Photo Scrubber usuwa twarze i metadane bezpośrednio w przeglądarce

Photo Scrubber przetwarza zdjęcie lokalnie w przeglądarce, automatycznie zaznacza twarze i pozwala rozmyć je przed udostępnieniem. Przy eksporcie tworzy nowy plik bez pierwotnych metadanych, więc wrażliwy obraz nie musi trafiać na cudzy serwer.

BlazeFace wykrywa twarze bez wysyłania zdjęcia na serwer

Simon Willison zbudował narzędzie po sfotografowaniu demonstrantów, gdy uznał, że nie chce publikować rozpoznawalnych twarzy obcych osób. Stworzenie eksperymentalnej aplikacji zlecił GPT-6 Astra. Za detekcję odpowiada biblioteka Google MediaPipe w C++, skompilowana do WebAssembly przez @mediapipe/tasks-vision, wraz z modelem BlazeFace.

Narzędzie obsługuje pliki JPEG, PNG i WebP o rozmiarze do 75 MB. Dekodowanie i edycja odbywają się na urządzeniu użytkownika. Przeglądarka uwzględnia orientację EXIF podczas wczytywania, lecz obraz eksportowy powstaje od nowa bez oryginalnego zestawu metadanych.

Lokalne przetwarzanie zamienia obietnicę prywatności w architekturę

W przypadku zdjęć z protestów, szpitali lub szkół samo wysłanie oryginału do zewnętrznej usługi stanowi ryzyko. Narzędzie działające w przeglądarce ogranicza tę klasę wycieku, bo zdjęcie nie opuszcza urządzenia na potrzeby detekcji ani eksportu. To praktyczna różnica względem edytora chmurowego z niejasnymi zasadami przechowywania danych.

Projekt pokazuje również użyteczny wzorzec AI coding. Model pomógł złożyć małą aplikację z istniejących komponentów, a właściwość bezpieczeństwa wynika głównie z architektury. Ochronę zapewnia granica przeglądarki i możliwy do sprawdzenia eksport, a nie deklaracja modelu.

Detektor krótkiego zasięgu pozostawia martwe pola

BlazeFace jest detektorem krótkiego zasięgu. Może pominąć małe, obrócone, zasłonięte twarze lub te przy krawędzi kadru. Automatyczne rozmycie nie ukryje też plakietek, tatuaży, tablic rejestracyjnych ani charakterystycznego ubrania. Usunięcie metadanych nie sprawia, że same piksele przestają identyfikować osobę.

Photo Scrubber pozostaje eksperymentem. Lokalne działanie ogranicza ryzyko sieciowe, lecz nie gwarantuje pełnej anonimizacji. Przy wrażliwym materiale użytkownik musi obejrzeć całe zdjęcie i ręcznie zasłonić wszystko, co automat przeoczył.

Bezpieczny eksport sprawdza się w pliku i na brzegu kadru

Kolejny test ma dwie części. Niezależna kontrola powinna potwierdzić, że eksportowane pliki JPEG, PNG i WebP nie zawierają pierwotnego EXIF ani innych metadanych. Trzeba też mierzyć pominięte twarze w tłumie, przy słabym świetle i na krawędziach zdjęcia.

Wartość narzędzia wzrośnie, jeśli zaoferuje czytelny etap ręcznej kontroli i pokaże, że użytkownik przejrzał cały kadr. W ochronie tożsamości ostatnia pominięta twarz jest ważniejsza niż średnia dokładność detektora.

Werdykt Lilith

Prawdziwy test zaczyna się, gdy fotograf sięga po przycisk Udostępnij, a w rogu zostaje jedna nierozmyta twarz. Lokalne przetwarzanie zamyka drogę sieciową, lecz ostatnią lukę w obrazie muszą dostrzec ludzkie oczy.