Peut-on tromper la reconnaissance faciale avec un simple masque ?
Découvrez comment perturber la reconnaissance faciale, générez votre motif expérimental et aidez-nous à tester son efficacité en conditions réelles.
Ce que la machine voit
Un système de reconnaissance faciale ne voit pas votre visage comme un humain le voit. Il transforme l'image en une représentation mathématique, une empreinte numérique, qu'il peut ensuite comparer à celles de milliers ou de millions d'autres personnes.
Photo
Détection du visage
9 %
14 %
6 %
12 %
97 %
21 %
8 %
17 %
11 %
Identification
le plus haut score, c'est vous
Cela pose une question simple : si un algorithme nous reconnaît à partir de cette empreinte, peut-on modifier ce qu'il voit pour rendre la reconnaissance plus difficile ?
C'est le principe d'AI Camouflage : créer un motif « trompe-l'œil » (adversarial) imprimé sur un masque. Pour un humain, votre visage reste parfaitement reconnaissable. Pour la machine, l'empreinte numérique est brouillée.
Mais un motif efficace sur écran ne le reste pas forcément dans la réalité. L'encre, les plis du tissu, la lumière ou le capteur de la caméra altèrent l'image : un motif parfait en simulation peut s'effondrer une fois imprimé. Tout l'enjeu est de créer un signal assez robuste pour survivre au monde physique.
C'est pourquoi la simulation nous sert à explorer rapidement des pistes, mais seuls les tests en conditions réelles permettent de savoir si un motif fonctionne vraiment. Nous testons donc nos motifs une fois imprimés, avec de vraies caméras et plusieurs algorithmes de reconnaissance open source.
Les systèmes modernes de reconnaissance faciale sont de plus en plus entraînés à reconnaître un visage malgré les occlusions. Masque, écharpe, lunettes, main devant le visage : pendant leur entraînement, ils apprennent à exploiter les indices qui restent visibles (contour des yeux, front, proportions, structure du visage) pour continuer à produire une identification.
Un motif adversarial suit une logique différente. Il ne cherche pas simplement à cacher le visage, mais à fausser la manière dont l'algorithme le perçoit.
Le motif est conçu pour perturber les caractéristiques numériques que le modèle extrait du visage et déplacer son empreinte biométrique loin de celle qu'il devrait normalement produire. Le système peut toujours détecter un visage, l'analyser et le mesurer, mais la représentation qu'il en calcule ne correspond plus aussi bien à la personne recherchée.
C'est un peu comme une signature volontairement déformée : elle reste lisible comme une signature, mais elle ne correspond plus à celle enregistrée.
En bref : le masque occulte ; le motif adversarial perturbe. L'un retire de l'information, l'autre cherche à induire l'algorithme en erreur.
Et ça fonctionne : dans nos tests, face à plusieurs algorithmes open source, nos masques imprimés empêchent aujourd'hui le système de vous identifier.
L'objectif est maintenant de rendre cette recherche accessible sous la forme d'un produit simple : fournir quelques photos, générer son propre motif, l'imprimer, le porter et tester son camouflage.
Vous pouvez accéder à la beta ouverte ici.
Un camouflage personnel
Le motif n'est pas universel : deux personnes n'ont pas le même visage et ne produisent pas la même empreinte numérique. Nous explorons donc une approche où chaque motif est calculé pour une personne donnée, à partir de quelques photos de son visage. Plutôt qu'un textile « anti-IA » identique pour tout le monde, le camouflage se rapproche d'un produit sur mesure : vous fournissez quelques photos, un motif propre à votre visage est calculé, et vous pouvez ensuite l'imprimer, le porter et mesurer son effet.
Concrètement, un masque calculé pour vous ne protège que vous : porté par quelqu'un d'autre, il perd l'essentiel de son effet. Ce n'est pas un défaut, c'est la logique même du camouflage : le motif est construit contre votre empreinte numérique, pas contre celle du voisin.
Non identifié
Non identifié
Reconnu · rang 1, comme sans masque
Reconnu · rang 1, comme sans masque
La combinaison plutôt que l'objet miracle
Un résultat ouvre une piste inattendue, avec un objet on ne peut plus banal : une casquette.
Portée seule, une casquette laisse une personne parfaitement reconnaissable. Associée à un masque chirurgical classique, elle ne protège guère mieux : les algorithmes retrouvent encore facilement la personne. Mais dans nos essais, ajouter cette même casquette à un masque portant un motif adversarial a produit bien plus qu'un petit gain : l'effet observé était beaucoup plus important, comme si l'occultation créée par la casquette et le motif se renforçaient mutuellement.
Le futur du camouflage tient sans doute moins à un objet miracle qu'à la combinaison de plusieurs signaux complémentaires, conçus pour fonctionner ensemble. Le champ d'exploration s'agrandit : des lunettes ? un couvre-chef ? du maquillage ? plusieurs surfaces adversariales portées en même temps ? À terme, AI Camouflage souhaiterait dépasser le masque pour devenir un véritable système de camouflage personnel.
Et face à des algorithmes que nous ne connaissons pas ?
Les systèmes de reconnaissance faciale sont nombreux. Certains sont open source. D'autres sont entièrement propriétaires. Nous ne connaissons ni leur architecture exacte, ni leurs données d'entraînement, ni les paramètres internes qui déterminent leurs décisions. La vraie question est celle du transfert : un motif créé avec certains algorithmes peut-il aussi mettre en échec un système qu'il n'a jamais rencontré ?
Pour le savoir, nous avons confronté nos motifs à AWS Rekognition, le service de reconnaissance faciale du cloud d'Amazon. Nous n'avons aucun accès à son fonctionnement interne, et notre algorithme ne peut pas s'appuyer sur son modèle pour optimiser le camouflage : c'est un test en aveugle.
Le protocole est simple. Nous fournissons à Rekognition des photos de référence d'une personne, puis nous lui demandons de la retrouver sur de nouvelles images. Sans camouflage, il la retrouve sans difficulté. Avec le masque, la personne ne ressort plus dans les correspondances renvoyées par le système, et ce de manière répétée dans nos tests.
Sans camouflage
100 %
similarité avec votre visage
Rekognition vous retrouve immédiatement : 1re correspondance, rang 1 sur 10 010.
Chirurgical + casquette
98,6 %
similarité avec votre visage
Cacher le visage ne suffit pas : 1re correspondance vous (99,4 %), toujours rang 1 sur 10 010.
Motif seul
13,4 %
similarité avec votre visage
La 1re correspondance est un inconnu (28,1 %). Vous glissez au rang 11 sur 10 010.
Motif + casquette
0,5 %
similarité avec votre visage
La 1re correspondance est un inconnu (56,5 %). Votre visage sombre au rang 1 579 sur 10 010.
Ce résultat compte : il suggère que le motif n'exploite pas simplement une particularité d'un modèle open source, mais que certaines de ses propriétés se transfèrent vers des systèmes propriétaires entièrement différents. La « recette » de ce transfert fait encore l'objet de nos recherches, et nous ne la détaillerons pas ici.
Une course d'adaptation permanente
Un motif efficace aujourd'hui ne le restera pas indéfiniment. Comme en cybersécurité, attaques et défenses évoluent en permanence : si une famille de motifs adversariaux se généralise, les futurs algorithmes de reconnaissance seront entraînés pour y résister, et il faudra chercher autre chose. De nouvelles textures, de nouvelles surfaces, de nouvelles combinaisons.
Le motif que nous développons aujourd'hui n'a donc pas vocation à être intemporel. Nous ne cherchons pas à découvrir une fois pour toutes « le motif anti-reconnaissance faciale ». Nous cherchons plutôt à construire une capacité permettant de continuer à déplacer la cible.
C'est aussi ce qui fait la valeur du projet. Elle ne réside pas dans le motif qui fonctionne aujourd'hui, mais dans une capacité de recherche continue : comprendre comment les systèmes évoluent, mesurer leur robustesse, découvrir de nouvelles faiblesses et développer les générations suivantes de camouflage.
Et maintenant ?
Nous n'en sommes qu'au début. Il reste beaucoup à comprendre : le comportement des motifs face à la diversité des personnes, d'autres systèmes propriétaires, leur résistance à la distance et à la diversité des caméras, les combinaisons physiques les plus efficaces, la manière dont les futurs modèles s'adapteront.
Mais une idée se dessine déjà : le camouflage à l'ère de l'intelligence artificielle sera personnel, calculé et évolutif. Personnel, parce qu'il est créé pour votre propre visage. Calculé, parce que son apparence n'est pas seulement esthétique : elle est optimisée en fonction de la manière dont les machines nous perçoivent. Évolutif, parce qu'il devra continuer à changer à mesure que les algorithmes de reconnaissance évoluent eux-mêmes.
C'est ce que nous voulons explorer avec AI Camouflage, et vous pouvez y prendre part dès maintenant : générez votre motif, imprimez-le, portez-le, et dites-nous ce que vous observez.
Participer au projet
Vous souhaitez participer à nos prochains tests, essayer AI Camouflage face à un système de reconnaissance auquel vous êtes confronté, ou tester la robustesse de votre propre système ?
Écrivez-nous à yann.carbonne@proton.me.