比尔·斯瓦林根（Bill Swearingen）在堪萨斯城家中花费一年时间反复进行一项实验，他联合创办了SecKC安全聚会。经过约3100万次测试后，他声称能按需生成图案，使被覆盖物体躲过Flock摄像头内置的检测软件——这套争议性监控系统正在美国各地部署。上周五，他在Def Con大会上首次公开演示，与YouTube频道Donut Media合作，用最新图案覆盖一辆2009款丰田雅力士，并驶过Flock摄像头。
“我们证明了它有效，”斯瓦林根对TechCrunch表示，不过他也承认车轮部分是个挑战。Donut Media称，演示视频将在未来几周内发布。该图案并不会让摄像头失明，录像仍正常记录，人类观看屏幕时能看到一辆车。被破坏的是上层——物体检测模型，它原本会判断“这是车辆，这是车牌，记录下来”。简而言之，向AI检测器输入足够多的、针对其自身数学原理设计的视觉噪声，检测器就会什么也不记录。这辆车重新变回大海捞针。
图片致谢：Donut Media
这就是对抗性机器学习，其原理在于计算机视觉所见并非人眼所见。在人看来是花哨的平面设计图案，在分类器眼中却可能毫无意义。斯瓦林根使用强化学习模型构建了这套系统，模型会自我评分并调整——他将其描述为教会模型“如何绘画”。如今，模型每分钟都能生成新图案，而最强的那些图案被他离线保存，以防摄像头厂商针对训练。斯瓦林根说：“隐私是一项基本权利”，这些图案能让人们“选择不被追踪”。他表示，这一想法源于去年他想参加一场抗议活动，却担心摄像头记录下所有到场人员。
躲避机器识别的长久对抗
多年来，人们一直在用五金店就能买到的材料即兴对抗检测系统。旧金山活动人士将交通锥放在Waymo和Cruise自动驾驶汽车引擎盖上，使它们原地冻结——这种利用根本不需要代码。去年洛杉矶移民突袭期间，抗议者更进一步，烧毁了几辆Waymo。口罩、帽子和宽檐帽仍是抗议线上的标配。对抗性服装图案已销售多年，声称能混淆面部识别，而反识别眼镜虽已出现，但证据薄弱。斯瓦林根的项目名为“noRecognition”，其独特之处在于目标清单：他针对的是广泛部署的特定系统，而Flock正是当前众矢之的。该公司正面临国会日益强烈的反对，内部文件显示，它曾计划将35万辆优步和Lyft的仪表盘摄像头转变为移动扫描车牌车队。
自动车牌读取器曾因错误匹配导致无辜司机被持枪拦下，移民和抗议者不断被卷入ICE的AI抓捕网。立法者同时也在向Meta施压，要求其智能眼镜中的面部识别技术接受监管，因此任何对抗自动检测技术的法律措施都受到隐私爱好者的关注。斯瓦林根的noRecognition项目正在众筹，用于早期商品——先推出T恤和连帽衫，后续再推出车衣。斯瓦林根表示，目标是达到足够高分辨率以在远距离生效，同时设计足够美观以让人愿意穿着。驾驶贴有图案的汽车上路本身涉及法律问题，各州对遮挡车牌的法规各不相同，而这些图案覆盖车身而非车牌。“每一次失败都在改进我的模型，因此图案会越来越好，”斯瓦林根说。