Ik ging een deepfakedetector voor autoverzekeringsclaims bouwen. Een echte, onbewerkte foto versloeg hem.

De middag waarop een echte foto recht door mijn detector liep

Ik bouwde het pixelforensiek-signaal eerst, omdat dat het deel was dat voelde als echte engineering, en ik was er in stilte trots op. Het redeneert over sensorruis en frequentiedomein-artefacten, de sporen die een diffusiemodel achterlaat wanneer het een verbrijzelde bumper hallucineert. In de demo wordt dat signaal gelabeld als gesimuleerd, een plaatsvervanger voor een geleerd generatief-artefactmodel dat ik nog niet heb getraind, en dat wil ik meteen duidelijk zeggen. Maar de logica eromheen was van mij, en die werkte. Ik gaf hem een door diffusie vervalste bumper en hij lichtte precies op zoals ik wilde.

Toen gaf ik hem een geënsceneerde claim die ik CLM-C-1044 had genoemd, een achteraanrijding in Raleigh, en hij liet de foto schoon door. Consistent. Geen artefacten. Sensorruis aanwezig. Dat was het juiste antwoord, en precies dat maakte me ongemakkelijk, want CLM-C is fraude. De foto is een echt camerabeeld. In het scenario was hij uit een afgehandelde eerdere claim gehaald en opnieuw ingediend bij een nieuw schadegeval. Mijn beste signaal was niet zwak. Het was gericht op de verkeerde vraag. Het vroeg "is dit beeld nep," en voor een hergebruikte echte foto is het eerlijke antwoord nee.

Een hergebruikte echte foto doorstaat elke authenticiteitstest ter wereld, omdat hij echt is.

Die middag is de reden dat wat ik uiteindelijk bouwde helemaal geen detector is. U kunt dezelfde vier claims zelf door de lopende demo leiden. Elke claim, afbeelding, verzekeraar en historisch dossier daarin is synthetisch, dus niets is een echte polishouder of een echt schadegeval. Maar de mislukking die hij dramatiseert is niet verzonnen. Het is de mislukking waarin ik zelf liep.

Waarom is een echte foto de moeilijkste fraude om te betrappen?

Ik kom steeds terug bij de asymmetrie die mijn eerste ontwerp brak. De hele wapenwedloop rond verzekeringsfraude wordt geformuleerd als "bouw een betere deepfakedetector," en ik denk nu dat die formulering de valkuil is. Eén authenticiteitsclassificator faalt tegelijk in twee richtingen. Hij veroudert zodra beeldgeneratoren verbeteren, en hij is structureel blind voor de oudste fraude in het boek, een echte foto hergebruikt uit een eerdere claim, omdat die foto elke authenticiteitstest doorstaat door echt te zijn.

De druk hierachter is echt, ook al zijn mijn claims synthetisch. 98% van de verzekeraars meldt een golf van gemanipuleerde media en slechts 32% voelt zich "zeer zeker" over het detecteren van deepfakes (Verisk, 2026 State of Insurance Fraud). 36% van de consumenten in dezelfde enquête zegt een claimafbeelding te willen wijzigen. Pogingen tot deepfakefraude stegen met 2.137% over drie jaar (Facia.ai), en één Britse autoverzekeraar zag in één jaar een stijging van 300% in door AI gemanipuleerde voertuigbeelden (The Guardian / Milliman). De reflex van de branche is een detector van een externe partij op de inzending te schroeven. 65% van de verzekeraars draait er nu een (Verisk, 2026). Die reflex vangt de voor de hand liggende vervalsingen en laat de hergebruikte echte foto rechtstreeks door naar uitbetaling.

De zin die ik op het whiteboard bleef schrijven was dat authenticatie moet zijn een poort, geen rapport. Een rapport wordt gelezen nadat het geld is verplaatst. Een poort draait ervoor. En een poort kan niet rusten op één signaal dat een echte foto per definitie verslaat.

Agenten adviseren, code beslist

Ik nam vroeg één architecturale beslissing die ik zonder aarzelen aan een toezichthouder zou verdedigen: de routeringsbeslissing hoort niet bij het taalmodel. Een forensisch team van vier analisten plus één adversariële Challenger onderzoekt een claim en produceert getypte uitspraken. Daarna een deterministische beleidspoort, platte code buiten de agenten, aggregeert die uitspraken en de ruwe signalen tegen de drempels van de verzekeraar en geeft één reproduceerbare routeringsbeslissing af. AUTO-PROCEED, SIU-REFERRAL, HUMAN-REVIEW of ABSTAIN. De vertrouwensgrens is code, nooit een LLM-zelfrapportage.

De twee redeneerrollen, Narrative-Consistency en de adversariële Challenger, draaien via een provider-verwisselbare adapter die standaard claude-opus-4-8 gebruikt, en zonder ingestelde API-sleutel valt de hele poort terug op een deterministische offline stub en draait alsnog van begin tot eind. Die eigenschap beviel me hoe langer hoe meer, omdat reproduceerbaarheid is wat een compliance officer écht nodig heeft. Stel de poort twee keer dezelfde vraag en hij antwoordt hetzelfde, en hij kan zijn werk laten zien.

Agenten adviseren. Code beslist. Een toezichthouder kan een regel auditen. Niemand kan een vibe auditen.

Dat is in 2026 geen abstracte voorkeur. Een NAIC Model Bulletin over AI is door 24 staten aangenomen, de Colorado AI Act treedt in werking op 30 juni 2026, en de hoogrisico-deadline van de EU AI Act landt in augustus 2026 met boetes tot €35M of 7% van de wereldwijde omzet. Het outsourcen van het model outsourcet de aansprakelijkheid niet. Als een verzekeraar een claimbeslissing automatiseert, moet hij die beslissing kunnen verdedigen, en "het model was zeker" is geen verweer.

Wat betekent "betrapt" hier eigenlijk?

Toen ik eindelijk zag hoe CLM-C werd betrapt, wilde ik precies weten welk signaal het werk deed, want ik vertrouwde mijn eigen intuïtie er niet meer over. Dus opende ik de beslissingsanalyse en las die regel voor regel. De Provenance Analyst liet de claim door: opname-GPS binnen 1,1 km van de gemelde schadelocatie, opnamedatum consistent met de schadedatum. De Pixel-Forensics Analyst, diegene waar ik zo trots op was geweest, liet hem ook door, gelabeld gesimuleerd recht op het scherm, artifact_score 0.06, sensorruis aanwezig. Beide "is het nep"-signalen keurden hem goed, precies zoals het hoort, omdat de foto echt is.

De vangst kwam van de andere twee. De Reuse Analyst matchte de 256-bits perceptuele hash van de foto tegen een historische claimindex en vond een afgehandelde eerdere claim, HIST-4019, op Hamming-afstand 0, een pixel-voor-pixel tweeling die maanden eerder was ingediend. De Narrative-Consistency Analyst las de FNOL-tekst tegen de afbeelding en markeerde een tegenstrijdigheid: het verslag beschrijft een zijdelingse schampschade terwijl de foto achterschade toont. Daarna testte de adversariële Challenger, een skepticus die ik specifiek prompt om elke markering te weerleggen en de indiener vrij te pleiten, beide markeringen en rapporteerde dat beide standhielden. Pas daarna routeerde de deterministische poort de claim naar SIU als hergebruikt bewijs.

Het detail waar ik iedereen bij stil laat staan is dit: de vangst hangt helemaal niet af van het gesimuleerde pixelsignaal. De twee agenten die zijn gebouwd om te antwoorden op "is het nep" keurden deze claim allebei goed. De twee die vroegen "hebben we dit exacte beeld eerder gezien, en houdt het verhaal stand" stopten hem. Dat is het hele argument voor een team boven een classificator, en CLM-C is de kleinste ware versie ervan die ik kon bouwen.

De signalen die ik bouwde om een vervalsing te spotten keurden hem allebei goed. Die hem betrapten vroegen of we al eens voor deze foto hadden uitbetaald.

Het getal waarmee ik weiger voorop te gaan

Ik heb een benchmarkresultaat dat heel makkelijk verkeerd te gebruiken is, en ik wil het liever zelf ontmantelen dan iemand het zonder scope naar me terug te horen citeren. Op een gelabelde synthetische set van 120 claims (47 schoon, 25 diffusievervalsing, 20 hergebruikt-echt, 13 ambigu, 15 metadata-spoofed) routeert de poort elke claim correct en boekt een schoon blad: 100% straight-through op schone claims, 0% valse beschuldiging, 100% van de beslissingen met een verifieerbaar auditdossier, recall 1.0 tegen de labels. Die cijfers zijn echt, en ze zijn ook eigenschappen van een geconstrueerde set waarvan de fraudeklassen by design detecteerbare handtekeningen dragen. Ze zijn geen open-world-garantie, en dat zeg ik elke keer opnieuw.

Het getal waarmee ik wél vooropga is het dekkingsgat. Van de 35 fraudes in die set die geen authenticiteitsartefact dragen, de 20 hergebruikt-echte en 15 metadata-spoofed claims, vangt een single-signal authenticiteitsbaseline 0 van 35. De cross-signal poort vangt 35 van 35. Dat gat is de eerlijke kop, omdat het meet wat de gevestigde aanpak niet kan, in plaats van te flatteren wat mijn geconstrueerde set makkelijk maakt.

Ik ken het verschil tussen een indrukwekkend getal en een duurzaam. De duurzame claim is de vorm van het gat, niet de grootte van het percentage.

Spoliation is nu een rode rij op het scherm

Ik had niet verwacht dat het chain-of-custody-stuk het deel zou worden waar kopers op leunen, maar dat deed het, en ik begrijp waarom toen ik het expres zag falen. Elke beslissing bindt de SHA-256 van het originele beeld in een append-only, hash-geketende ledger. De verify-chain stap herberekent elke schakel en herhasht elk origineel dat nog op schijf staat. Als een GenAI-"verbetering" of een upscale het originele claimbeeld overschrijft, is de verzekeraar plots blootgesteld aan spoliation, de vernietiging van bewijs, in elke rechtszaak die volgt.

Ik klikte op "tamper with the selected original," draaide verify, en een rij werd rood: Altered, spoliation detected. Dat is de hele waarde letterlijk gemaakt. Chain of custody houdt op een zin in een compliance-deck te zijn en wordt een toestand op het scherm die een geautomatiseerde pijplijn kan afdwingen en die een advocaat kan lezen. Het origineel wordt in normale werking nooit gemuteerd, alleen sidecar-artefacten, dus de dag dat iemand het wél bewerkt, weet het dossier het al.

Wat ik nog niet weet

Ik denk niet dat deze poort af is, en de capaciteit waarover ik het minst zeker ben is er ook een waar ik het meest trots op ben: het abstain-pad. Wanneer een claim echt ambigu is, lage resolutie, gedeeltelijke metadata, niets doorslaggevends ofwel, routeert de demo's CLM-D-1045 naar ABSTAIN en daarna naar HUMAN-REVIEW in plaats van een uitspraak af te dwingen. Hij onthoudt zich liever van een blufgoedkeuring of een beschuldiging, en de adversariële Challenger bestaat precies zodat een legitieme claimant niet naar SIU wordt gestuurd op een dun signaal. Op de synthetische set is die discipline wat valse beschuldiging op 0% houdt. In de echte wereld weet ik nog niet waar de abstain-drempel moet liggen, en doen alsof ik dat wel weet zou zijn eigen soort fraude zijn.

Er is veel dat ik bewust als stub heb gelaten. De Guidewire ClaimCenter- en Duck Creek-connectors, de mobiele guided-capture SDK, een echte C2PA-verifier, en een echte PRNU-camera-vingerafdrukdatabase zijn allemaal uitgesteld. De eigen Tractable- of CCC-ernstscore van de verzekeraar wordt als invoerveld geaccepteerd, niet hier berekend, omdat deze poort vóór de schadebeoordeling draait en authenticeert wat die systemen vervolgens beoordelen. Hij vervangt ze niet, en dat zou ik ook niet claimen.

De vier geënsceneerde claims staan allemaal daar in de demo als u ze door de pijplijn wilt laten lopen en de bewijzen zelf wilt lezen. Wat ik wil dat u meeneemt is echter niet de demo. Het is de vraag die die middag in Raleigh mijn eigen denken herschikte, starend naar een echte foto die mijn beste detector zojuist had goedgekeurd.

En als u liever kijkt dan mij het te horen beschrijven, hier is de hele poort van begin tot eind aan het werk.

Dus hier is de vraag die ik steeds aan claims- en SIU-leiders stel: als de duurste beeldfraude die u tegenkomt een echte foto is waarvoor u al eens een claim heeft uitbetaald, wat detecteert uw detector dan eigenlijk?