Deepfake na prova de vida é o uso de vídeo sintético como conteúdo de um ataque biométrico. O deepfake não bypassa o liveness por si — bypassa quando é entregue ao SDK por um canal comprometido, sem passar pela câmera física. O vetor de entrega é o que define qual controle precisa bloqueá-lo.
Este post descreve o que é um deepfake no contexto técnico de autenticação biométrica, como o mesmo conteúdo sintético pode ser usado em dois tipos de ataque completamente diferentes, e qual camada de segurança responde a cada um.
O que é um deepfake no contexto de autenticação biométrica?
Deepfake é um vídeo sintético gerado por modelo de inteligência artificial com a face de uma pessoa real. Em autenticação biométrica, o deepfake é o conteúdo do ataque — a matéria-prima. O vetor é o método pelo qual esse conteúdo é entregue ao sistema de verificação.
Essa distinção importa porque o mesmo deepfake pode ser usado de formas tecnicamente opostas: exibido em uma tela na frente da câmera física, ou injetado diretamente no canal de dados antes que o SDK (kit de desenvolvimento do fornecedor) receba qualquer frame. O conteúdo pode ser idêntico em ambos os casos. O que muda é onde o ataque entra — e o que precisa bloqueá-lo.
Ferramentas de geração de deepfake em tempo real funcionam em GPUs de consumo e estão publicamente disponíveis. Um atacante com fotos ou vídeos públicos do titular da conta consegue gerar um stream sintético da face-alvo com qualidade suficiente para enganar verificações visuais. O fator limitante de um ataque bem-sucedido deixou de ser a qualidade do deepfake; passou a ser o método de entrega.
Como o liveness avalia um deepfake apresentado fisicamente?
O liveness passivo (detecção de vivacidade biométrica) analisa o frame recebido em busca de sinais de artefato: textura de tela, padrão Moiré, bordas de papel, reflexo de tela, ausência de profundidade tridimensional, entre outros indicadores que a análise pode identificar. Um deepfake exibido em uma tela e apresentado à câmera é, para o módulo de liveness, um ataque de apresentação — o mesmo tipo de ataque que uma foto impressa ou uma máscara 2D.
A certificação que documenta resistência a esse vetor é a ISO/IEC 30107-3 (PAD, Presentation Attack Detection, ou Detecção de Ataque de Apresentação, em português). O laboratório iBeta certificou o Fortface nos níveis Level 1 e Level 2 dessa norma em 2024. No Level 1, foram 1.800 ataques com APCER de 0%. No Level 2, 1.500 ataques com artefatos avançados — máscaras de silicone, próteses 3D, manequins realistas — com APCER de 0%. O Fortface foi a primeira empresa brasileira a obter certificação iBeta nível 2.
Deepfakes apresentados em telas de alta resolução estão dentro do escopo do Level 2. O módulo de liveness passivo bloqueou todos os ataques testados.
O que acontece quando o deepfake não passa pela câmera?
Quando o deepfake é injetado no canal de dados antes do SDK, a câmera física nunca entra na equação. O stream sintético chega ao SDK por um driver de câmera virtual instalado no dispositivo, por código que intercepta a chamada de câmera no nível do sistema operacional, ou por emulação de dispositivo completo. Do ponto de vista do SDK, a câmera está funcionando normalmente.
O liveness (detecção de vivacidade biométrica) analisa o conteúdo do frame, não a sua origem. Um deepfake construído com micromovimentos faciais, iluminação adaptativa e profundidade simulada entrega ao módulo exatamente o que o módulo foi treinado para reconhecer como frame válido de uma pessoa real.
O deepfake que entra por injeção bypassa o liveness porque o liveness não controla o canal de captura. Controlar o canal é responsabilidade do módulo de anti-injeção — e exige certificação separada, com metodologia e laboratório distintos.
Quais controles verificam o canal antes do frame chegar ao liveness?
O anti-injeção age antes do conteúdo ser analisado. O SDK verifica se o dispositivo que responde ao pedido de câmera é um sensor físico real. Drivers de câmera virtual têm assinatura de comunicação com o sistema operacional estruturalmente diferente de sensores de hardware — a diferença é detectável.
A verificação acontece em tempo de execução. Técnicas de RASP (Runtime Application Self-Protection) identificam adulteração durante a sessão ativa, antes de qualquer frame ser processado. Emuladores de dispositivo têm fingerprint de ambiente distinta de hardware físico: ciclo de bateria e comportamento de sensores inerciais divergem de forma característica.
A ofuscação do SDK impede que o código seja analisado para mapear pontos de entrada por engenharia reversa. O resultado: um deepfake injetado que não chega ao liveness. O canal foi identificado como comprometido antes do frame ser processado.
Nenhuma dessas verificações aparece na interface do usuário legítimo. O controle opera inteiramente na camada de infraestrutura.
Qual norma certifica resistência a deepfakes entregues por injeção?
A CEN/TS 18009:2024 é o primeiro padrão técnico específico para controles de anti-injeção em biometria. Publicado pelo Comitê Europeu de Normalização, define metodologia de teste para Artificial Image Injection (IAI), ou seja, a injeção de imagens artificiais: qualquer conteúdo sintético — deepfakes incluídos — injetado no canal de captura antes do SDK.
O padrão tem três níveis; High é o mais alto. Para certificação nível High, o sistema precisa resistir a pelo menos 15 espécies distintas de IAI, com BPCER (Bona fide Presentation Classification Error Rate, ou taxa de rejeição de usuários legítimos pelo módulo de anti-injeção) máximo de 15%.
A certificação não é autodeclaratória. O laboratório acreditado define os ataques, executa o protocolo e assina o laudo. O fornecedor não controla quais espécies de IAI são testadas dentro do conjunto exigido pelo padrão.
O laboratório Antisec conduziu a certificação do módulo de anti-injeção do Fortface entre 30 de julho e 18 de agosto de 2026. Resultado: 18 ataques executados, 15 espécies de IAI distintas, 3 métodos de IAM distintos, 0 bypass. BPCER: 2%, com limite aceitável pelo padrão em 15%. Certificação nível High obtida.
O que os dados de certificação mostram sobre deepfakes em produção?
Dois perímetros, dois laudos independentes.
Para deepfakes apresentados fisicamente (exibidos na câmera como ataque de apresentação): APCER 0% nas certificações ISO/IEC 30107-3 Level 1 e Level 2, conduzidas pelo laboratório iBeta entre julho e agosto de 2024. O módulo de liveness passivo bloqueou todos os ataques testados, incluindo os de artefatos avançados que cobrem deepfakes em alta resolução.
Para deepfakes injetados no canal de captura (entregues antes do SDK): 0 bypass em 18 ataques com 15 espécies de IAI distintas, na certificação CEN/TS 18009:2024 nível High, conduzida pelo laboratório Antisec em agosto de 2026. O módulo de anti-injeção bloqueou todos os ataques antes do frame atingir o liveness.
Um fornecedor com apenas a primeira certificação e sem a segunda tem o perímetro de injeção em aberto. Os dois laudos cobrem vetores distintos e nenhum substitui o outro.
"Um deepfake bem feito engana o olho humano e pode enganar o liveness. O que não engana é a verificação do canal. O controle de anti-injeção age antes dos frames — e é aí que um deepfake entregue por injeção é bloqueado." (Ricardo Fristche, CTO do Fortface by Payface)
