Eu parti para construir um detector de deepfake para sinistros de seguro auto. Uma foto real, sem edição, o derrotou.

A tarde em que uma foto genuína atravessou meu detector sem nenhum obstáculo

Eu construí primeiro o sinal de pixel-forensics, porque era a parte que parecia engenharia de verdade, e eu estava discretamente orgulhoso dele. Ele raciocina sobre ruído de sensor e artefatos no domínio da frequência, os indícios que um modelo de difusão deixa para trás quando alucina um para-choque esmagado. Na demo, esse sinal é rotulado simulado, um substituto para um modelo aprendido de artefatos generativos que eu ainda não treinei, e quero dizer isso com clareza antes de qualquer outra coisa. Mas a lógica em torno dele era minha, e funcionava. Eu lhe entreguei um para-choque falsificado por difusão e ele acendeu exatamente do jeito que eu queria.

Então eu lhe entreguei um sinistro encenado que eu havia rotulado CLM-C-1044, uma colisão traseira em Raleigh, e ele liberou a foto limpa. Consistente. Sem artefatos. Ruído de sensor presente. Aquela era a resposta correta, e foi exatamente o que me inquietou, porque CLM-C é fraude. A foto é uma imagem genuína de câmera. No cenário, ela tinha sido retirada de um sinistro anterior já liquidado e reenviada contra um prejuízo novo. Meu melhor sinal não estava fraco. Ele estava apontado para a pergunta errada. Ele perguntava "esta imagem é falsa", e para uma foto real reciclada a resposta honesta é não.

Uma foto real reciclada passa em todo teste de autenticidade do mundo, porque ela é real.

Aquela tarde é a razão pela qual a coisa que acabei construindo não é um detector de forma alguma. Você pode rotear os mesmos quatro sinistros você mesmo na demo em execução. Todo sinistro, imagem, seguradora e registro histórico nela é sintético, então nada ali é um segurado real ou um prejuízo real. Mas a falha que ela dramatiza não é inventada. É a falha na qual eu tropecei.

Por que uma foto real é a fraude mais difícil de pegar?

Fico voltando à assimetria que quebrou meu primeiro desenho. Toda a corrida armamentista da fraude em seguros é enquadrada como "construa um detector de deepfake melhor", e agora acho que esse enquadramento é a armadilha. Um único classificador de autenticidade falha em duas direções ao mesmo tempo. Ele envelhece no instante em que os geradores de imagem melhoram, e é estruturalmente cego à fraude mais antiga do livro, uma foto real reciclada de um sinistro anterior, porque aquela foto passa em todo teste de autenticidade por ser genuína.

A pressão por trás de tudo isso é real mesmo que meus sinistros sejam sintéticos. 98% das seguradoras relatam um aumento de mídia manipulada e apenas 32% se sentem "muito confiantes" na detecção de deepfakes (Verisk, 2026 State of Insurance Fraud). 36% dos consumidores na mesma pesquisa dizem que alterariam a imagem de um sinistro. As tentativas de fraude com deepfake subiram 2.137% em três anos (Facia.ai), e uma seguradora de automóveis do Reino Unido viu um aumento de 300% em imagens de veículos manipuladas por IA em um único ano (The Guardian / Milliman). O reflexo da indústria tem sido acoplar um detector de terceiros à submissão. 65% das seguradoras agora usam um (Verisk, 2026). Esse reflexo pega as falsificações óbvias e deixa a foto real reciclada passar direto para o pagamento.

A linha que eu ficava escrevendo no quadro branco era que a autenticação tem de ser um portão, não um relatório. Um relatório é lido depois que o dinheiro se move. Um portão roda antes. E um portão não pode se apoiar em um único sinal que uma foto genuína derrota por definição.

Agentes aconselham, o código decide

Tomei cedo uma decisão arquitetural que defenderia perante um regulador sem hesitar: a chamada de roteamento não pertence ao modelo de linguagem. Uma equipe forense de quatro analistas mais um Challenger adversarial investiga um sinistro e produz vereditos tipados. Então um portão de política determinístico, código puro sentado fora dos agentes, agrega esses vereditos e os sinais brutos contra os limiares da seguradora e emite uma decisão de roteamento reproduzível. AUTO-PROCEED, SIU-REFERRAL, HUMAN-REVIEW ou ABSTAIN. A fronteira de confiança é o código, nunca um autorrelato de LLM.

Os dois papéis de raciocínio, Consistência Narrativa e o Challenger adversarial, rodam por um adaptador trocável de provedor que por padrão usa claude-opus-4-8, e sem nenhuma chave de API configurada o portão inteiro cai para um stub offline determinístico e ainda assim roda de ponta a ponta. Eu gostei cada vez mais dessa propriedade quanto mais tempo passei com ela, porque reprodutibilidade é o que um responsável por conformidade realmente precisa. Pergunte ao portão a mesma pergunta duas vezes e ele responde do mesmo jeito, e pode mostrar o trabalho.

Agentes aconselham. O código decide. Um regulador pode auditar uma regra. Ninguém pode auditar uma vibe.

Isso não é uma preferência abstrata em 2026. Um Model Bulletin da NAIC sobre IA foi adotado por 24 estados, o Colorado AI Act entra em vigor em 30 de junho de 2026, e o prazo de alto risco do EU AI Act cai em agosto de 2026 com multas de até €35 milhões ou 7% do faturamento global. Terceirizar o modelo não terceiriza a responsabilidade. Se uma seguradora automatiza uma decisão de sinistro, ela precisa poder defender essa decisão, e "o modelo estava confiante" não é uma defesa.

O que "pegar" realmente significa aqui?

Quando finalmente vi o CLM-C ser pego, eu queria saber exatamente qual sinal fez o trabalho, porque eu já não confiava na minha própria intuição sobre isso. Então abri a análise de decisão e li linha por linha. O Analista de Proveniência liberou o sinistro: GPS de captura a 1,1 km do local reportado do prejuízo, data de captura consistente com a data do prejuízo. O Analista de Pixel-Forensics, aquele de que eu tinha tanto orgulho, também o liberou, rotulado simulado bem na tela, artifact_score 0.06, ruído de sensor presente. Os dois sinais de "é falso?" o liberaram, exatamente como deveriam, porque a foto é real.

A detecção veio dos outros dois. O Analista de Reuso confrontou o hash perceptual de 256 bits da foto com um índice histórico de sinistros e encontrou um sinistro anterior liquidado, HIST-4019, a distância de Hamming 0, um gêmeo pixel a pixel protocolado meses antes. O Analista de Consistência Narrativa leu o texto do FNOL contra a imagem e sinalizou uma contradição: o relato descreve uma batida lateral enquanto a foto mostra dano traseiro. Então o Challenger adversarial, um cético que eu instruo especificamente a refutar cada sinalização e tentar liberar o reclamante, testou as duas sinalizações e reportou que ambas sobreviveram. Só então o portão determinístico roteou o sinistro para SIU como evidência reciclada.

O detalhe com o qual faço todo mundo sentar é este: a detecção não depende de forma alguma do sinal de pixel simulado. Os dois agentes construídos para responder "é falso?" liberaram este sinistro. Os dois que perguntaram "já vimos esta imagem exata antes, e a história se sustenta" são o que o detiveram. Esse é o argumento inteiro a favor de uma equipe em vez de um classificador, e CLM-C é a menor versão verdadeira disso que eu consegui construir.

Os sinais que construí para detectar uma falsificação o liberaram. Os que o pegaram perguntaram se já tínhamos pago por esta foto uma vez.

O número com o qual me recuso a abrir

Tenho um resultado de benchmark que é muito fácil de usar mal, e prefiro desarmá-lo eu mesmo a ver alguém citá-lo de volta para mim despojado do seu escopo. Em um conjunto sintético rotulado de 120 sinistros (47 limpos, 25 falsificados por difusão, 20 reais reciclados, 13 ambíguos, 15 com metadados falsificados), o portão roteia cada sinistro corretamente e posta uma folha limpa: 100% de processamento direto nos sinistros limpos, 0% de falsa acusação, 100% das decisões carregando um registro de auditoria verificável, recall 1.0 contra os rótulos. Esses números são reais, e também são propriedades de um conjunto construído cujas classes de fraude carregam assinaturas detectáveis por design. Eles não são uma garantia de mundo aberto, e eu digo isso toda vez.

O número com o qual eu realmente abro é a lacuna de cobertura. Das 35 fraudes naquele conjunto que não carregam nenhum artefato de autenticidade, os 20 sinistros reais reciclados e os 15 com metadados falsificados, uma linha de base de autenticidade de sinal único pega 0 de 35. O portão de sinais cruzados pega 35 de 35. Essa lacuna é a manchete honesta, porque mede a coisa que a abordagem incumbente não consegue fazer em vez de lisonjear a coisa que meu conjunto construído torna fácil.

Eu sei a diferença entre um número impressionante e um durável. A afirmação durável é a forma da lacuna, não o tamanho do percentual.

Spoliation agora é uma linha vermelha na tela

Eu não esperava que a peça de cadeia de custódia se tornasse a parte na qual os compradores se apoiam, mas se tornou, e eu entendo por quê depois de vê-la falhar de propósito. Toda decisão vincula o SHA-256 da imagem original a um ledger somente-apêndice e encadeado por hash. O passo verify-chain recalcula cada elo e re-hasheia cada original ainda no disco. Se um "aprimoramento" GenAI ou um upscale sobrescreve a imagem original do sinistro, a seguradora fica de repente exposta a spoliation, a destruição de evidências, em qualquer litígio que se siga.

Eu cliquei em "adulterar o original selecionado", rodei a verificação, e uma linha ficou vermelha: Alterado, spoliation detectada. Esse é o valor inteiro tornado literal. A cadeia de custódia deixa de ser uma frase em um deck de conformidade e se torna um estado na tela que um pipeline automatizado pode impor e um advogado pode ler. O original nunca é mutado na operação normal, apenas artefatos sidecar, então no dia em que alguém o edita, o registro já sabe.

O que eu ainda não sei

Eu não acho que este portão esteja terminado, e a capacidade da qual estou menos certo é também uma das de que mais me orgulho: o caminho de abstenção. Quando um sinistro é genuinamente ambíguo, baixa resolução, metadados parciais, nada conclusivo de nenhum lado, o CLM-D-1045 da demo roteia para ABSTAIN e depois para HUMAN-REVIEW em vez de forçar um veredito. Ele se abstém em vez de blefar uma liberação ou uma acusação, e o Challenger adversarial existe precisamente para que um reclamante legítimo não seja jogado para SIU por um sinal fraco. No conjunto sintético essa disciplina é o que mantém a falsa acusação em 0%. No mundo real eu ainda não sei onde o limiar de abstenção deve ficar, e fingir que sei seria seu próprio tipo de fraude.

Há muita coisa que deixei deliberadamente como stub. Os conectores Guidewire ClaimCenter e Duck Creek, o SDK móvel de captura guiada, um verificador C2PA real e um banco de dados real de impressão digital de câmera PRNU estão todos adiados. A pontuação de gravidade Tractable ou CCC da própria seguradora é aceita como um campo de entrada, não calculada aqui, porque este portão roda antes da avaliação de danos e autentica o que esses sistemas vão avaliar a seguir. Ele não os substitui, e eu não afirmaria que os substitui.

Os quatro sinistros encenados estão todos lá na demo se você quiser rodá-los pelo pipeline e ler os recibos você mesmo. O que eu quero que você leve consigo não é a demo, porém. É a pergunta que reorganizou meu próprio pensamento naquela tarde em Raleigh, olhando para uma foto real que meu melhor detector acabara de aprovar.

E se você preferir assistir a isso a me ver descrever, aqui está o portão inteiro rodando de ponta a ponta.

Então aqui está a pergunta que continuo fazendo a líderes de sinistros e de SIU: se a fraude de imagem mais cara que você enfrenta é uma foto genuína pela qual você já pagou um sinistro uma vez, o que o seu detector está realmente detectando?