31万回のテストを経て生まれた「NoRecognition」パターン——AI監視をかく乱する布地の仕組み

NoRecognitionの仕組み

スウェアリンゲン氏の核となる手法は、自己学習型ファザー（fuzzer）である。これは敵対的パターンを生成し、オープンソースの物体検出アルゴリズムに対してテストを行う。検出を引き起こしてしまうパターンは修正され、反復ループで再テストされる。約3100万回のテスト反復の後、システムはスウェアリンゲン氏のテストスイート内の11のAI監視モデルすべてを欺くパターン variant に収束した。

「これは遺伝的アルゴリズムで、普通の布地に印刷された敵対的テキスタイルパターンを品種改良します。そのパターンは、人物検出、顔検出、個人識別という顔認識パイプライン全体にカスケード障害を引き起こします。電子機器は一切不要で、隣に立つ人間には何の変哲もないものに見えます」とスウェアリンゲン氏はBlack Hatのプレビューで述べている。

NoRecognitionが欺くシステム

スウェアリンゲン氏のプロジェクトは、以下の11の異なるAI監視モデルに対してテストされ、それらを欺くと主張している。

• Flock — ナンバープレート読み取り装置および監視カメラ
• Axon — 警察用ボディカメラおよび監視システム
• Clearview AI — 顔認識
• その他、人物検出、車両検出、顔認識の各種モデル

注目すべき点として、スウェアリンゲン氏は自身のシステムが「実際のモデル」に対してテストを行っていると述べている。「学術的なベンチマークではない。Clearview AI、警察のボディカメラ、空港のセキュリティで実際に動いているものだ」。

Def Con 34での公開テスト

2026年8月7日（金）、ラスベガスで開催されたDef Conサイバーセキュリティカンファレンスにおいて、スウェアリンゲン氏はNoRecognitionパターンの初の公開実世界テストを実施した。自動車メディアDonut Mediaの協力のもと、2009年型トヨタ・ヤリスにコンピューター生成パターンを貼り付け、Flock監視カメラの前を走行させた。

スウェアリンゲン氏によると、車両はFlockシステムの自動検出を回避した——カメラは検出アラートを発しなかったという。これは、デジタルシミュレーションではなく、ライブ環境の物理カメラに対してパターンが検証された初めての事例となった。ただし、複数の報道機関は、このデモが単一かつ非盲検テストであり、より広範なピアレビューによる検証は未了であると指摘している。

「敵対的ファッション」の台頭

スウェアリンゲン氏の技術的な取り組みと並行して、「敵対的衣類（adversarial clothing）」 あるいは 「敵対的ファッション（adversarial fashion）」 と呼ばれるムーブメントが主流トレンドとして浮上している。

The Guardianは2026年7月、デザイナーたちが「敵対的パターン」——注意深く配置された形状、色、モチーフ——を、特に顔認識AIを混乱させる目的で衣服に取り入れ始めていると報じた。Cap_able、Urban Privacy、Vollebakといったブランドは、コンピュータービジョンモデルの弱点を突くと謳う衣服ラインを生産している。

ベルリンを拠点とするアーティストサイモン・ウェッカート（Simon Weckert）は、「デジタル迷彩（Digital Camouflage）」 と名付けたコンセプトコレクションを発表した。これは、あらゆる角度や布地の折り目からAI監視の検出を防ぐために設計された、生成的敵対的パターンが印刷された衣服である。このムーブメントは「プライバシーが次の大きなファッショントレンドになるかもしれない」と表現され、着用者はプライバシーの重要性について視覚的な声明を発すると同時に、自動顔認識を潜在的に回避することができる。

イタリアのファッションスタートアップCap_ableは、敵対的パターンを使用したニットウェアを制作し、衣服をリバーシブル構造にすることで、着用者がAIに検出されるかどうかを選べるようにしている。特許取得済みのプロセスでは、アルゴリズムによって敵対的パターンを開発し、「AI迷彩」と呼んでいる。

限界と軍拡競争の含意

この技術は万能薬ではない。専門家はいくつかの重要な注意点を指摘している。

• 効果の狭さ: このパターンは人物や車両を人間の視覚や録画そのものから隠すものではなく、あくまで自動検出アルゴリズムを妨害するだけである。映像を人間が見れば、その人物は依然として確認できる。
• モデル特異性: パターンはスウェアリンゲン氏のテストスイート内の特定のアーキテクチャに対して最適化されている。監視企業はモデルを更新してパターンを認識・無視することが可能であり、古典的な敵対的軍拡競争を生み出す。
• 物理世界での脆弱性: 展開されたパターンは、管理された条件下で平らな布地に印刷されたものである。照明、角度、距離、布地の折り目、天候などの現実世界の要因が効果を低下させる可能性があり、Def Conのテストは1台のカメラに対する単一の走行テストに過ぎなかった。
• 再学習のリスク: The Guardianが指摘するように、専門家は敵対的パターンは監視モデルが敵対的サンプルを用いて再学習されるまでしか機能せず、その後は保護効果が消滅する可能性があると警告している。
• 法的・倫理的なグレーゾーン: スウェアリンゲン氏はこの技術をプライバシーのオプトアウト（拒否）メカニズムとして位置づけているが、法執行機関はこれを回避ツールとみなす可能性があり、規制や法的課題につながる恐れがある。
• 独立した検証の不足: 複数の報道機関は、Def Conのデモが単一かつ非盲検テストであり、現実世界での効果に関するより広範なピアレビューによる検証は未了であると指摘している。

これがプライバシーにとって意味すること

NoRecognitionは、AI監視に対する実用的で着用可能な防御策を生み出すための、これまでで最も厳密な試みの一つである。3100万回のテストとFlockカメラを使用したライブデモンストレーションにより、このプロジェクトは学術的な概念実証の段階を超えた。しかし、敵対的パターンが急速に進化する監視AIとの軍拡競争を生き残れるかどうか、そしてより広範な敵対的ファッション運動が現実的なプライバシー保護を大規模に提供できるかどうかは、未解決の問いである。

スウェアリンゲン氏自身が述べているように、核心的な問いは「物理的な布地が、現実世界の条件下で本当に最先端の顔認識を打ち負かすことができるのか？」というものだ。現時点での答えは、AIが追いつくまでは可能である、というものだ。