La IA de generación podría hacer que KYC sea efectivamente inútil

KYC, o «Conozca a su cliente», es un proceso destinado a ayudar a las instituciones financieras, las nuevas empresas de tecnología financiera y los bancos a verificar la identidad de sus clientes. No es raro que la autenticación KYC implique “imágenes de identificación” o selfies verificados que se utilizan para confirmar que una persona es quien dice ser. Wise, Revolut y las plataformas de criptomonedas Gemini y LiteBit se encuentran entre las que dependen de imágenes de identificación para la incorporación de seguridad.

Pero la IA generativa podría sembrar dudas sobre estos controles.

Las publicaciones virales en X (anteriormente Twitter) y Reddit muestran cómo, aprovechando el código abierto y el software disponible en el mercado, un atacante podría descargar una selfie de una persona, editarla con herramientas de inteligencia artificial generativa y usar la imagen de identificación manipulada para aprobar un KYC. prueba. No hay evidencia de que se hayan utilizado herramientas de inteligencia artificial de generación para engañar a un sistema KYC real, todavía. Pero la facilidad con la que se obtienen imágenes de identificación profundamente falsificadas relativamente convincentes es motivo de alarma.

Engañar a KYC

En una autenticación de imagen de identificación KYC típica, un cliente carga una fotografía de sí mismo sosteniendo un documento de identificación (un pasaporte o una licencia de conducir, por ejemplo) que solo él puede poseer. Una persona, o un algoritmo, cruza la imagen con documentos y selfies archivados para (con suerte) frustrar los intentos de suplantación.

La autenticación por imagen de identificación nunca ha sido infalible. Los estafadores llevan años vendiendo identificaciones y selfies falsificados. Pero la IA genera un abanico de nuevas posibilidades.

Los tutoriales en línea muestran cómo se puede utilizar Stable Diffusion, un generador de imágenes gratuito y de código abierto, para crear representaciones sintéticas de una persona contra cualquier fondo deseado (por ejemplo, una sala de estar). Con un poco de prueba y error, un atacante puede modificar las representaciones para mostrar que el objetivo parece tener un documento de identificación. En ese momento, el atacante puede utilizar cualquier editor de imágenes para insertar un documento real o falso en las manos de la persona falsificada.

Ahora, para obtener los mejores resultados con Stable Diffusion es necesario instalar herramientas y extensiones adicionales y obtener alrededor de una docena de imágenes del objetivo. Un usuario de Reddit con el nombre de usuario _harsh_, que publicó un flujo de trabajo para crear selfies de identificación falsos, le dijo a TechCrunch que se necesitan entre 1 y 2 días para crear una imagen convincente.

Pero la barrera de entrada es ciertamente más baja de lo que solía ser. Creación de imágenes de identificación con iluminación, sombras y entornos realistas. usado requerir conocimientos algo avanzados del software de edición de fotografías. Ahora bien, ese no es necesariamente el caso.

Introducir imágenes KYC falsificadas en una aplicación es incluso más fácil que crearlas. Las aplicaciones de Android que se ejecutan en un emulador de escritorio como Bluestacks pueden ser engañadas para que acepten imágenes falsificadas en lugar de una transmisión de cámara en vivo, mientras que las aplicaciones en la web pueden ser frustradas por un software que permite a los usuarios convertir cualquier fuente de imagen o video en una cámara web virtual.

Amenaza creciente

Algunas aplicaciones y plataformas implementan controles de “vida” como seguridad adicional para verificar la identidad. Por lo general, implican que un usuario grabe un video corto de sí mismo girando la cabeza, parpadeando o demostrando de alguna otra manera que realmente es una persona real.

Pero los controles de vida también se pueden eludir utilizando IA genérica.

A principios del año pasado, Jimmy Su, director de seguridad del intercambio de criptomonedas Binance, dijo a Cointelegraph que las herramientas deepfake actuales son suficientes para pasar controles de vida, incluso aquellas que requieren que los usuarios realicen acciones como girar la cabeza en tiempo real.

La conclusión es que KYC, que ya era impredecible, pronto podría volverse inútil como medida de seguridad. Su, por su parte, no cree que las imágenes y los vídeos deepfake hayan llegado al punto en el que puedan engañar a los críticos humanos. Pero podría ser sólo cuestión de tiempo antes de que eso cambie.