Adam Harvey lleva años avisando en su propia web de que los peinados y el maquillaje que diseñó en 2010 ya no valen contra los detectores de ahora. Empiezo por ahí porque esa advertencia es la respuesta.
Funciona contra un modelo concreto y durante un tiempo concreto. Ninguna de estas piezas —el maquillaje del CV Dazzle, los parches adversariales, las camisetas impresas, el punto de Cap_able— engaña a «las cámaras». Engaña al detector para el que se optimizó. Cuando ese detector se reentrena o se sustituye, la eficacia cae, a veces a cero. Es gráfica con fecha de caducidad, y conviene asumirlo desde el boceto.
¿De dónde sale la idea de camuflarse sin esconderse?
De 1917. Norman Wilkinson, pintor marinista y oficial de la Royal Navy, propuso al Almirantazgo pintar los buques con planos geométricos de alto contraste. La idea no era volverlos invisibles —imposible en mar abierto— sino romper la lectura de su silueta: falsas proas, falsas líneas de flotación, perspectivas contradictorias que estropeaban el cálculo de rumbo y velocidad en el telémetro de un submarino. Miles de barcos acabaron pintados así. Edward Wadsworth, que venía del vorticismo, supervisó parte del trabajo en Liverpool y después lo llevó a sus xilografías, que son de lo mejor que ha dado el camuflaje como forma.
El detalle que casi nunca se cuenta: las estadísticas del propio Almirantazgo nunca lograron demostrar que los barcos con dazzle se hundieran menos. Se mantuvo, entre otras cosas, porque subía la moral de las tripulaciones. Un siglo después seguimos citándolo como éxito. Los datos decían otra cosa.
¿Qué hace exactamente el CV Dazzle sobre una cara?
Harvey presentó el CV Dazzle en 2010 como trabajo de máster en el ITP de la NYU, y atacaba a Viola-Jones, el clasificador en cascada que traía OpenCV y que entonces estaba en medio planeta. Viola-Jones no reconoce a nadie: detecta que hay una cara buscando patrones de claro-oscuro previsibles. Que la zona de los ojos es más oscura que los pómulos. Que hay un puente nasal claro entre dos manchas oscuras.
Las reglas formales salen de ahí y son puro manual de composición: cubrir el puente de la nariz, tapar parcialmente una de las dos cuencas oculares, romper la simetría —el rostro humano es una retícula bilateral y el detector cuenta con ello— e invertir la topología tonal esperada con maquillaje que contraste con el tono de piel en vez de realzarlo. El pelo se usa como plano opaco cruzando la diagonal de la cara. Nada de esto es decorativo: cada mancha está puesta donde el algoritmo mira.
Es un ejercicio de diseño precioso, y también el momento en que la gráfica empieza a evaluarse contra una métrica que no controla quien diseña.
¿Contra qué modelo se diseñó cada pieza y qué queda de ella?
| Pieza | Año | Autoría | Objetivo técnico | Estado |
|---|---|---|---|---|
| Camuflaje dazzle naval | 1917 | Norman Wilkinson | Telémetro óptico y ojo humano | Eficacia nunca demostrada en las cifras del Almirantazgo |
| CV Dazzle | 2010 | Adam Harvey | Viola-Jones (cascadas Haar, OpenCV) | El propio autor lo da por superado frente a detectores modernos |
| HyperFace | 2017 | Adam Harvey con Hyphen-Labs | Saturar al detector con miles de caras falsas | Prototipo textil, otra estrategia: ruido en vez de ocultación |
| Parche adversarial impreso | 2019 | Thys, Van Ranst y Goedemé (KU Leuven) | YOLOv2, detección de personas | Funcionó; mala transferencia a otros detectores |
| Adversarial Fashion | 2019 | Kate Rose (DEF CON 27) | Lectores automáticos de matrículas | Inyecta matrículas falsas; depende del sistema concreto |
| Adversarial T-shirt | 2020 | Kaidi Xu y otros | YOLOv2 y Faster R-CNN | 57 % de éxito físico contra YOLOv2 y 47 % contra Faster R-CNN, según los autores |
| Manifesto Collection | 2023 | Rachele Didero (Cap_able) | Familia YOLO | Prenda de punto a la venta; eficacia atada a esa familia de modelos |
Fíjese en la última columna. La cifra más alta de la tabla, ese 57 %, es un resultado de laboratorio con la prenda bien vista, bien iluminada y contra el detector para el que se entrenó. Es un buen resultado científico y una protección malísima.
¿Por qué caducan?
Por tres motivos que se acumulan.
- La transferencia es mala. Un patrón optimizado contra YOLOv2 no hereda su efecto sobre otra arquitectura. Cada detector tiene sus propias sensibilidades y el ataque las persigue una por una.
- Los conjuntos de entrenamiento ya incluyen lo raro. Los detectores actuales se entrenan con caras ocluidas, giradas, maquilladas y a contraluz. Lo que en 2010 era una anomalía hoy es una muestra más del entrenamiento.
- El modelo se actualiza y usted no se entera. El caso más claro está en el terreno digital: el equipo de Fawkes, en la Universidad de Chicago, tuvo que publicar una versión nueva cuando una actualización del modelo de Microsoft Azure dejó sin efecto imágenes ya protegidas. Las fotos no habían cambiado. Había cambiado el otro lado.
Añada un cuarto factor, más prosaico: el reconocimiento facial ya casi nunca es el único canal. Marcha, silueta, dispositivo, matrícula, horario. Tapar el puente de la nariz no borra el resto del expediente.
¿Merece la pena diseñar estas piezas entonces?
Como equipo de protección, no. Quien las venda como escudo está vendiendo humo caro, y quien las compre pensando que sale a la calle invisible se está haciendo un flaco favor. La vía que sí ha movido algo es la regulatoria: el Reglamento Europeo de Inteligencia Artificial prohíbe desde el 2 de febrero de 2025 el raspado indiscriminado de imágenes faciales para construir bases de datos biométricas y restringe la identificación biométrica remota en tiempo real. Eso lo hace un texto legal, no una camiseta.
Como activismo gráfico, otra cosa. Estas piezas hicieron visible un sistema que opera sin que se vea, y lo hicieron con las herramientas del oficio: contraste, asimetría, ruptura de la retícula facial, textil. Ahí siguen siendo útiles, con una condición que casi nadie cumple: publicar contra qué modelo se probó, con qué tasa y en qué fecha. Una pieza adversarial sin ficha técnica es un póster que finge ser una herramienta.
Y hay algo que me gusta de todo esto, en clave de casa. Aquí la miel se le ofrece a un asno que no distingue una composición vorticista de un manchón: solo mide si su puntuación de detección baja. Diseñar para ese público es un ejercicio raro y honrado, siempre que se diseñe sabiendo que el asno aprende.
— mielosa