[論文レビュー] Defeating Image Obfuscation with Deep Learning

Richard McPherson, Reza Shokri+1 more|arXiv (Cornell University)|Sep 1, 2016

Digital Media Forensic Detection参考文献 8被引用数 83

ひとこと要約

この論文は、深層ニューラルネットワークが、モザイキング、ぼかし、P3形式のJPEG係数暗号化によってぼかされた画像から顔、物体、手書き数字を効果的に回復できることを示している。人間が識別不能とされる画像でも、顔認識において最大97%の正確性を達成しており、現代のAIに対しては、こうしたぼかし手法が信頼できるプライバシー保護を提供しないことが明らかになった。

ABSTRACT

We demonstrate that modern image recognition methods based on artificial neural networks can recover hidden information from images protected by various forms of obfuscation. The obfuscation techniques considered in this paper are mosaicing (also known as pixelation), blurring (as used by YouTube), and P3, a recently proposed system for privacy-preserving photo sharing that encrypts the significant JPEG coefficients to make images unrecognizable by humans. We empirically show how to train artificial neural networks to successfully identify faces and recognize objects and handwritten digits even if the images are protected using any of the above obfuscation techniques.

研究の動機と目的

• 現代の深層学習モデルが、一般的なプライバシー保護技術を用いてぼかされた画像から機微な情報を推定できるかどうかを調査すること。
• モザイキング、ぼかし、P3暗号化が、ニューラルネットワークによる自動認識からプライバシーを保護する効果があるかどうかを評価すること。
• 人間が識別不能とされることがプライバシー保護を意味するという仮定を、高度なAIの前では疑わしいとすること。
• ぼかされた画像に残存する相関関係が、深層学習モデルによってどのように情報漏洩を引き起こすかを定量化すること。

提案手法

• 標準的な画像認識データセット（MNIST、CIFAR-10、AT&T、FaceScrub）のぼかされたバージョンを用いて、深層畳み込みニューラルネットワーク（CNN）を訓練した。
• 3種類のぼかし手法を適用した：さまざまな窓サイズのモザイキング（ピクセル化）、YouTubeで使用される顔のぼかし、重要なJPEG係数に対するP3暗号化。
• 事前特徴工学を一切行わず、ぼかされた画像から直接表現を学ぶエンドツーエンドの学習を実施した。
• ニューラルネットワークが、目に見える部分とぼかされた部分の間の隠れた相関関係（例：無視されがちなJPEG係数と重要な係数の関係）を自動で発見できることを活用した。
• 分類タスクにおける標準的な指標（トップ1およびトップ5の正確性）を用いてモデルの性能を評価した。
• 攻撃の統計的有意性を示すために、ランダムな推測のベースラインと比較した。

実験結果

リサーチクエスチョン

• RQ1 人間が識別不能とされるほどモザイキングやぼかし処理が施された画像において、深層ニューラルネットワークは顔や物体を正確に認識できるか？
• RQ2 JPEG係数をP3形式で暗号化することで、ニューラルネットワークによる推定からプライバシーがどれほど保護されるか？
• RQ3 構造的・視覚的に整合性を保ったままのぼかされた画像に、元の画像の内容に関するどの程度の情報が残存しているか？
• RQ4 ぼかし処理の種別や強度によって、ニューラルネットワークによるぼかし内容の回復性能がどのように変化するか？
• RQ5 あるデータセットで学習したモデルが、他のデータセットのぼかし内容を認識できるかどうかを検証することで、普遍的な脆弱性があるかどうかを示せるか？

主な発見

• MNISTデータセットでは、閾値20のP3暗号化画像から、深層ニューラルネットワークが79.8%の正確性を達成し、10%のランダム推測ベースラインを大幅に上回った。
• 8×8のモザイキングでは、MNISTで80%以上の正確性を達成し、再びランダム推測を著しく上回った。
• AT&T顔データセットでは、P3暗号化画像（閾値20）に対して97%の正確性、モザイキングに対して95%以上の正確性を達成した。ランダム推測の2.5%と比べて顕著な差が見られた。
• FaceScrubデータセットでは、16×16モザイキングに対して57%の正確性、P3（閾値20）に対して40%の正確性を達成した。ランダム推測の0.19%と比べて顕著な差が見られた。
• CIFAR-10では、P3（閾値20）に対して75%、4×4モザイキングに対して70%、8×8モザイキングに対して50%の正確性を達成した。いずれも10%のベースラインを著しく上回った。
• 攻撃の成功要因は、ぼかし手法のメカニズムを事前に知らなくても、目に見える部分とぼかされた部分の間の隠れた相関関係をニューラルネットワークが学習できることに起因する。