Microsoft PhotoDNA vulnerável a falsos positivos e vazamento de dados

O PhotoDNA não é um sistema de reconhecimento visual, é uma função hash determinística baseada em somas lineares de blocos de pixels, sem camadas de aprendizado ou extração de características semânticas. A análise white-box dos pesquisadores de Ghent e KU Leuven mostra que sua saída depende previsivelmente de operações matemáticas simples, não de conteúdo visual real. Isso explica por que adicionar uma borda de 2 pixels ou aplicar ruído gaussiano controlado já gera colisões exatas: o algoritmo ignora variações estruturais e foca em agregações numéricas frágeis. A chamada 'Alleged PhotoDNA' construída pelos autores reproduz fielmente o comportamento do sistema original, confirmando que a reversibilidade parcial e a manipulação em tempo real não são teóricas, já foram executadas com 98% de taxa de sucesso em menos de 90 segundos em um MacBook Pro M1.

A Microsoft nunca publicou especificações técnicas completas do PhotoDNA, nem liberou seu código-fonte. O sistema foi tratado como uma caixa-preta regulatória: aceito como 'confiável por design' por agências como o NCMEC e incorporado em leis propostas da UE (como o regulamento sobre detecção obrigatória de CSAM) sem revisão independente profunda. Agora sabemos que essa confiança estava ancorada em suposições matemáticas inválidas, e que o próprio mecanismo usado para proteger crianças pode ser usado para incriminar inocentes ou esconder abusos.

Plataformas como Gmail, Instagram e Facebook usam PhotoDNA para escanear bilhões de imagens diariamente, muitas vezes sem consentimento explícito, sob justificativa de combate ao CSAM. Se um hash falso positivo for gerado por um atacante e inserido no banco de dados do NCMEC, qualquer usuário que envie uma imagem benigna com esse hash pode ter sua conta suspensa, dados entregues às autoridades ou até sofrer investigação criminal. Já a falha de evasão permite que redes de distribuição de CSAM adaptem imagens com modificações imperceptíveis, mantendo o conteúdo ilegal intacto enquanto burlam os filtros. E a capacidade de reconstrução parcial de pré-imagens significa que hashes armazenados em servidores, mesmo sem as fotos originais, podem revelar padrões sensíveis: formato de rosto, disposição de objetos, até silhuetas. Isso transforma um sistema de segurança em um vetor de vazamento de dados pessoais em larga escala.