Biometria é quebrada usando apenas respostas 'aceito/rejeitado': modelo é reconstruído em 97,6–100% dos casos

Um sistema de reconhecimento facial que responde apenas 'aceito' ou 'rejeitado' é considerado bastante seguro: nem a pontuação de similaridade nem o próprio modelo biométrico são expostos. Um grupo de pesquisadores — Eliron Rahimi, Margarita Osadchy e Orr Dunkelman — mostrou que isso não é suficiente. Um único bit de feedback por consulta permite reconstruir um modelo biométrico protegido quase perfeitamente: o erro de reconstrução fica abaixo de 1% do limiar de autenticação em 97,6–100% dos casos. O preprint foi publicado na arXiv sob o número 2610.25118, com o código disponível no GitHub.

Um vazamento pela própria interface

Sistemas biométricos modernos protegem cada vez mais seus modelos com mecanismos dedicados: os vetores faciais em si não ficam armazenados em texto claro. Mas a verificação ainda se reduz a uma comparação: o sistema aceita o usuário se a similaridade com a referência superar um limiar. Cada 'sim' ou 'não' informa ao atacante de que lado dessa fronteira está o seu vetor de teste. Os autores exploram exatamente essas restrições geométricas do processo de verificação. Uma série de consultas cuidadosamente escolhidas vai estreitando a região onde o modelo de referência pode estar, até calculá-lo com precisão numérica.

A principal conclusão do trabalho é que o resultado não depende do esquema de proteção dos modelos. O vazamento não surge no armazenamento, mas no próprio processo de autenticação. Ataques de reconstrução anteriores dependiam das pontuações de similaridade fornecidas pelo sistema. Sistemas binários, que mostram apenas uma decisão, eram considerados muito mais resistentes, já que um único bit carrega muito menos informação. Rahimi e colegas afirmam ser os primeiros a levar esse tipo de ataque a um resultado prático.

Como a distribuição dos modelos acelera o ataque

A segunda parte do trabalho trata do custo do ataque. O número de consultas ao sistema continua sendo a principal limitação: serviços reais podem bloquear atividades suspeitas. Por isso, os autores propõem métodos para escolher as consultas levando em conta a distribuição dos modelos biométricos. Para sistemas que retornam pontuações, isso reduz em até 5 vezes o número de consultas necessárias em comparação a ataques recentes. O modelo de ameaça fica mais realista: o atacante precisa de muito menos interações com a interface.

O terceiro passo combina os dois resultados. O ataque binário geométrico é combinado com um prior de difusão pré-treinado para rostos. Ele indica como são rostos plausíveis e descarta regiões onde o modelo certamente não pode estar. A complexidade em número de consultas cai cerca de 5 vezes. Aqui, a IA generativa não ataca o sistema diretamente — ela funciona como uma fonte de conhecimento sobre a distribuição dos dados, tornando a busca muito mais eficiente.

Principais resultados

• O feedback binário (aceito/rejeitado) é suficiente para reconstruir um modelo. • O erro de reconstrução fica abaixo de 1% do limiar de autenticação em 97,6–100% dos casos. • A escolha de consultas com base na distribuição reduz em até 5 vezes seu número em ataques por pontuação. • Um prior de difusão pré-treinado para rostos reduz em cerca de 5 vezes a complexidade do ataque binário. • A reconstrução é possível independentemente do mecanismo de proteção dos modelos. • Autores: Eliron Rahimi, Margarita Osadchy, Orr Dunkelman.

O que os desenvolvedores desses sistemas devem mudar

A principal conclusão prática é que criptografar ou transformar os modelos no armazenamento não resolve o problema enquanto a interface de verificação puder ser consultada quase sem restrições. Equipes que constroem autenticação biométrica deveriam avaliar o modelo de ameaça junto com a própria API: quantas tentativas são permitidas, como são contadas em nível de dispositivo, conta e rede, e como sequências de consultas estruturalmente semelhantes são detectadas. Limitar a frequência de consultas e monitorar sequências anômalas passam a ser parte da proteção dos modelos, não uma medida acessória.

Há também uma conclusão mais geral. Modelos de difusão treinados com rostos entregam ao atacante informações prontas sobre a distribuição dos dados, e cada novo modelo generativo torna esses ataques mais baratos. Quem escolhe um esquema de proteção biométrica deveria testar sua resistência contra ataques com priors generativos, e não apenas contra força bruta e tentativa e erro clássicos.

Os autores destacam que a conclusão do trabalho remete a uma limitação fundamental: enquanto um sistema retornar uma decisão, essa decisão carrega informação geométrica. O vazamento só pode ser totalmente eliminado reduzindo o próprio feedback e o número de tentativas permitidas.