Piscar de olhos não prova mais nada: a IA furou o reconhecimento facial

No dia 26 de outubro, a frase «vídeos gerados por IA já conseguem enganar o reconhecimento facial» virou um dos assuntos mais comentados nas redes chinesas. Os comentários se encheram de gente dizendo que sentiu um arrepio. Mas o que incomoda não é a tecnologia. É a pergunta que ninguém fez em voz alta naquela thread: da última vez que escaneei meu rosto, quem estava confirmando do outro lado da tela? Eu, ou um clipe de quinze segundos?

Um caso divulgado este ano pelo Tribunal Popular Intermediário de Hangzhou coloca a resposta em cima da mesa. Duas pessoas reuniram fotos de terceiros na internet, animaram essas imagens com IA — acenos, negativas com a cabeça, piscadas — e ainda adulteraram os dados da câmera. Foi o suficiente para passar pela verificação facial de um site de compras e esvaziar as contas de informações pessoais.

O tribunal do distrito de Yuhua, em Changsha, julgou uma versão mais crua. Um universitário comprou num site ilegal a técnica de «vídeo de rosto falso com IA», gerou o rosto animado de outra pessoa, redefiniu a senha de pagamento dela e desviou mais de 50 mil yuans em menos de quatro meses. Nada de sala de servidores de filme de hacker, nada de gente de dentro. Uma pessoa sozinha, num quarto de república.

O «pisca os olhos» sempre foi um remendo

A prova de vivacidade, sem rodeios, pede que a câmera confirme que há uma pessoa de verdade diante dela. As primeiras versões usavam piscadas, boca aberta, cabeça virada. Depois vieram variação de luz, reflexo na tela, profundidade por infravermelho. Mais adiante, a aleatorização de gestos: o sistema manda você virar a cabeça para a esquerda ou ler uma sequência de números.

Todo esse desenho repousa numa premissa que nunca é dita: falsificar um rosto que se mexe é bem mais difícil do que falsificar um rosto parado.

Essa premissa desabou em 2026. Basta entregar uma única foto frontal a um modelo de vídeo atual e, em dezenas de segundos, sai um clipe com microexpressões, respiração e um leve balanço da cabeça. Peça para acenar e ele acena; peça para piscar e ele pisca. E o custo? O especialista ouvido pelo Global Times deu um número: algumas dezenas de yuans e uns dez segundos de áudio bastam para «replicar» qualquer pessoa.

O furo não está no modelo, está na distribuição

Vale dizer com clareza: ataques assim raramente dependem de derrotar o algoritmo mais avançado. Eles atingem o elo mais fino do processo.

O primeiro elo é a origem dos dados. Não é preciso invadir um banco de dados para conseguir seu rosto. Uma foto frontal nítida resolve: um post no WeChat, um site de empregos, o avatar num marketplace de usados, a cópia do documento colada num envelope de entrega. No caso de Hangzhou, o método dos suspeitos foi resumido em duas palavras: «coleta na internet».

O segundo elo é a confiança nos dados da câmera. Adulterar esses dados soa sofisticado; na prática, muitos aplicativos tratam o que a câmera entrega como entrada confiável, sem nenhuma checagem de assinatura no meio. A fechadura é sólida, o batente é de papelão.

O terceiro elo é a reutilização. Um mesmo modelo é aplicado em lote a dezenas de pessoas, e quando uma conta cai basta abrir outra com uma casca diferente. O custo marginal é praticamente zero. Quando os especialistas falam em «barreira de entrada baixíssima, modelos replicáveis em série, cair uma conta e trocar de casca», não estão descrevendo tecnologia. Estão descrevendo o custo unitário de um negócio.

Rio acima há um comércio bem mais lucrativo

Desviar 50 mil yuans é a escala de um processo criminal. O volume de verdade está na outra ponta.

Em 18 de outubro, a atriz Wu Yue se manifestou: uma conta usava IA para falsificar seu rosto e sua voz e vender produtos de skincare. As capturas de tela que ela guardou mostram 16.492 unidades vendidas e um faturamento estimado acima de 1,3 milhão de yuans. No fim do vídeo falso, uma imitação de Deng Yaping aparecia para continuar a promoção.

De um lado, algumas dezenas de yuans de produção; do outro, vendas na casa dos milhões. É essa assimetria que explica a insistência do fenômeno. Derrubar uma conta não é punição: é despesa operacional.

A regulação andou em paralelo. A Administração Nacional de Rádio e Televisão lançou uma campanha contra as «deturpações por IA», com foco em adaptações não autorizadas dos quatro grandes romances clássicos, de temas históricos e de figuras exemplares. As principais plataformas de vídeo removeram quase 13 mil conteúdos irregulares só em setembro. Quando a contagem de remoções chega às dezenas de milhares, a capacidade de produção já está em excesso.

O que uma pessoa comum pode fazer é mais concreto do que parece

As orientações da CCTV são práticas o bastante para copiar:

Numa videochamada, peça à outra pessoa um gesto específico: piscar três vezes seguidas, tocar o nariz, passar a mão na frente do rosto. A troca de rosto falha sobretudo com obstrução e movimento rápido: aparecem atrasos, bordas tremendo ou distorções nada naturais.

Se a ligação vem de um número desconhecido e do outro lado ninguém fala, não seja você a quebrar o silêncio. Espere três segundos; se continuar mudo, desligue. Amostra de voz é a matéria-prima da clonagem, e cada frase a mais é um trecho a mais de material.

Não entregue número de documento, empregador, endereço de casa ou cargo sem necessidade real. Evite deixar rosto, fotos, voz e digitais em miniaplicativos de origem duvidosa.

Para as plataformas, o caminho eficaz não é uma prova de vivacidade mais rebuscada, e sim três medidas: assinar os dados já na captura, para que os «dados da câmera» tenham origem rastreável; exigir um segundo fator em operações de risco, em vez de tratar o escaneamento do rosto como credencial única; e reservar um campo de assinatura para conteúdo gerado — qual modelo produziu, quem publicou, o que a plataforma fez depois de identificar.

Fica uma conclusão desconfortável

Boa parte dessa conversa aposta nas ferramentas de detecção. Mas a detecção chega sempre atrasada: primeiro é preciso existir um vídeo suspeito, só então dá para testá-lo. O pagamento por rosto, porém, acontece antes de você ver qualquer vídeo.

A solução real, portanto, provavelmente não está no lado do algoritmo, e sim no das instituições e dos produtos: rebaixar o rosto de credencial única para prova auxiliar, trazer transferências altas e trocas de senha de volta para a verificação multifator, transformar a atribuição de conteúdo gerado em padrão e não em opção.

A tecnologia já colocou a preço de banana aquilo de «parecer de verdade». O que vai custar dinheiro daqui para frente é redefinir o que significa «sou eu».