Un richiedente fotografa una busta paga, apre un'app di immagini e le chiede di modificare la retribuzione netta. Meno di un minuto dopo, per circa quattro centesimi, ottiene una nuova immagine della stessa busta paga con un numero migliore: stesso datore di lavoro, stesso layout, stesso font, stesso sfondo grigio dello scanner.
Non c'è alcun editor PDF di cui tracciare l'impronta, nessun livello di testo da ispezionare, nessuna cronologia delle revisioni. Il file non è un documento modificato. È una nuova immagine, disegnata da un modello.
Holograin è il detector che abbiamo costruito per questo caso. Legge una pagina scansionata o la foto di un telefono e stabilisce se un generatore di immagini IA l'ha ridisegnata. Sulle pagine passate attraverso la nostra pipeline di upload, intercetta il 90% delle pagine modificate dall'IA, segnalando 1 pagina autentica su 100. Viene eseguito all'interno di ogni analisi antifrode di Holofin sui documenti finanziari scansionati.
Questo articolo illustra come funziona e come si confronta con gli LLM di frontiera e gli AI-image detector open source.
Tre modi per capire se un documento è stato generato
Ci sono tre punti in cui cercare le prove che un'immagine provenga da un generatore.
Metadati di provenienza. Alcuni generatori allegano un manifesto C2PA, una dichiarazione firmata che attesta che l'immagine è stata prodotta dall'IA. Quando è presente è inequivocabile, e Holofin lo verifica sull'upload originale prima di qualsiasi conversione. Ma un semplice screenshot o un nuovo salvataggio lo rimuovono, quindi la sua assenza non prova nulla.
Watermark invisibili. Alcuni vendor incorporano un watermark nei pixel. Non tutti i generatori lo fanno, e ogni watermark può essere letto solo con il tool del rispettivo vendor. È una prova utile quando è presente, altrimenti è silente.
I pixel stessi. Uno scanner lascia il rumore del sensore, una particolare sfocatura lungo i bordi dei caratteri e una cronologia di compressione. La fotocamera di un telefono lascia le proprie tracce ottiche. Un generatore di immagini lascia una texture propria, invisibile a occhio nudo, in ogni pixel che produce. Quando un generatore modifica un documento, non cambia una singola riga: ridisegna l'intera pagina, in modo che quella texture copra l'intera pagina.
La terza fonte è l'unica che un falsario non può rimuovere salvando nuovamente il file. Holograin si basa su di essa.
Perché un modello generico non è sufficiente
Il primo approccio che la maggior parte dei team prova è mostrare la pagina a un LLM di frontiera e chiedere se sia stata generata. Lo abbiamo testato su 200 pagine passate attraverso la nostra pipeline di upload: 100 modificate da cinque generatori IA, 100 autentiche. Ogni modello ha ricevuto il prompt di un analista antifrode e ha restituito un verdetto con una probabilità.
Stesse 200 pagine, quattro detector
100 pagine modificate dall'IA e 100 autentiche, tutte passate per la stessa pipeline di upload, nessuna usata nel training. L'ultima colonna fissa i falsi positivi a 1 su 100 e riporta quanti falsi vengono ancora intercettati.
| Detector | Falsi intercettati | Autentici segnalati | Intercettati all'1% di falsi positivi |
|---|---|---|---|
| Gemini 4 Argon | 90 / 100 | 45 / 100 | 69% |
| GPT-6.1 Sol Pro | 40 / 100 | 0 / 100 | 40% |
| AI-image detector open, off the shelf | da 8 a 21 / 100 | da 0 a 2 / 100 | 22% |
| Holograin | 84 / 100 | 1 / 100 | 89% |
I due LLM falliscono in direzioni opposte. Gemini 4 Argon ha intercettato 90 dei 100 falsi e ha segnalato 45 delle 100 pagine autentiche. GPT-6.1 Sol Pro non ha segnalato nessuna pagina autentica e ha mancato 60 falsi. Ha intercettato solo il 5% delle pagine modificate da GPT-5.4 image, il generatore proprietario di OpenAI.
Questo è prevedibile. Un LLM giudica se un documento è plausibile, e una busta paga modificata dall'IA è plausibile per costruzione. La prova non risiede in ciò che dice la pagina, ma in come sono stati prodotti i suoi pixel. Inoltre, un modello generico invia ogni documento al suo provider; Holograin viene eseguito sui server di Holofin.
Gli AI-image detector open analizzano i pixel, ma sono addestrati su fotografie: volti, paesaggi, scene. Un documento scansionato è per lo più bianco piatto con glifi neri nitidi e artefatti di compressione, il che è molto al di fuori di ciò che hanno visto. Nei nostri primi test, un detector popolare ha valutato i documenti autentici tra 0.98 e 1.0 sulla sua scala "AI-generated". Un altro, tra i modelli open più potenti, riduce l'intera pagina a 384 pixel prima di valutarla, dimensione alla quale una busta paga è illeggibile; ha valutato quasi tutto vicino allo zero. Eseguito tile per tile alla massima risoluzione, questo secondo modello ha intercettato il 20% delle pagine modificate dall'IA all'1% di falsi positivi.
Addestrato su documenti finanziari
Holograin è un modello di visione addestrato specificamente su documenti finanziari: centinaia di migliaia di pagine di buste paga, estratti conto bancari e bilanci annuali, autentici e modificati dall'IA. Ogni pagina viene vista attraverso i canali con cui i documenti arrivano effettivamente, dalla scansione grezza alle foto del telefono, agli screenshot e alla nostra pipeline di upload, in modo che il modello impari la firma del generatore stesso, non gli artefatti di un singolo formato di file.
Tre proprietà lo distinguono dai detector general-purpose:
- Analisi a livello di regione a piena risoluzione. Holograin esamina ogni regione della pagina alla risoluzione nativa e isola l'area che porta la firma del generatore più forte, in modo che una pagina venga giudicata in base alla sua prova più sospetta, non su una media.
- Robusto alla ricompressione. Il suo rilevamento sopravvive alle trasformazioni che un documento subisce prima di raggiungerti: ricompressione JPEG, app di messaggistica, screenshot e conversione di formato.
- Calibrato per canale di acquisizione. Ogni canale ha la propria soglia di decisione, impostata su documenti autentici che il modello non ha mai visto nel training, in modo che il tasso di falsi positivi si mantenga indipendentemente dal modo in cui arriva un documento.
Risultati all'1% di falsi positivi
Ogni dato riportato di seguito è misurato in un singolo punto operativo: una soglia che segnala al massimo 1 pagina autentica su 100. Un tasso di intercettazione senza il suo tasso di falsi positivi non descrive un detector. Gli analisti smettono di leggere gli alert di uno strumento che segnala regolarmente richiedenti onesti, quindi impostiamo prima il tasso di falsi positivi e riportiamo il tasso di intercettazione che esso consente.
Per confronto, un AI-image detector open leader intercetta il 20% degli stessi documenti caricati.
Documenti modificati dall'IA intercettati
In base a come il documento ci ha raggiunto. In ogni caso, viene segnalato solo 1 documento autentico su 100.
Generatori su cui non è stato addestrato
Nuovi modelli di immagini vengono rilasciati ogni mese, quindi il risultato che conta di più è sui generatori che il detector non ha mai visto. Un elenco dei generatori in un training set descrive ciò che un modello ha già visto, non come gestirà il prossimo.
Abbiamo tenuto GPT-5.4 image completamente fuori dal training. Holograin ha intercettato il 95% delle sue modifiche dopo l'upload. Altri due generatori che non aveva mai visto:
Generatori mai visti nel training
Una modifica a pagina intera per documento di test, soglia di produzione.
| Modello di immagini | Intercettato dopo l'upload su Holofin |
|---|---|
| Nano Banana Pro | 84% |
| Gemini 3.1 Flash-Lite Image | 82% |
| GPT-5 Image | si è rifiutato di modificare documenti finanziari |
La nostra copertura misurata oggi riguarda i modelli di immagini di Google e OpenAI. Non rivendichiamo risultati su famiglie che non abbiamo misurato.
Parte di ogni analisi antifrode
Holograin viene eseguito automaticamente su documenti scansionati e foto in ogni analisi antifrode di Holofin, insieme alla verifica della provenienza, alla file forensics e ai controlli dei contenuti. Una segnalazione invia il documento a un revisore con le relative prove. Non rifiuta mai una richiesta in autonomia.
Domande
Quali generatori rileva Holograin?
I modelli di immagini Gemini di Google, tra cui Nano Banana, e i modelli di immagini di OpenAI. GPT-5.4 image, tenuto fuori dal training, viene intercettato il 95% delle volte dopo l'upload. Altre famiglie non sono state misurate.
Con quale frequenza segnala un documento autentico?
Circa 1 su 100, per ogni canale attraverso cui può arrivare un documento. Una segnalazione va a un revisore e non rifiuta mai un file in autonomia.
Uno screenshot o una ricompressione rimuovono le tracce?
No. Holograin intercetta il 97% delle pagine modificate dall'IA dopo uno screenshot da telefono e il 90% dopo l'upload e la conversione.
Controlla i documenti d'identità?
No. Non è stato né addestrato né misurato su di essi.
Dove viene eseguita l'analisi?
Holograin viene eseguito sui server proprietari di Holofin. La valutazione di una pagina non la invia ad alcun provider di modelli di terze parti.
Riepilogo
Holograin è stato addestrato su centinaia di migliaia di pagine di documenti finanziari, attraverso gli stessi canali con cui ci raggiungono, e ogni risultato è riportato a 1 falso positivo su 100. Regge il confronto su generatori che non ha mai visto nel training.
La pagina del modello, con esempi prima e dopo su documenti fittizi, si trova su Holograin. Un modello di immagini può ridisegnare una busta paga che nessun revisore può contestare a occhio nudo. Lascia comunque una texture misurabile nei pixel, e Holograin è addestrato per trovarla.
Articoli correlati
Un deepfake può sembrare reale. Ma deve comunque essere vero.
Un falsario può lavare via ogni traccia di come è stato creato un documento: stamparlo, scansionarlo di nuovo, rigenerarlo con un modello di immagini. Ciò che il documento dichiara sopravvive al lavaggio, e una dichiarazione può essere verificata. Ecco come controlliamo queste dichiarazioni, dove i nostri stessi controlli ci hanno scottato all'inizio, e i due numeri che ci mantengono onesti.
Il tuo estrattore di tabelle ha superato il test. I numeri no.
Una revisore apre il tuo risultato di estrazione per uno stato patrimoniale. Il modello mostra una precisione per cella del 99,2%. Impressionante. Poi calcola il totale della colonna delle attività a mano, come fanno i revisori, e ottiene un numero sfasato di una riga. Le attività non sono più uguali alle passività più il patrimonio netto. Il bilancio non quadra.
Rilevamento frodi documentali: Cosa un PDF non può nascondere
Pensavamo che la frode documentale fosse un problema visivo. Font sbagliati. Colonne disallineate. Un logo che sembrava leggermente fuori posto. Abbiamo costruito controlli basati su ciò che gli umani vedono, perché ciò che gli umani vedono era tutto ciò che avevamo.