Deepfake, згода на образ і захист ресурсів

Що робимо сьогодні

Минулого уроку ти згенерував трек і відеофрагмент і описав їх у media.json. Сьогодні дві лінії: чий образ і голос ти маєш право використати — і як твій сервер не стає чужим ресурсом.

Урок не про те, щоб налякати. Синтез медіа — звичайний інструмент, ти сам ним користувався минулого разу. Але працює він і в інший бік. Тому сьогодні ми складаємо робочі правила. Перше — що робити з дзвінком, який здається дзвінком від рідних. Друге — які файли поїдуть на сервер.

Головний висновок уроку простий і чесний: розпізнавати підробку на око — ненадійно. Ознаки, які надійно працювали на генераціях 2019 року, на моделях 2024-го вже не працюють. Обидві дати — на схемі в кроці 2. Тому основна робота — не «вдивлятися», а мати процедуру. Перевірити джерело. Передзвонити. Спитати кодове слово.

Після уроку ти вмієш

• сказати, що вміє підробити звичайний застосунок, а що йому поки не дається;
• домовитися з людиною, перш ніж зняти її на відео й викласти запис;
• завести вдома кодове слово, яке працює навіть при ідеально схожому голосі;
• заборонити чужим сайтам вантажити картинки просто з твого сервера;
• перевірити, що всередині файлу справді те, що написано в його назві.

Слова deepfake, hotlink і сигнатура файлу поки нічого не означають. Дійдемо до кожного — після прикладу.

Що поїде на сервер

Хід уроку

Що вміє синтез сьогодні

Спокійний перелік можливостей із датами й джерелами. Без «нас усіх обдурять» — просто те, що вже існує

Уяви маску, зроблену рівно за твоїм обличчям. Колись таку робив гример на кіностудії — кілька тижнів. Тепер її будує програма за десятком фото і накладає на чуже відео. Такий ролик і звуть deepfake.

Ти вже бачив це зсередини: минулого уроку ти написав промпт і отримав готовий трек. Технологія одна й та сама. Різниця лише в тому, чиє обличчя й чий голос беруть за вихідний матеріал.

Три речі, які вміє звичайний застосунок

Зверни увагу на середній рядок. Три секунди голосу — це одна фраза в сторіс. П'ятнадцять секунд — це будь-яке відео, де ти щось розповідаєш. Це не аргумент «нічого не викладай»: це аргумент за те, щоб мати домовленість на випадок дзвінка.

Сліпий тест: людина чи синтез

Вісім карток. Кожна — текстовий опис фото, аудіо або відео: самих файлів тут немає, бо медіа на сервер не заливаються. Вирішуй за описом

Правила чесні: у частині карток «ознаки підробки» є там, де підробки немає, і навпаки. Саме так виглядає реальний матеріал. Відповідай швидко, як відповідав би на телефонний дзвінок, і не пропускай карток — розбір з'являється відразу після вибору.

Ознаки підробки — і чому їх недостатньо

Шість зон, куди дивляться першими. Знати їх корисно. Спиратися на них — ні

Коли синтезована картинка не сходиться, вона не сходиться в тих самих місцях. Це там, де модель домальовує стик двох шарів. Ось шість зон, де це видно найчастіше.

Те саме для звуку

• Дихання: у синтезі його або немає зовсім, або воно повторюється з однаковим інтервалом;
• Шиплячі — «с», «ш», «ц»: тонкий металевий призвук, ніби голос пройшов крізь бляшанку;
• Інтонація в кінці фрази: не спадає так, як у живої мови;
• Фон: абсолютна тиша між словами там, де людина дзвонить із вулиці.

Тому правило уроку інше й воно не старіє: перевіряй джерело, а не картинку. Хто це надіслав, з якого акаунта, чи є цей матеріал ще десь, чи можна зателефонувати людині на відомий номер. Джерело перевіряється за хвилину; вдивляння не дає відповіді ніколи.

Право на власне зображення

Це не етика й не «домовленість по-дружньому». В Україні це стаття Цивільного кодексу, і вона стосується твого шкільного проєкту

Дві статті, які варто вміти переказати своїми словами. Формулювання в кодексі короткі, тому нижче ти читаєш їх майже дослівно.

До синтезу це застосовується так само. Якщо ти згенерував відео, де говорить обличчя однокласника, — ти розповсюджуєш зображення особи, і потрібна її згода. Те, що обличчя намалював алгоритм, нічого не змінює: впізнають конкретну людину.

Згода для шкільного проєкту: чотири поля

Довгі юридичні бланки в класі не працюють. Робочий мінімум — чотири питання, на які згода має відповідати однозначно.

Соціальна інженерія голосом

Найпоширеніша схема не потребує ані зламу, ані вірусу. Вона потребує тридцяти секунд твого голосу і поспіху

Виглядає це так. Дзвінок з незнайомого номера. Голос — мамин, бабусин або братів. Дуже погана чутність. Людина плаче або говорить швидко: сталася біда, потрібні гроші просто зараз, нікому не кажи, я зараз не можу говорити довго.

Розберемо схему по ланках — важливо побачити, що голос тут лише одна ланка з п'яти, і не найважливіша.

Конструктор протоколу довіри

Складаєш правила для своєї родини — і отримуєш готову пам'ятку: її можна роздрукувати й покласти біля телефона, а текст поїде на сервер як trust-protocol.md

Протокол працює тому, що спирається не на розпізнавання, а на знання, якого немає в жодному записі голосу. Заповни чотири поля — сторінка перевірить їх і збере пам'ятку.

Згода в проєкті: consent.md і поле consent

Минулого уроку поле consent у маніфесті було формальністю. Сьогодні воно стає блокуючим критерієм

У media.json кожен запис описує один твір. Поле consent відповідає на просте питання: чий образ або голос тут звучить і на якій підставі. Порожній рядок — це не відповідь.

Другий файл — consent.md. Це людський текст, а не JSON: правила твого проєкту плюс бланк, який можна роздрукувати. Мінімальна структура — п'ять розділів.

1. Що я роблю — одне речення про проєкт;
2. Чий образ і голос у ньому є — поіменно;
3. Де це публікується — конкретна адреса сторінки і хто її бачить;
4. Що я не роблю — не передаю матеріал третім особам, не завантажую медіафайли на сервер, не використовую поза проєктом;
5. Бланк згоди — чотири поля з кроку 5 плюс місце для дати й підпису (для неповнолітніх — підпис одного з батьків).

Твій сервер як чужий ресурс

Друга лінія уроку. Тут ніхто нікого не обманює голосом — просто твої диск і трафік витрачає хтось інший

На VPS живуть три класи. Диск, трафік і процесор там спільні, тому кожен файл, який ти залив, — це місце, якого не буде в сусіда. У цьому кроці розберемо два способи, якими ресурс витікає непомітно. Третій — файл, що прикидається не тим, чим є, — чекає в кроці 11.

Спосіб перший: дискова квота

Уяви, що обмежень немає і хтось залив 4 ГБ вихідного відео «щоб не загубилося». Що станеться далі — по порядку:

1. розділ заповнюється, і писати не може вже ніхто: ні сусід по серверу, ні сам сервер;
2. nginx не може дописати журнал і починає віддавати помилки на сторінки, які раніше працювали;
3. тимчасові файли не створюються — падають ті сервіси, що з ними працюють;
4. резервна копія не робиться, бо для неї немає місця;
5. розбирати це доводиться вручну, і сайти всіх трьох класів лежать доти, доки місце не звільнять.

Тому запобіжників у цьому курсі два, і працюють вони незалежно. Перший — ліміт на розмір одного файлу: 2 МБ на FTP-приймальні. Другий — квота на весь акаунт. Ліміт рятує від одного великого файлу, квота — від тисячі маленьких.

Числа у виводі — приклад із демонстраційного акаунта. У себе побачиш свої.

Спосіб другий: чужий сайт вантажить твої файли

Уяви подовжувач, увімкнений у твою розетку з сусідньої квартири. Лампа світить у них, а рахунок за світло приходить тобі.

У вебі це зветься hotlinking. Хтось знаходить твоє зображення. І вставляє його у свою сторінку прямим посиланням: <img src="http://91.219.61.4/s/твій-логін/media/cover.png">.

Файл лишається в тебе. Сторінка — в них. А ось трафік — подивись на схему.

Захист від hotlink: перевірка Referer

Правило в конфігу: якщо запит на файл прийшов зі сторінки чужого сайту — відповідаємо 403

Коли браузер вантажить зображення, вставлене в сторінку, він додає заголовок Referer — адресу сторінки, з якої прийшов запит. Історична помилка в назві (правильно було б Referrer) так і лишилася в стандарті з 1996 року.

Третій рядок — саме той випадок. "-" означає, що заголовка не було зовсім: так виглядає прямий перехід за посиланням, відкриття з закладок або запит із curl.

Правило для nginx

Рядок valid_referers перелічує три випадки, коли запит вважається своїм. none — заголовка немає зовсім: людина відкрила картинку прямо за посиланням або з закладки. blocked — заголовок був, але проксі чи фаєрвол вирізали з нього адресу. server_names — заголовок вказує на твій власний домен.

Усе, що в цю трійку не потрапило, — чужа сторінка. Саме таким запитам nginx і віддає 403. Твоя картинка при цьому й далі відкривається з твого сайту та за прямим посиланням.

Свій висновок nginx тримає у прапорці $invalid_referer: порожньо — запит свій, 1 — чужий. Звідси й if у конфігу.

Те саме на Apache, якщо в тебе .htaccess

Перевірка: два запити, два різні коди

Підміна типу файлу

У теці лежить clip.mp4. Це не означає, що це відео

Ім'я файлу придумує той, хто його завантажує. Заголовок Content-Type надсилає його ж браузер або його ж скрипт. Обидві ці «характеристики» файлу — просто текст, який прийшов від клієнта разом із файлом. Довіряти їм — те саме, що вірити напису на коробці, не зазираючи всередину.

Сигнатури, які варто впізнавати

Найчастіша причина цієї помилки — файл скопійовано з Windows-розділу або з флешки: там прав Linux немає, і при копіюванні біт x ставиться на все підряд.

Ліміт розміру завантаження і код 413

Останній запобіжник спрацьовує ще до того, як файл дійде до диска

Коли клієнт надсилає файл, він спершу надсилає заголовки, а серед них — Content-Length. Сервер порівнює це число з власним лімітом і, якщо ліміт перевищено, обриває розмову відразу — не приймаючи тіло запиту. Це важливо: диск не витрачається взагалі.

Практика: чотири файли й одна розмова вдома

Кроки 1—9 робиш у себе на комп'ютері, кроки 10—13 — заливання по FTP і перевірка. Галочки зберігаються

Автоперевірка

Чекер робить два справжні HTTP-запити з різними Referer, читає media.json і проходить file по всій теці. Спроби не обмежені

Демонстраційний режим: результат згенеровано для показу. На сервері ця кнопка викликає POST /api/check, який запускає /opt/lessons/08/check.sh від імені учня.

Що вчитель дивиться на твоєму екрані

• фінальні медіа з локальної теки — на сервер вони не йдуть;
• ти показуєш на власному відео дві ознаки синтетичності і чесно кажеш, які з них уже нічого не доводять;
• у кадрі немає облич однокласників, на яких немає письмової згоди;
• ти запускаєш обидва curl із кроку 10 і показуєш 403 і 200;
• ти пояснюєш своїми словами кожен рядок свого hotlink-конфігу — особливо навіщо в списку none.

Шкала виконання

Це те, що бачить учитель, коли виставляє оцінку.

Шість речень, які варто запам'ятати

• ознаки підробки на око — тимчасові; перевіряй джерело, а не картинку;
• зняти й опублікувати — дві різні згоди, статті 307 і 308 ЦК України;
• кодове слово й зворотний дзвінок працюють навіть тоді, коли голос ідеальний;
• терміновість і секретність — не обставини, а інструмент того, хто дзвонить;
• розширення й Content-Type надсилає клієнт, тому вони нічого не доводять;
• hotlink-правило зупиняє масовий випадок, а не цільову атаку — і це нормально.

Де найчастіше помиляються

• consent: "n/a" у відео, де звучить голос однокласника — формально заповнено, по суті порушення;
• hotlink-правило написане без none — ламається пряме відкриття власних файлів, і учень починає ламати конфіг далі;
• no_exec провалено, бо файли скопійовані з Windows-розділу разом із бітом x;
• у ~/www/media/ додано .svg-схему, і критерій mime падає на image/svg+xml;
• media.json збережено з PowerShell у UTF-16 з BOM — jq каже «невалідний JSON», хоча вміст правильний;
• кодове слово — кличка собаки, яка є в трьох сторіс і в підписі до фото;
• протокол домовлено з одним із батьків, а бабуся про нього не знає — а дзвонять зазвичай саме їй.

Домашнє завдання

Узгодити протокол довіри вдома. Покажи роздруковану пам'ятку. Домовся про кодове слово з усіма, кого ти вписав у коло довіри. Зокрема з тими, хто живе окремо: слово має знати кожен, кому можуть подзвонити «твоїм голосом».

Другим абзацом допиши в trust-protocol.md, як ти перевірятимеш підозрілий дзвінок. Три конкретні дії по порядку, своїми словами. Пиши коротко: читати це буде схвильована людина.

Звідки взяті твердження й числа

Усе, що можна перевірити, має бути перевіреним. Правові формулювання наведені близько до тексту статей

• Цивільний кодекс України, стаття 307 — захист інтересів фізичної особи при проведенні фото-, кіно-, теле- та відеозйомок. zakon.rada.gov.ua
• Цивільний кодекс України, стаття 308 — охорона інтересів особи, зображеної на фотографіях та в інших художніх творах. zakon.rada.gov.ua
• Клонування голосу з трисекундного зразка — Microsoft, модель VALL-E, січень 2023. arxiv.org/abs/2301.02111
• Клонування голосу з 15 секунд — OpenAI Voice Engine, анонс і рішення не випускати модель у відкритий доступ, березень 2024. openai.com
• Справа Arup — переказ близько 25 мільйонів доларів після відеодзвінка з підробленими співрозмовниками, Гонконг, лютий 2024. cnn.com, cfodive.com
• Люди не розпізнають синтезоване мовлення надійно — Mai K. та ін., «Warning: Humans cannot reliably detect speech deepfakes», PLOS ONE, 2 серпня 2023: близько 73% правильних відповідей, тренування майже не допомагає. journals.plos.org
• Люди не розпізнають підроблене відео — Köbis N. та ін., «Fooled twice: People cannot detect deepfakes but think they can», iScience, 2021. cell.com/iscience
• Ознака «не моргають» і те, як швидко вона зникла — Li Y., Chang M.-C., Lyu S., «In Ictu Oculi: Exposing AI Generated Fake Face Videos by Detecting Eye Blinking», IEEE WIFS, 2018. arxiv.org/abs/1806.02877
• Мітка походження контенту — стандарт C2PA і «Content Credentials». c2pa.org
• Позначення згенерованого контенту в ЄС — Регламент (ЄС) 2024/1689 про штучний інтелект, стаття 50: обов'язки прозорості застосовуються з 2 серпня 2026 року. eur-lex.europa.eu, digital-strategy.ec.europa.eu
• Заголовок Referer — RFC 9110, розділ 10.1.3; історична помилка в написанні збереглася зі стандарту 1996 року. rfc-editor.org, MDN: Referer
• Модуль перевірки Referer у nginx — директива valid_referers, змінна $invalid_referer, значення none, blocked, server_names. nginx.org
• client_max_body_size — ліміт тіла запиту в nginx, за замовчуванням 1m. nginx.org
• Код 413 Content Too Large — RFC 9110, розділ 15.5.14 (у RFC 7231 той самий код називався «Payload Too Large»). rfc-editor.org
• Код 403 Forbidden — RFC 9110, розділ 15.5.4. rfc-editor.org
• Не довіряти Content-Type від клієнта — рекомендації OWASP щодо завантаження файлів: перевірка вмісту, заборона виконання в теці завантажень. cheatsheetseries.owasp.org
• Сигнатури файлів і утиліта file — бібліотека libmagic, перелік магічних байтів. darwinsys.com/file, en.wikipedia.org: List of file signatures
• Заголовок X-Content-Type-Options: nosniff — заборона браузеру вгадувати тип за вмістом. MDN
• Генеративні моделі, з яких усе почалося — Goodfellow I. та ін., «Generative Adversarial Networks», 2014; StyleGAN, NVIDIA, 2019. arxiv.org/abs/1406.2661, arxiv.org/abs/1812.04948

Повний список із поясненнями, що звідки взято, — у файлі urok-08-джерела.md поруч із цією сторінкою.