💻 computer science

Casting the Net! Revisiting MasterFace Impersonation Attacks

Este artigo demonstra que adversários podem explorar APIs comerciais públicas para construir ataques "NET" baseados em MasterFaces, amplificando com sucesso as taxas de personificação em até 9,5 vezes além das taxas de falsos pareamentos padrão em sistemas modernos de reconhecimento facial em apenas 30 tentativas.

Autores originais: Seunghun Paik, Sunpill Kim, Chanwoo Hwang, Jae Hong Seo

Publicado 2026-08-10

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Seunghun Paik, Sunpill Kim, Chanwoo Hwang, Jae Hong Seo

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está caminhando por um edifício de alta segurança e, em vez de uma chave ou uma senha, o guarda verifica o seu rosto. É assim que os Sistemas de Reconhecimento Facial (SRFs) funcionam: eles tiram uma foto do seu rosto, transformam-na em um código matemático secreto (um "template") e verificam se esse código corresponde ao que está registrado. Durante anos, especialistas em segurança acreditaram que esses sistemas eram seguros contra estranhos aleatórios tentando entrar de penetra. Eles pensavam que o único risco real era um "impostor de esforço zero" — alguém que apenas se parece um pouco com a pessoa que está tentando enganar, algo como ganhar na loteria ao adivinhar os números certos. Se você não tentasse muito para hackear o sistema, suas chances de entrar eram basicamente zero. Mas e se houvesse uma maneira de lançar uma rede ampla, capturando não apenas um, mas muitos rostos diferentes de uma só vez, sem precisar saber o código secreto ou invadir o edifício? Esta é a pergunta que pesquisadores estão fazendo no campo da cibersegurança e da biometria, onde o objetivo é entender como essas fechaduras digitais podem ser abertas, mesmo por alguém que joga pelas regras.

Em um novo estudo intitulado "Casting the Net! Revisiting MasterFace Impersonation Attacks", pesquisadores da Universidade de Hanyang, na Coreia do Sul, descobriram uma maneira astuta de quebrar essa barreira de segurança de "esforço zero". Eles descobriram que, mesmo que um invasor não saiba o rosto específico que está tentando personificar, ele ainda pode enganar o sistema ao comprar acesso às mesmas ferramentas públicas de escaneamento facial que o edifício utiliza. Pense nisso desta forma: imagine que um segurança usa um aplicativo específico para verificar identidades. Os pesquisadores perceberam que qualquer pessoa pode comprar esse mesmo aplicativo e perguntar a ele: "Quão semelhante é o Rosto A ao Rosto B?" milhares de vezes. Ao fazer perguntas suficientes, eles podem mapear a "forma" de todos os rostos que o sistema reconhece, mesmo sem ver os códigos secretos dentro dele.

A equipe usou essa informação para criar o que chamam de "MasterFace". No passado, cientistas tentaram criar esses "super-rostos" tentando adivinhar no escuro, mas geralmente falhavam contra sistemas modernos e inteligentes. Este artigo mostra que, ao usar o aplicativo público para desenhar um mapa do "espaço facial" do sistema, um invasor pode construir um conjunto de rostos especiais (uma "rede") que cobre uma grande área desse mapa. É como lançar uma rede de pesca em um lago onde os peixes (os rostos reais) estão agrupados em certos pontos. Em vez de tentar pegar um peixe específico, o invasor lança uma rede projetada para pegar qualquer peixe que esteja nadando por ali.

Os resultados são surpreendentemente eficazos. Em seus experimentos, os pesquisadores testaram este método contra vários sistemas de reconhecimento facial do mundo real, incluindo modelos de código aberto e um importante serviço comercial da Amazon. Eles descobriram que, com apenas algumas tentativas — entre 5 e 30 tentativas — sua "rede" poderia enganar o sistema com muito mais frequência do que um estranho aleatório faria. Em alguns casos, sua taxa de sucesso foi até 9,5 vezes maior do que o que os padrões de segurança costumam esperar. Por exemplo, se um sistema deve permitir a entrada de um estranho aleatório apenas 1 vez em cada 10.000, este novo método poderia deixá-lo entrar quase 10 vezes em cada 10.000 com o mesmo número de tentativas.

O artigo é cuidadoso ao ressaltar o que isso não significa. Não significa que qualquer pessoa possa chegar diante de uma câmera e instantaneamente se tornar qualquer outra pessoa. O ataque exige que o invasor compre o mesmo software comercial que o alvo utiliza, o que custa dinheiro (os pesquisadores estimaram um orçamento de cerca de US$ 100 para seus testes), e depende que o sistema seja construído sobre essas ferramentas públicas. Os pesquisadores também descartaram a ideia de que truques antigos e simples funcionem em sistemas modernos; eles mostraram que os métodos antigos falham, mas esta nova abordagem de "rede" funciona porque utiliza as próprias ferramentas públicas do sistema contra ele.

Então, o que isso nos diz? Sugere que a segurança do reconhecimento facial pode ser mais frágil do que pensávamos, não porque as fechaduras estejam quebradas, mas porque as chaves estão sendo vendidas para todos. Se um edifício utiliza um serviço de escaneamento facial público e popular, um invasor pode comprar esse mesmo serviço, estudar como ele vê os rostos e confeccionar um "MasterFace" que se ajuste à fechadura. Os pesquisadores não estão dizendo que o mundo está condenado, mas estão alertando que precisamos ser mais cuidadosos sobre quanta informação revelamos sobre quais ferramentas usamos para manter nossas portas trancadas. Eles liberaram uma versão pequena e segura de seu código para que outros cientistas possam estudar este problema, mas mantiveram as partes perigosas ocultas para evitar o uso indevido. Em última análise, este artigo revive uma ideia antiga — o "MasterFace" — e mostra que, com um pouco de matemática e um cartão de crédito, ela pode ser mais perigosa do que imaginávamos.

Resumo Técnico: Lançando a Rede! Revisitando Ataques de Personificação por MasterFace

Definição do Problema
Sistemas de Reconhecimento Facial (FRSs) enfrentam uma ameaça de segurança fundamental: a personificação, onde um adversário tenta se autenticar como uma identidade de vítima. Em cenários de implantação realistas, as capacidades adversárias são estritamente limitadas. Os atacantes geralmente não possuem acesso aos parâmetros internos do sistema, templates registrados ou à imagem facial da identidade alvo. Além disso, a interação é limitada a um pequeno número fixo de tentativas de autenticação (ex: 5–30 tentativas) que geram apenas decisões binárias de "aceitar/rejeitar". Sob essas restrições, o padrão de segurança base é a Taxa de Falso Pareamento (FMR), que representa a probabilidade de um "impostor de esforço zero" (um rosto aleatório) ser incorretamente aceito.

Historicamente, ataques de MasterFace — rostos sintetizados projetados para corresponder a múltiplas identidades ao explorar não-uniformidades em distribuições biométricas — acreditava-se serem ineficazes contra FRSs modernos e de última geração. Estudos anteriores sugeriram que os MasterFaces eram muito sensíveis a extratores de templates específicos e falhavam em alcançar taxas de personificação significativamente superiores à linha de base FMR padrão sob modelos de ameaça realistas.

Metodologia
Os autores propõem um novo ataque de personificação que revive o conceito de MasterFace ao aproveitar o acesso legítimo a APIs comerciais públicas (ex: AWS Rekognition, Tencent Cloud) usadas como backends para implantações de FRS do mundo real. O pipeline de ataque consiste em três estágios:

Formulação Baseada em Rede (Problema de Cobertura Máxima):
Em vez de buscar um único MasterFace no espaço da imagem, os autores formalizam o ataque no espaço do template. Eles definem uma "rede" como um conjunto de $Q$ templates cujas vizinhanças $\tau$ maximizam coletivamente a cobertura da distribuição de templates faciais. A busca por essa rede é formalizada como um Problema de Cobertura Máxima (MCP), um problema clássico de otimização combinatória. O objetivo é encontrar um conjunto de templates $\{z_1, \dots, z_Q\}$ que maximize a probabilidade de cobrir um template alvo amostrado aleatoriamente $t$ .
Exploração de Consultas de API via Decomposição de Gram:
O adversário não tem acesso direto ao extrator de templates do FRS alvo ou aos templates registrados. No entanto, ele pode adquirir a mesma API comercial usada pelo sistema alvo.
- O adversário consulta a API com pares de suas próprias imagens faciais escolhidas para obter pontuações de confiança (pontuações de similaridade).
- Usando a Decomposição de Gram, o adversário constrói uma matriz $L$ a partir da matriz de pontuação $S$ (onde $S = A^T A$ e $A$ contém as características extraídas pela API).
- Este processo gera templates rotacionados ($L = RA$, onde $R$ é uma matriz de rotação unitária desconhecida). Embora a orientação exata seja desconhecida, a estrutura geométrica do espaço de templates é preservada até uma isometria.
- Crucialmente, o Problema de Cobertura Máxima é invariante sob isometria. Portanto, o adversário pode resolver o MCP nos recursos rotacionados para encontrar a rede rotacionada que corresponde à rede ideal no espaço original.
Recuperação de Rosto:
Uma vez identificada a rede rotacionada, o adversário deve recuperar as imagens faciais correspondentes para lançar a personificação física ou digital.
- O adversário utiliza a rede rotacionada para construir um oráculo de pontuação via consultas adicionais à API.
- Este oráculo é alimentado em ataques de reconstrução baseados em pontuação existentes (especificamente, o método de Kim et al. [53] combinado com Estratégias de Evolução Natural (NES) para pós-processamento) para reconstruir imagens faciais que correspondam aos centros da rede.

Principais Contribuições

Revitalização de Ataques MasterFace: O artigo demonstra que ataques de MasterFace são viáveis contra FRSs modernos se o adversário puder comprar e consultar legitimamente a mesma API comercial utilizada pelo sistema alvo.
Formalização como MCP: Os autores formalizam os MasterFaces como um conjunto de templates que maximizam a cobertura sobre a distribuição biométrica, reduzindo a busca a um Problem de Cobertura Máxima solucionável via algoritmos gulosos.
Vetor de Ataque Invariante à Isometria: Eles introduzem uma técnica usando Decomposição de Gram para extrair características geométricas de pontuações de API até uma rotação desconhecida. Isso permite a construção de uma rede adaptada à API sem conhecer o extrator de templates específico ou os templates registrados.
Modelo de Ameaça Realista: O ataque opera estritamente dentro de restrições realistas: sem conhecimento interno do sistema, sem acesso a identidades registradas e apenas com um número limitado de tentativas de autenticação baseadas em decisão.

Resultados Experimentais
Os autores avaliaram seu ataque contra vários FRSs de código aberto (ArcFace, ElasticFace, AdaFace) e a API comercial AWS CompareFaces.

Taxas de Personificação (IR): Através de orçamentos de tentativas de autenticação ( $Q$ ) de 5, 10 e 30, e em níveis de FMR de $10^{-3}$ , $10^{-4}$ e $10^{-5}$ , o ataque proposto superou consistentemente a linha de base do impostor de esforço zero.
Fatores de Melhoria:
- Para FRSs de código aberto, o ataque alcançou melhorias de 2,03× a 9,50× sobre a linha de base.
- Para a API AWS CompareFaces, as melhorias variaram de 1,75× a 6,57×.
Custo: O ataque requer um custo de API único (estimado em aproximadamente $100 para os experimentos da AWS) para construir a rede. Tentativas de autenticação subsequentes não exigem mais consultas à API.
Cobertura Demográfica: Visualizações mostraram que, embora os MasterFaces reconstruídos frequentemente parecessem homens brancos (devido aos vieses nos dados de treinamento usados na sub-rotina de reconstrução), eles cobriram com sucesso rostos de diversos grupos demográficos, confirmando que o ataque visa a distribuição do espaço de templates, e não a aparência do espaço de pixels.

Significância e Alegações
O artigo afirma demonstrar que impostores de esforço zero não são a única linha de base viável para a segurança de FRS modernos. Ao explorar legitimamente informações públicas sobre o uso de APIs de back-end, um adversário pode construir MasterFaces "adaptados à API" que ampliam significativamente as taxas de personificação além da FMR padrão.

Os autores enfatizam que esta vulnerabilidade surge da não-uniformidade das distribuições biométricas combinada com a transparência do uso de APIs comerciais em implantações do mundo real. Eles argumentam que a divulgação de informações de nível de sistema (ex: revelar qual API de terceiros é usada) permite que atacantes contornem as suposições de segurança que anteriormente tornavam os ataques de MasterFace obsoletos. O trabalho sugere que as avaliações de segurança atuais, que dependem apenas da FMR, podem subestimar o risco imposto por adversários com acesso a serviços comerciais públicos.

O artigo conclui observando que, embora o ataque seja eficaz em um contexto digital, a realização física (ex: impressão dos rostos) envolve desafios separados de spoofing (falsificação) não abordados aqui. Eles também sugerem que a técnica de decomposição de Gram poderia ser uma ferramenta para outros ataques de extração de informação, como inferência de membros ou extração de modelo.

Mais como este