FARE: método forense detecta troca silenciosa (bait-and-switch) em geradores de imagem por IA
Pesquisadores propõem o FARE (Forensic Acceptance Region Estimation), um método para auditar, a partir de uma única imagem, se ela foi realmente produzida pelo modelo generativo que passou por certificação. A motivação é o cenário em que um provedor certifica um gerador de imagens de qualidade e depois o substitui silenciosamente por uma versão mais barata em produção, sem que o cliente ou o auditor percebam. O método usa artefatos forenses característicos de cada gerador para construir uma 'região de aceitação' e, em testes, superou as linhas de base mesmo sob ataques que tentam mascarar a troca.
O artigo parte de um problema concreto de integridade em cadeias de fornecimento de IA generativa: provedores oferecem geradores de imagem como APIs opacas, nas quais o cliente não tem acesso a pesos ou arquitetura do modelo, apenas às imagens de saída. Isso cria a possibilidade de um golpe de 'isca e troca' (bait-and-switch): o provedor certifica e demonstra qualidade com um modelo robusto, mas depois substitui silenciosamente esse modelo por uma versão mais barata e de qualidade inferior no ambiente de produção, sem aviso ao cliente ou ao auditor. Em domínios de alto risco — por exemplo, geração de imagens usadas em laudos, evidências ou aplicações regulamentadas — essa substituição não detectada compromete tanto a confiança quanto a segurança do sistema.
Tecnicamente, o FARE ataca o problema como um exercício de perícia de mídia sintética. Durante uma fase de 'matrícula' (enrollment), o método treina um classificador sobre imagens amostradas do gerador certificado, aprendendo os artefatos estatísticos e visuais específicos daquele modelo — os mesmos tipos de marcas (padrões de ruído, assinaturas de upsampling, resíduos de compressão do pipeline de geração) já usados em perícia forense de imagens para atribuição de fonte. A partir daí, o sistema delimita uma 'região de aceitação' no espaço de características que corresponde ao comportamento esperado daquele gerador específico. O diferencial do FARE é o uso de 'hard samples' — amostras difíceis, próximas da fronteira de decisão — para apertar essa região durante o treinamento, tornando o classificador mais sensível a variações sutis introduzidas por versões próximas do mesmo modelo ou por variantes fine-tuned, e não apenas por modelos completamente distintos.
Após o deployment, a verificação é feita com uma única imagem de saída: o FARE decide se ela é estatisticamente consistente com o gerador matriculado ou se indica uma substituição de modelo. Os autores testam o método contra trocas por versões similares, variantes do mesmo modelo e também contra ataques adaptativos que conhecem a imagem final (exact-model) ou apenas a decisão do verificador (decision-only), reportando desempenho superior a baselines existentes em pontos de operação rigorosos, isto é, com baixa taxa de falsos positivos.
A relevância prática está na aplicação do arcabouço de perícia de mídia — historicamente usado para detectar deepfakes e manipulações de imagem — a um problema novo de governança de cadeia de suprimentos de IA: verificar não se uma imagem foi manipulada, mas se ela realmente saiu do modelo que foi certificado. Isso é diretamente relevante para quem lida com autenticidade de conteúdo sintético e cadeia de custódia digital, pois fornece uma técnica de auditoria pós-fato baseada apenas na imagem final, sem exigir acesso ao provedor ou logs internos — um cenário realista em investigações e auditorias de terceiros.
O trabalho foi aceito para a NeurIPS 2026 e se soma a uma linha crescente de pesquisa em forense de mídia sintética voltada não apenas para distinguir real de gerado por IA, mas para atribuir a origem exata dentro do próprio ecossistema de modelos generativos — um problema que tende a crescer à medida que mais aplicações regulamentadas passam a depender de certificação de modelos de IA generativa.