[論文レビュー] Adversarial Image Translation: Unrestricted Adversarial Examples in Face Recognition Systems

Kazuya Kakizaki, Kosuke Yoshida|arXiv (Cornell University)|May 9, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用数 11

ひとこと要約

本稿では、顔認識における制限のない adversarial examples を生成するための新規手法を提案する。画像変換を活用して、髪の色、化粧、眼鏡などの顔の特徴を、大きな知覚的に現実的な摂動を伴って転送する。この手法は白ボックス設定で約90%、ブラックボックス設定で約80%の攻撃成功率を達成し、大規模な摂動が認証半径を超過するため、最先端の認証防御を回避する。

ABSTRACT

Thanks to recent advances in deep neural networks (DNNs), face recognition systems have become highly accurate in classifying a large number of face images. However, recent studies have found that DNNs could be vulnerable to adversarial examples, raising concerns about the robustness of such systems. Adversarial examples that are not restricted to small perturbations could be more serious since conventional certified defenses might be ineffective against them. To shed light on the vulnerability to such adversarial examples, we propose a flexible and efficient method for generating unrestricted adversarial examples using image translation techniques. Our method enables us to translate a source image into any desired facial appearance with large perturbations to deceive target face recognition systems. Our experimental results indicate that our method achieved about $90$ and $80\%$ attack success rates under white- and black-box settings, respectively, and that the translated images are perceptually realistic and maintain the identifiability of the individual while the perturbations are large enough to bypass certified defenses.

研究の動機と目的

• 顔認識システムが、大きな知覚的に現実的な摂動を伴う制限のない adversarial examples に対してどれほど脆弱であるかを調査すること。
• 微小で目立たない摂動に依存しない、柔軟で効率的な制限のない adversarial examples の生成手法を開発すること。
• ランダムスムージングに基づく認証防御が、大規模摂動攻撃に対してどれほど耐性を持つかを評価すること。
• 生成された adversarial 画像が人間の観察者にとって元の人物を識別可能に保っていることを確認すること。
• 白ボックスおよびブラックボックス攻撃設定下での、手法の転送性と有効性を示すこと。

提案手法

• 画像変換モデルを用いて、元の画像の顔の特徴（例：金髪、化粧、眼鏡）を、大きな変化を伴ってターゲットドメインに変換する。
• ドメイン条件付き生成モデルを用いて、アイデンティティ特徴を保持したまま画像間変換を実行する。
• ターゲットモデルの挙動を模倣することで、ブラックボックス攻撃の転送性を向上させる動的蒸留戦略を採用する。
• 比較のための認証防御ベースラインを構築するために、ガウスノイズを用いたランダムスムージングを適用する。
• L2ノルム分析を用いて摂動の大きさを定量的に評価し、認証半径と比較する。
• アマゾン Mechanical Turk（AMT）を用いた人間のレーティングによる人間観察者による調査を通じて、アイデンティティ保持の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 画像変換技術は、認証防御を回避しつつ、アイデンティティの識別可能性を維持する制限のない adversarial examples を生成できるか？
• RQ2 提案手法は、顔認識システムに対する白ボックスおよびブラックボックス攻撃設定でどれほど有効であるか？
• RQ3 本手法が導入する摂動は、ランダムスムージングに基づく最先端の防御の認証半径を超過するか？
• RQ4 人間の観察者が、adversarial 画像を元の人物と同一と認識する程度はどの程度か？
• RQ5 本手法は、髪の色、化粧、眼鏡など複数の顔の特徴ドメインにおいて、多様な adversarial examples を生成できるか？

主な発見

• 本手法は、複数の顔の特徴ドメインにおいて、白ボックス設定で平均90%の攻撃成功率を達成した。
• ブラックボックス設定では、動的蒸留を用いて80%の攻撃成功率を達成し、優れた転送性を示した。
• 平均L2摂動の大きさは、髪の色で14,739、化粧で461,290,430、眼鏡で3,589,136であり、いずれもVGG16およびResNet50の認証半径630を超過した。
• 人間の知覚的評価調査では、76.6%の作業者が adversarial 画像が元の人物と同じアイデンティティを持つと判断した。
• 生成された adversarial 画像は知覚的に現実的であり、大きな摂動にもかかわらず、個人の識別可能性を維持していた。
• 本手法は、ランダムスムージングに基づく最先端の認証防御を、摂動が認証半径を超過するため、効果的に回避した。