Gdy OCR nie widzi oszustwa: jak ataki adwersarskie obchodzą weryfikację dokumentów

Automatyczny sędzia dokumentów

Zdjęcie dowodu osobistego albo paszportu trafia dziś najczęściej nie do człowieka, lecz do maszyny. Bank sprawdzający wniosek o konto, platforma finansowa weryfikująca nowego klienta, serwis pożyczkowy, operator telekomunikacyjny — wszystkie te instytucje coraz częściej powierzają automatyzacji proces, który jeszcze dekadę temu wymagał spojrzenia pracownika. Systemy rozpoznawania tekstu (OCR) odczytują pola dokumentu: imię, nazwisko, datę urodzenia, numer serii. Druga warstwa, klasyfikator obrazu, ocenia, czy dokument wygląda na autentyczny.

To postęp niepodważalny: weryfikacja trwa sekundy, koszt spada, klient nie musi jechać do placówki. Problem w tym, że ta automatyka dziedziczy słabość, którą badacze uczenia maszynowego znają od ponad dekady. Nazywa się ją atakami adwersarskimi — i w świecie dokumentów tożsamości przestała być ciekawostką laboratoryjną.

Małe zaburzenie, duża decyzja

Atak adwersarski wykorzystuje matematyczną cechę sieci neuronowych: drobna, starannie skalibrowana zmiana wejścia, niewidoczna lub prawie niewidoczna dla człowieka, potrafi odwrócić werdykt modelu. W praktyce oznacza to, że zdjęcie przerobionego dokumentu, na które nakładamy wzrok bez zastrzeżeń, może zostać ocenione przez system jako podejrzane albo — co gorsza — jako czyste, w zależności od tego, jak oszust zarządzi.

Amerykański NIST, państwowy instytut normalizacyjny, prowadzi dedykowaną taksonomię ataków na systemy uczenia maszynowego; jej aktualizacja z marca 2025 roku wyróżnia trzy główne kategorie: ataki wymykające się w czasie wnioskowania (evasion), zatruwanie danych treningowych (poisoning) oraz ataki na poufność modelu, w tym ekstrakcję i inwersję. To nie jest teoretyczna rozprawa — instytut prowadzi ją dlatego, że te zagrożenia dotyczą realnych systemów wdrożonych w gospodarkce.

Dokument na zamówienie

Równolegle do ataków na klasyfikatory rośnie jakość samych fałszywek. Współczesne ataki na dokumenty tożsamości łączą podmianę twarzy na zdjęciu z automatyczną podmianą pól tekstowych — i produkują obrazy wizualnie nieodróżnialne od oryginałów przy normalnej inspekcji. Benchmark DocForge-Bench, obejmujący czternaście metod detekcji na ośmiu zbiorach danych, dał zaskakująco pesymistyczny wniosek: żadna z ocenianych metod nie działa niezawodnie „od razu” na różnorodnych typach dokumentów. Detektory poprawnie porządkują sfałszowane piksele powyżej autentycznych, ale przy stałym progu decyzji produkują praktycznie zerową liczbę trafnych lokalizacji — autorzy nazywają to niewidocznym pod standardowymi testami błędem kalibracji, a nie reprezentacji.

Wniosek jest dotkliwy: weryfikacja dokumentów pozostaje problemem nierozwiązanym, a po stronie atakującego rośnie arsenał gotowych narzędzi.

Trzy drogi ataku

W odniesieniu do dokumentów badacze opisują trzy główne wektory:

• Zaburzenie obrazu (evasion). Kalibrowane zakłócenia pikseli dodane do zdjęcia przerobionego dokumentu sprawiają, że klasyfikator autentyczności ocenia je jako oryginał. Atak działa najlepiej tam, gdzie system opiera się na jednym modelu, bez niezależnej kontroli krzyżowej.
• Zatrucie pętli uczenia (poisoning). Jeśli systemy ciągłego doszkalania pobierają dane z pętli opinii użytkowników, oszust może stopniowo wstrzykiwać fałszywe przypadki „czystych” dokumentów, obniżając czujność modelu.
• Ekstrakcja modelu. Powtarzane, wyglądające normalnie zapytania do API weryfikacyjnego pozwalają odtworzyć zachowanie modelu i skalibrować atak offline. Dotyczy to serwisów bez limitów zapytań i bez wykrywania systematycznego próbkowania.

Badania nad atakami fizycznymi pokazują zresztą, że granica między światem cyfrowym a papierowym jest płynna: już w 2019 roku udowodniono, że wydrukowana fizyczna plakietka noszona przy dokumencie lub twarzy wystarcza, by oszukać produkcyjny system rozpoznawania twarzy — bez dostępu do wewnętrznych mechanizmów modelu. Kolejne prace wykazały, że takie zaburzenia przenoszą się częściowo między różnymi detektorami, więc oszust nie musi znać dokładnego modelu, na który celuje.

Kto za tym traci

Najpierw ludzie. Dokument założony na cudzych danych oznacza konto bankowe, kredyt albo abonament zaciągnięte w cudzym imieniu, a ofiara miesiącami dowiaduje się o długach z wezwań do zapłaty. Firmy tracą na fraudach bezpośrednio: analiza Deloitte dotycząca oszustw w bankowości szacuje, że generatywna AI może napędzić wzrost strat do 40 miliardów dolarów w USA do 2027 roku — wobec 12,3 miliarda w 2023 roku.

Wreszcie tracą instytucje pośrednio: każdy głośny przypadek oszustwa obniża zaufanie do zdalnej weryfikacji, a każde sztywniejsze wymaganie dotyka tych klientów, którzy chcą tylko legalnie założyć konto.

Co naprawdę pomaga

Z doświadczeń branży bezpieczeństwa wynika, że najskuteczniejsza jest wielowarstwowa architektura. Atak adwersarski jest skalibrowany pod konkretny model i konkretne zadanie — przenosi się słabo na warstwy analizujące inne sygnały: metadane pliku, strukturę dokumentu, spójność między dokumentami. Dlatego warto, aby decyzja nigdy nie spoczywała na jednym klasyfikatorze obrazu.

Systemy, które przetrwały próbę czasu, sprawdzają więcej niż tekst: analizują substrat dokumentu, hologramy, mikrodruk, spójność gradientów kolorów — cechy, których OCR w ogóle nie weryfikuje, a których fałszywka wygenerowana przez model zwykle nie odtwarza poprawnie. Do tego dochodzą prozaiczne, a skuteczne środki: limitowanie zapytań do API, wykrywanie systematycznego próbkowania, niezależna kontrola krzyżowa wyników.

Automatyzacja weryfikacji dokumentów pozostanie z nami — i słusznie, bo jest szybka i dostępna. Pułapką jest nie sama technologia, lecz powierzenie jednej sieci neuronowej roli jedynego sędziego.

Oznaczenie treści AI

Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.