nesses truques simples.

O que podemos aprender com isso?

1. A IA não é infalível: Ela é muito boa em tarefas de rotina, mas é muito "ingênua" quando alguém tenta burlar as regras com truques visuais simples.
2. Precisamos de mais do que apenas uma câmera: Para proteger crianças online, não podemos depender apenas de uma foto. Precisamos de métodos que não possam ser enganados por uma barba falsa ou uma maquiagem.
3. O "Porteiro" precisa ser mais esperto: Os desenvolvedores precisam treinar essas IAs para perceberem que uma barba pode ser falsa, ou combinar a verificação de idade com outras perguntas ou métodos que exijam mais do que apenas olhar para o rosto.

Em resumo: O estudo nos diz que, se a segurança de um site depende apenas de "olhar para o rosto", um adolescente com um pouco de criatividade e uma barba falsa pode entrar na festa sem ser notado. A tecnologia precisa evoluir para não ser tão fácil de enganar.

Resumo técnico

Título: Um Adolescente Pode Enganar uma IA? Avaliando Ataques Cosméticos de Baixo Custo em Sistemas de Estimativa de Idade

1. O Problema

Os sistemas de estimativa de idade facial estão sendo cada vez mais implantados como "porteiros" (gatekeepers) para restringir o acesso de menores a conteúdo online sensível (como sites adultos, jogos de azar e venda de álcool), em conformidade com legislações como a Lei de Segurança Online do Reino Unido e o Ato de Serviços Digitais da UE.

Apesar dessa dependência, a robustez desses sistemas contra modificações cosméticas simples e acessíveis não foi sistematicamente avaliada. O artigo identifica uma lacuna crítica: enquanto ataques adversariais digitais (que exigem conhecimento técnico e acesso ao modelo) são estudados, não há dados sobre a capacidade de um adolescente comum, sem conhecimento técnico, de burlar esses sistemas usando apenas cosméticos de farmácia (barba falsa, cabelo grisalho, maquiagem e rugas simuladas).

2. Metodologia

Os autores desenvolveram um protocolo de avaliação rigoroso para simular ataques físicos em escala, evitando questões éticas de manipulação real de menores.

• Conjunto de Dados: Foram utilizados 329 imagens faciais de indivíduos com idades reais entre 10 e 21 anos, extraídas de oito conjuntos de dados públicos padrão (UTKFace, IMDB-WIKI, MORPH, etc.).
• Simulação de Ataque: Em vez de aplicar maquiagem física, os autores utilizaram um editor de imagens baseado em Visão-Linguagem (VLM), especificamente o Gemini 2.5 Flash Image, para aplicar modificações cosméticas realistas às imagens originais.
• Tipos de Ataques: Quatro categorias de modificações foram simuladas, individualmente e em todas as 15 combinações não vazias:
  1. Barba: Adição de barba cheia com leve mistura de grisalho.
  2. Cabelo Grisalho: Transformação do cabelo para prata/cinza.
  3. Maquiagem: Aplicação de base madura, blush e contorno para alterar a tonalidade da pele e sombras.
  4. Rugas: Adição de linhas de expressão naturais na testa e ao redor dos olhos.
• Modelos Avaliados: O estudo testou 8 modelos distintos:
  • 5 Arquiteturas Especializadas de Visão Computacional (CV): MiVOLO, Custom-Best, Herosan, MiViaLab, DEX.
  • 3 Modelos de Visão-Linguagem (VLM) zero-shot: Gemini 3 Flash, Gemini 2.5 Flash, GPT-5-Nano.
• Métrica Principal (ACR): Os autores introduziram a Taxa de Conversão de Ataque (Attack Conversion Rate - ACR). Diferente de métricas de precisão padrão, a ACR mede a fração de imagens que o modelo classificou corretamente como "menor" na linha de base, mas que foram reclassificadas como "adulto" após o ataque. Isso torna a métrica agnóstica à distribuição demográfica do conjunto de teste.

3. Contribuições Principais

1. Primeiro Estudo Sistemático de Ataques Físicos Cosméticos: É a primeira pesquisa a tratar modificações cosméticas simples (acessíveis a qualquer adolescente) como um ataque deliberado à estimativa de idade, diferenciando-se de trabalhos anteriores focados em reconhecimento facial (bypass de identidade) ou perturbações digitais.
2. Benchmark de Robustez Cross-Paradigma: A primeira comparação direta entre arquiteturas especializadas de CV e modelos VLM modernos sob o mesmo modelo de ameaça do mundo real.
3. Nova Métrica (ACR): Proposta de uma métrica focada na taxa de falha de segurança (bypass) em vez de apenas erro médio absoluto (MAE), permitindo comparações justas entre modelos com diferentes sensibilidades de classificação.

4. Resultados Chave

Os resultados revelam vulnerabilidades alarmantes nos sistemas atuais:

• Eficácia da Barba Sintética: Sozinha, a barba sintética foi o ataque mais poderoso, alcançando uma ACR de 28% a 69% em todos os modelos. Isso significa que, em alguns casos, o ataque derrotou até 69% dos menores que o modelo havia identificado corretamente.
• Ataque Combinado (Os 4 Cosméticos): A combinação de barba, cabelo grisalho, maquiagem e rugas resultou em:
  • Um deslocamento médio na idade prevista de +7,7 anos (em todos os 329 sujeitos).
  • Uma ACR máxima de 83% (no modelo DEX) e uma média geral de 68,9%.
  • Isso indica que quase 7 em cada 10 menores identificados corretamente na linha de base foram classificados erroneamente como adultos após o ataque combinado.
• Desempenho dos VLM vs. CV:
  • Os modelos VLM (Gemini, GPT) apresentaram uma ACR ligeiramente menor (59–71%) em comparação com os modelos especializados (63–83%), sugerindo uma maior robustez relativa, embora as faixas se sobreponham e a diferença não tenha sido testada estatisticamente como significativa.
  • O modelo Custom-Best (CV), que tinha o menor erro na linha de base (MAE de 2,71 anos), ainda sofreu uma ACR de 75% sob o ataque completo.
• Vulnerabilidade por Faixa Etária:
  • Crianças mais jovens (10–12 anos) são paradoxalmente mais difíceis de burlar, pois a previsão basal do modelo está muito abaixo de 18 anos, exigindo um deslocamento massivo para cruzar o limiar.
  • O grupo de 15 a 17 anos é o mais vulnerável, pois suas previsões basais já estão próximas do limite de 18 anos; pequenas alterações cosméticas são suficientes para fazer o modelo "pular" para a categoria de adulto.

5. Significado e Implicações

• Falha na Infraestrutura de Verificação: Os resultados demonstram que a tecnologia atualmente sendo implantada como infraestrutura global de verificação de idade é vulnerável a contornamentos de baixo custo e sem necessidade de expertise técnica.
• Risco Regulatório: Nenhuma das legislações atuais especifica requisitos mínimos de robustez adversarial para sistemas aprovados. Este estudo preenche essa lacuna, alertando que a avaliação apenas em imagens "limpas" superestima drasticamente a eficácia no mundo real.
• Recomendações para Implantação:
  • A robustez adversarial deve ser um critério obrigatório na seleção de modelos para verificação de idade.
  • Modelos baseados em VLM podem oferecer uma vantagem de robustez relativa, mas nenhum modelo testado foi totalmente seguro, exigindo controles complementares.
  • Modelos com binização de idade grosseira (como o DEX) devem ser evitados devido à sua alta taxa de bypass.

Em conclusão, o artigo prova que um adolescente motivado, utilizando apenas itens de farmácia e ferramentas de IA generativa, pode enganar com alta probabilidade os sistemas de estimativa de idade mais avançados atualmente disponíveis, representando uma ameaça direta à segurança online infantil.