Pesquisa acadêmica demonstra evasão de até 97% contra watermarking de voz sintética usado para autenticação
Um novo artigo em arXiv (ScrambleMark) apresenta um ataque capaz de evadir sistemas comerciais de marca d'água em áudio — incluindo Google SynthID, Resemble AI e TrustedAudio — sem precisar acessar o detector ou remover a marca propriamente dita. Em vez de apagar o watermark, a técnica perturba a estrutura harmônica do áudio, mantendo qualidade natural de fala com quase 97% de taxa de evasão, muito acima de ataques anteriores.
Watermarking de áudio tem sido apontado como uma das principais defesas contra o uso fraudulento de voz sintética — a ideia é que todo áudio gerado por IA carregue uma marca invisível que sistemas de verificação possam detectar, sinalizando que aquele conteúdo não é uma gravação humana real. O ScrambleMark ataca essa premissa de um ângulo diferente: em vez de tentar remover a marca (o que normalmente degrada a qualidade do áudio ou exige acesso ao detector), o método perturba deliberadamente a estrutura harmônica do sinal, quebrando a consistência que o detector espera encontrar, enquanto preserva a naturalidade percebida pelo ouvido humano.
Tecnicamente, a proposta combina um mecanismo determinístico que descobre perturbações harmônicas transferíveis entre diferentes sistemas de watermarking com um modelo generativo que aprende padrões de "embaralhamento" variáveis, evitando que a defesa simplesmente aprenda a reconhecer um padrão fixo de ataque. Nos testes contra três plataformas comerciais, o ataque funcionou sem precisar de consultas ao detector, de pares de áudio limpo/marcado, ou de amostras de voz do alvo — justamente o cenário que plataformas como a TrustedAudio tentavam impedir ao restringir o acesso à verificação apenas a usuários autenticados.
A relevância para fraude é direta: se a autenticidade de um áudio não pode mais ser verificada de forma confiável por watermarking, golpes que dependem de clonagem de voz — como fraude de CEO por telefone, vishing avançado ou extorsão com áudio falso de um familiar — ficam mais difíceis de desmascarar tecnicamente após o fato. Isso não significa que o watermarking deva ser abandonado, mas que ele não pode ser a única camada de defesa: verificação fora de banda (ligar de volta para um número já conhecido, nunca o que chamou), senhas de segurança combinadas previamente em família ou em equipes financeiras, e desafios de interação em tempo real (perguntas que um áudio pré-gravado ou clonado não consegue responder de forma natural) continuam sendo controles complementares necessários.