Une Toyota Yaris disparaît des caméras de surveillance IA

Une Toyota Yaris de 2009, recouverte d'un motif généré par ordinateur, garée à Las Vegas. Résultat : une caméra de surveillance censée la repérer automatiquement ne l'a tout simplement pas vue.

La caméra filmait pourtant très bien. C'est l'algorithme chargé d'interpréter l'image qui a été berné, et c'est exactement le point.

Le motif adversarial testé grandeur nature à Def Con

Bill Swearingen a passé l'année écoulée à produire des motifs générés par ordinateur capables de bloquer la détection par les caméras de surveillance qui bordent les rues américaines, après environ 31 millions de tests. Son projet, baptisé noRecognition, vise à tromper les systèmes qui identifient personnes, visages et véhicules.

Ses motifs sont parvenus à déjouer les 11 algorithmes de détection open source testés, dont ceux qui font tourner les lecteurs de plaques Flock, les caméras corporelles Axon et les logiciels Clearview AI. Vendredi, à la conférence Def Con de Las Vegas, il a organisé son premier test réel.

Une Yaris habillée pour l'occasion

Avec l'aide de la chaîne automobile Donut Media, le test a consisté à recouvrir une Toyota Yaris de 2009 d'un de ses derniers motifs pour voir si le véhicule devenait invisible à une caméra Flock. « On a prouvé que c'était efficace », a résumé Swearingen, tout en admettant que les roues restaient un point faible.

Une vidéo de la démonstration doit sortir dans les prochaines semaines. On peut sourire devant l'image d'une petite citadine japonaise déguisée en fantôme numérique, mais l'enjeu dépasse largement le gadget de convention hacker.

Ce n'est pas la première tentative

Le principe n'a rien de neuf : dès 2019, des chercheurs de la KU Leuven avaient montré qu'un patch imprimé de 40 cm² pouvait significativement réduire la précision d'un détecteur de personnes. D'autres travaux académiques ont depuis appliqué la même logique aux véhicules avec des camouflages 3D optimisés contre les systèmes de vision.

Ce qui change avec noRecognition, c'est l'échelle et la robustesse : un modèle qui s'entraîne lui-même en continu, contre des logiciels réellement déployés sur le terrain, pas seulement en laboratoire. Flock, Axon et Clearview AI ne sont pas des noms obscurs, ce sont des fournisseurs massivement utilisés par les forces de l'ordre américaines.

Une zone grise juridique et technique

Recouvrir sa voiture ou porter un vêtement adversarial n'est pas automatiquement illégal, mais masquer volontairement une plaque d'immatriculation l'est dans plusieurs États américains. La frontière entre recherche en sécurité et outil d'évasion reste floue, et c'est probablement voulu ainsi par Swearingen, qui présente son travail comme une démonstration des limites de ces systèmes plutôt qu'un mode d'emploi.

Pour en savoir plus sur les tensions entre IA et surveillance, on peut relire notre article sur Google retirant son IA de Google Earth après des dérapages.

Qu'est-ce qu'un motif adversarial ?

C'est une image ou une texture générée pour exploiter les failles d'un réseau de neurones, en le faisant échouer à détecter ou classer correctement un objet, une personne ou un véhicule, sans que l'image soit modifiée pour un œil humain.

Le motif de Bill Swearingen fonctionne-t-il contre toutes les caméras ?

Non, il a été validé contre 11 algorithmes de détection open source spécifiques, dont ceux utilisés par Flock, Axon et Clearview AI, mais son efficacité varie selon l'angle, la distance et le modèle de caméra visé.