Volevo costruire un rilevatore di deepfake per i sinistri auto. Una foto reale, non modificata, l'ha battuto.

Il pomeriggio in cui una foto genuina attraversò senza ostacoli il mio rilevatore

Ho costruito per primo il segnale di pixel-forensics, perché era la parte che sembrava vera ingegneria, e ne ero silenziosamente orgoglioso. Ragiona su rumore del sensore e artefatti nel dominio della frequenza, i segni che un modello di diffusione lascia quando allucina un paraurti sfasciato. Nella demo quel segnale è etichettato simulato, un sostituto di un modello appreso di artefatti generativi che non ho ancora addestrato, e voglio dirlo chiaramente prima di ogni altra cosa. Ma la logica costruita intorno era mia, e funzionava. Gli ho passato un paraurti falsificato con diffusione e si è acceso esattamente come volevo.

Poi gli ho passato un sinistro inscenato che avevo etichettato CLM-C-1044, un tamponamento a Raleigh, e ha dichiarato la foto pulita. Coerente. Nessun artefatto. Rumore del sensore presente. Quella era la risposta corretta, ed è proprio ciò che mi ha inquietato, perché CLM-C è una frode. La foto è un'immagine autentica di fotocamera. Nello scenario era stata prelevata da un sinistro precedente liquidato e ripresentata contro una nuova perdita. Il mio segnale migliore non era debole. Era puntato sulla domanda sbagliata. Chiedeva «questa immagine è falsa?» e per una foto reale riciclata la risposta onesta è no.

Una foto reale riciclata supera ogni test di autenticità al mondo, perché è reale.

Quel pomeriggio è il motivo per cui ciò che ho finito per costruire non è affatto un rilevatore. Puoi instradare tu stesso gli stessi quattro sinistri nella demo in esecuzione. Ogni sinistro, immagine, compagnia e record storico al suo interno è sintetico, quindi non c'è nessun assicurato reale né nessuna perdita reale. Ma il fallimento che drammatizza non è inventato. È il fallimento in cui sono incappato.

Perché una foto reale è la frode più difficile da intercettare?

Torno sempre all'asimmetria che ha spezzato il mio primo progetto. Tutta la corsa agli armamenti della frode assicurativa viene inquadrata come «costruisci un rilevatore di deepfake migliore», e ora penso che quell'inquadramento sia la trappola. Un singolo classificatore di autenticità fallisce in due direzioni contemporaneamente. Invecchia nel momento in cui i generatori di immagini migliorano, ed è strutturalmente cieco alla frode più antica del mestiere, una foto reale riciclata da un sinistro precedente, perché quella foto supera ogni test di autenticità essendo genuina.

La pressione dietro tutto questo è reale anche se i miei sinistri sono sintetici. Il 98% degli assicuratori segnala un'impennata di media manipolati e solo il 32% si sente «molto fiducioso» nel rilevare i deepfake (Verisk, 2026 State of Insurance Fraud). Il 36% dei consumatori nella stessa indagine dice che altererebbe un'immagine di sinistro. I tentativi di frode con deepfake sono aumentati del 2,137% in tre anni (Facia.ai), e una compagnia auto del Regno Unito ha visto un aumento del 300% di immagini di veicoli manipolate con IA in un solo anno (The Guardian / Milliman). Il riflesso del settore è stato di agganciare un rilevatore di terze parti all'invio. Il 65% delle compagnie ne usa ora uno (Verisk, 2026). Quel riflesso intercetta i falsi evidenti e lascia passare dritta verso il pagamento la foto reale riciclata.

La riga che continuavo a scrivere sulla lavagna era che l'autenticazione deve essere un gate, non un report. Un report viene letto dopo che i soldi si sono mossi. Un gate gira prima. E un gate non può poggiare su un solo segnale che una foto genuina sconfigge per definizione.

Gli agenti consigliano, il codice decide

Ho preso presto una decisione architetturale che difenderei a un regolatore senza esitazione: la decisione di instradamento non spetta al language model. Un equipaggio forense di quattro analisti più un Challenger avversariale indaga un sinistro e produce verdetti tipizzati. Poi un gate di policy deterministico, codice semplice che sta fuori dagli agenti, aggrega quei verdetti e i segnali grezzi rispetto alle soglie della compagnia ed emette una sola decisione di instradamento riproducibile. AUTO-PROCEED, SIU-REFERRAL, HUMAN-REVIEW o ABSTAIN. Il confine di fiducia è il codice, mai un self-report di un LLM.

I due ruoli di ragionamento, Narrative-Consistency e il Challenger avversariale, girano attraverso un adapter intercambiabile per provider che di default usa claude-opus-4-8, e senza una API key impostata l'intero gate ricade su uno stub offline deterministico e gira comunque da capo a fine. Quella proprietà mi è piaciuta sempre di più man mano che ci riflettevo, perché la riproducibilità è ciò di cui un responsabile della compliance ha davvero bisogno. Chiedi al gate la stessa domanda due volte e risponde allo stesso modo, e può mostrare il proprio lavoro.

Gli agenti consigliano. Il codice decide. Un regolatore può auditare una regola. Nessuno può auditare un vibe.

Non è una preferenza astratta nel 2026. Un NAIC Model Bulletin sull'IA è stato adottato da 24 stati, il Colorado AI Act entra in vigore il 30 giugno 2026, e la scadenza high-risk dell'EU AI Act arriva nell'agosto 2026 con sanzioni fino a €35M o il 7% del fatturato globale. Esternalizzare il modello non esternalizza la responsabilità. Se una compagnia automatizza una decisione sui sinistri, deve essere in grado di difendere quella decisione, e «il modello era fiducioso» non è una difesa.

Cosa significa davvero «intercettato» qui?

Quando finalmente ho visto CLM-C essere intercettato, volevo sapere esattamente quale segnale avesse fatto il lavoro, perché non mi fidavo più della mia intuizione. Così ho aperto l'analisi della decisione e l'ho letta riga per riga. L'Analista di Provenienza ha fatto passare il sinistro: GPS di cattura entro 1.1 km dalla località di perdita dichiarata, data di cattura coerente con la data della perdita. L'Analista Pixel-Forensics, quello di cui ero stato così orgoglioso, l'ha fatto passare anch'esso, etichettato simulato proprio sullo schermo, artifact_score 0.06, rumore del sensore presente. Entrambi i segnali «è falso?» lo hanno liberato, esattamente come dovevano, perché la foto è reale.

L'intercettazione è venuta dagli altri due. L'Analista di Riutilizzo ha confrontato l'hash percettivo a 256 bit della foto con un indice storico dei sinistri e ha trovato un sinistro precedente liquidato, HIST-4019, a distanza di Hamming 0, un gemello pixel per pixel depositato mesi prima. L'Analista di Coerenza Narrativa ha letto il testo FNOL contro l'immagine e ha segnalato una contraddizione: il racconto descrive uno strisciamento laterale mentre la foto mostra danni posteriori. Poi il Challenger avversariale, uno scettico che istruisco appositamente a confutare ogni flag e a cercare di liberare il richiedente, ha testato entrambi i flag e ha riferito che entrambi reggevano. Solo allora il gate deterministico ha instradato il sinistro a SIU come prova riciclata.

Il dettaglio su cui faccio soffermare tutti è questo: l'intercettazione non dipende affatto dal segnale pixel simulato. I due agenti costruiti per rispondere «è falso?» hanno entrambi liberato questo sinistro. I due che chiedevano «abbiamo già visto questa esatta immagine, e la storia regge?» sono ciò che lo ha fermato. È l'intero argomento a favore di un equipaggio rispetto a un classificatore, e CLM-C è la versione vera più piccola che potessi costruire.

I segnali che ho costruito per individuare un falso lo hanno entrambi liberato. Quelli che lo hanno intercettato chiedevano se avessimo già pagato una volta per questa foto.

Il numero che mi rifiuto di mettere in apertura

Ho un risultato di benchmark molto facile da abusare, e preferisco disinnescarlo io stesso piuttosto che vedere qualcuno ripropormelo spogliato del suo perimetro. Su un set sintetico etichettato di 120 sinistri (47 puliti, 25 falsi da diffusione, 20 reali riciclati, 13 ambigui, 15 con metadata spoofati), il gate instrada ogni sinistro correttamente e registra un foglio pulito: 100% straight-through sui sinistri puliti, 0% di false accuse, 100% delle decisioni con un record di audit verificabile, recall 1.0 rispetto alle etichette. Quei numeri sono reali, e sono anche proprietà di un set costruito le cui classi di frode portano per design firme rilevabili. Non sono una garanzia open-world, e lo dico ogni singola volta.

Il numero con cui apro davvero è il gap di copertura. Delle 35 frodi in quel set che non portano nessun artefatto di autenticità, i 20 sinistri reali riciclati e i 15 con metadata spoofati, una baseline di autenticità a singolo segnale ne intercetta 0 su 35. Il gate cross-signal ne intercetta 35 su 35. Quel gap è il titolo onesto, perché misura ciò che l'approccio dominante non può fare piuttosto che adulare ciò che il mio set costruito rende facile.

Conosco la differenza tra un numero impressionante e uno duraturo. L'affermazione duratura è la forma del gap, non la dimensione della percentuale.

La spoliation è ora una riga rossa sullo schermo

Non mi aspettavo che il pezzo sulla catena di custodia diventasse la parte su cui gli acquirenti si concentrano, ma è successo, e capisco perché una volta che l'ho vista fallire di proposito. Ogni decisione lega lo SHA-256 dell'immagine originale in un ledger append-only a catena di hash. Lo step verify-chain ricalcola ogni collegamento e ri-hasha ogni originale ancora presente su disco. Se un «enhancement» GenAI o un upscale sovrascrive l'immagine originale del sinistro, la compagnia è improvvisamente esposta alla spoliation, la distruzione di prove, in qualsiasi lite che segua.

Ho cliccato «tamper with the selected original,» eseguito verify, e una riga è diventata rossa: Altered, spoliation detected. Quello è l'intero valore reso letterale. La catena di custodia smette di essere una frase in un deck di compliance e diventa uno stato sullo schermo che una pipeline automatizzata può far rispettare e un avvocato può leggere. L'originale non viene mai mutato in operazione normale, solo artefatti sidecar, così il giorno in cui qualcuno lo modifica, il record lo sa già.

Ciò che ancora non so

Non penso che questo gate sia finito, e la capacità di cui sono meno certo è anche una di cui sono più orgoglioso: il percorso di abstain. Quando un sinistro è genuinamente ambiguo, bassa risoluzione, metadata parziali, niente di conclusivo in nessuna direzione, il CLM-D-1045 della demo viene instradato a ABSTAIN e poi a HUMAN-REVIEW invece di forzare un verdetto. Si astiene piuttosto che bluffare un via libera o un'accusa, e il Challenger avversariale esiste proprio perché un richiedente legittimo non sia mandato a SIU su un segnale sottile. Sul set sintetico quella disciplina è ciò che mantiene le false accuse allo 0%. Nel mondo reale non so ancora dove debba stare la soglia di abstain, e fingere di saperlo sarebbe a sua volta una forma di frode.

C'è molto che ho deliberatamente lasciato stubbato. I connettori Guidewire ClaimCenter e Duck Creek, l'SDK mobile di guided-capture, un vero verificatore C2PA e un vero database di impronte fotocamera PRNU sono tutti differiti. Lo score di severità Tractable o CCC della compagnia è accettato come campo di input, non calcolato qui, perché questo gate gira prima della valutazione del danno e autentica ciò che quei sistemi vanno poi a valutare. Non li sostituisce, e non pretenderei che lo faccia.

I quattro sinistri inscenati sono tutti lì nella demo se vuoi farli passare nella pipeline e leggere tu stesso le ricevute. Ciò con cui voglio che tu resti non è però la demo. È la domanda che ha riorganizzato il mio stesso pensiero quel pomeriggio a Raleigh, fissando una foto reale che il mio miglior rilevatore aveva appena approvato.

E se preferisci guardarlo piuttosto che leggermi mentre lo descrivo, ecco l'intero gate in esecuzione da capo a fine.

Quindi ecco la domanda che continuo a porre ai leader di sinistri e SIU: se la frode su immagini più costosa che affronti è una foto genuina su cui hai già liquidato un sinistro una volta, cosa sta davvero rilevando il tuo rilevatore?