Fólie s počítačovým vzorem zmátla dopravní kameru tak, že nepoznala auto. Klíč je v tom, jak AI klasifikuje objekty

Americký výzkumník Bill Swearingen představil na DEF CONu v Las Vegas vzor, který dokáže zmást umělou inteligenci dopravních kamer natolik, že jeho auto přestane existovat, alespoň v databázi.

Foto: Public Domain Pictures

Než se rozletí představa o neviditelném voze z akčního filmu, je potřeba upřesnit, co se vlastně stalo. Swearingenův projekt noRecognition necílí na objektiv kamery ani na její senzor. Obraz se pořídí normálně. Jenže software, který má v záznamu automaticky najít a zařadit vozidlo (jeho značku, barvu, typ, registrační značku), najednou neví, na co se dívá. Nevytvoří takzvaný bounding box, tedy detekční rámeček, který říká: „Tady je auto.“

Kamera vidí, software ne

A co nemá rámeček, to neexistuje v databázi. Nedá se zpětně vyhledat, propojit s jinými záznamy ani přiřadit k trase.

Právě v tom je zásadní rozdíl oproti starým trikům s reflexními kryty na SPZ. Ty se snažily znemožnit přečtení jednoho údaje, registrační značky. Swearingen útočí o patro výš: na schopnost systému vůbec rozpoznat, že v obraze je vozidlo.

Jak adversariální vzor funguje

Princip je překvapivě jednoduchý v popisu a extrémně složitý v provedení. Moderní kamerové systémy typu Flock Safety, nasazené podle oficiálních materiálů firmy u více než 5 000 amerických komunit a 4 500 policejních agentur, nepoužívají k identifikaci aut jen čtení SPZ. Sbírají celý profil vozidla:

• registrační značku a stát vydání,
• značku a model auta,
• barvu karoserie,
• typ vozidla,
• unikátní znaky včetně poškození a dodatečných úprav.

Všechna tato metadata generuje vrstva strojového vidění, která v každém snímku hledá objekty a klasifikuje je. Swearingen počítačově generuje vzory, adversariální patterny, které tuto vrstvu matou. Neoslňují, nezakrývají. Místo toho narušují způsob, jakým model skládá hrany, kontrasty a textury do závěru „tohle je auto“. Výzkumný dashboard projektu to označuje jako „potlačení objektnosti“ (objectness suppression).

Na veřejné demonstraci Swearingen přejel kolem kamery Flock s Toyotou Yaris pokrytou testovacím vzorem. Systém podle jeho prezentace nevytvořil detekci vozidla. Pro lidské oko přitom auto vypadalo jako auto s podivným polepem.

Co je prokázáno a co ne

Tady je důležité držet se faktů. noRecognition uvádí testování proti jedenácti produkčním modelům strojového vidění. Zároveň ale samo přiznává, že jediný vzor, který by spolehlivě oklamal všech jedenáct najednou, zatím neexistuje. Veřejně doložená fyzická demonstrace se týká jednoho testu na jedné kameře Flock. Nezávislý audit výstupu, surové logy ani kompletní videozáznam zveřejněny nebyly.

Nejsilnější vzory Swearingen záměrně nezveřejňuje. Důvod je logický: kdyby je dal ven, provozovatelé kamer by je mohli použít k přetrénování svých modelů. Jde o klasický závod ve zbrojení, a právě proto projekt prodává i variantu „one of one“, unikátní kus s unikátním vzorem, který nikdo jiný nemá.

Komerčně dnes noRecognition nabízí hlavně oblečení (trička, mikiny, nákrčníky) přes kampaň na Kickstarteru, která při cíli 5 000 dolarů vybrala přes 40 000. Mikina stojí v přepočtu zhruba 1 750 Kč. Limitované série po padesáti kusech. Auto s polepem bylo demonstrací konceptu, ne produktem v katalogu.

Co by to znamenalo v Česku

Otázka, jestli se nás to vůbec týká, má překvapivě jasnou odpověď: víc, než bychom čekali. Policie ČR provozuje systém CAKV s řádově stovkami kamer, které automaticky rozpoznávají registrační značky a zpracovávají fotografii vozidla včetně času, místa a směru jízdy. A nejde jen o SPZ. Veřejná zakázka CENDIS z roku 2025 výslovně počítá s metadaty kategorie, značky a modelu vozidla, a s pravidelnými aktualizacemi rozpoznávacích algoritmů. Česko tedy buduje přesně ten typ infrastruktury, na kterou noRecognition útočí.

Co se legality týče: samotný polep karoserie adversariálním vzorem nemá v českém právu přímý zákaz. Naráží ale na několik pravidel. Změna barvy vozidla se musí do deseti dnů zapsat do registru. Registrační značka nesmí být zakrytá, nečitelná ani upravená tak, aby byla hůře čitelná. A pokud by fólie zasahovala na čelní nebo přední boční skla, platí limity propustnosti světla: 75 % u čelního, 70 % u předních bočních. Při porušení hrozí postih až po zákaz další jízdy.

Prakticky řečeno: polep bočních panelů psychedelickým vzorem zákon nezakazuje. Ale „anti-camera“ funkce by při jakémkoli sporu s úřady rozhodně nepomohla.

Proč nejde o neviditelné auto, ale o něco důležitějšího

Největší dopad noRecognition nemá na lidské oko. Policista u silnice auto uvidí. Operátor u monitoru taky. Problém nastává ve chvíli, kdy se někdo pokusí zpětně prohledat tisíce hodin záznamu z tisíců kamer a najít konkrétní vozidlo. Právě tuto schopnost, masové retroaktivní vyhledávání, adversariální vzory narušují. A právě ona je tím, co systémy jako Flock prodávají jako svou hlavní hodnotu: prohledatelný důkaz s třicetidenní retencí.

Swearingen svůj projekt rámuje jako nástroj ochrany soukromí, ne jako pomůcku pro zločince. Fakticky jde ale o technologii dvojího užití bez tvrdé pojistky proti zneužití. Reálnou brzdou je zatím jen omezená dostupnost a neveřejnost nejsilnějších vzorů.