AI生成的图案助你躲避监控摄像头——包括Flock

简要内容

• Bill Swearingen 的 noRecognition 项目生成的图案可以阻止相机软件对所覆盖的对象（人、面部或汽车）进行分类。
• 这些图案击败了他测试的所有 11 种开源检测算法，包括 Flock 车牌识别器、Axon 执法记录仪和 Clearview AI 背后的软件。
• 首次公开测试于周五在 Las Vegas 的 Def Con 举行：一辆包裹着这种图案的 2009 Toyota Yaris 驶过了一台 Flock 摄像机。

Bill Swearingen 过去一年在 Kansas City 的家中反复进行一项实验，他在那里共同创立了 SecKC 安全聚会。在进行了约 31 million 次测试后，他表示可以按需生成图案，将所覆盖的任何物体从接入 Flock 摄像机的检测软件中隐藏起来。Flock 是目前正在全美推广的有争议的监控系统。

周五，他在 Def Con 首次公开展示了这一成果，他与 YouTube 频道 Donut Media 合作，用他最新的一种图案包裹了一辆 2009 Toyota Yaris，并让它驶过了一台 Flock 摄像机。

“我们证明了它是有效的，”Swearingen 告诉 TechCrunch，尽管他说车轮是一个挑战。Donut Media 表示，演示视频将在未来几周内发布。

这种图案并不会让摄像机“变瞎”。视频仍然可以正常录制，人类在屏幕上看到的仍然是一辆车。失效的是顶层的部分——即判定“那是一辆车，那是车牌，记录下来”的目标检测模型。

所以基本上，只要向 AI 检测器输入足够多的针对其自身数学模型的视觉噪声，它就什么也记录不下来。这辆车就重新变成了大海里的一根针。

这就是对抗性机器学习，它之所以奏效，是因为计算机视觉看到的与你看到的不同。对人来说看起来像是花哨平面设计的车贴，对分类器来说可能什么都不是。

Swearingen 使用一种可以自我评分的强化学习模型构建了它。图案被检测到，模型进行调整，再次尝试——他将其描述为教模型“如何绘画”。现在它每分钟都会生成新的图案，而他将最强大的图案保留在离线状态，这样摄像机厂商就无法针对它们进行训练。

“隐私是一项基本权利，”他说，并称这些图案是人们“选择不被追踪”的一种方式。他说，这个想法是在去年产生的，当时他想参加一次抗议活动，并担心摄像机会记录下所有到场的人。

躲避机器的漫长之路

多年来，人们一直在针对检测系统进行各种即兴创作，通常使用五金店的解决方案。San Francisco 活动人士在 Waymo 和 Cruise 无人驾驶出租车的引擎盖上放交通锥，让它们停在原地，这种破解方式根本不需要代码。

在去年的 Los Angeles 移民搜捕行动中，抗议者的行为更加激进，纵火焚烧了几辆 Waymo。口罩、兜帽和有檐帽仍然是抗议现场的标配。对抗性服装品牌多年来一直在销售能迷惑面部识别的印花，而反识别眼镜虽然已经问世，但几乎没有证据表明它们有多大作用。