[論文レビュー] Evading DeepFake Detectors via Adversarial Statistical Consistency

Yang Hou, Qing Guo+4 more|arXiv (Cornell University)|Apr 23, 2023

Advanced Image Processing Techniques被引用数 4

ひとこと要約

本稿では、分布に配慮した損失関数を用いて、偽物と本物の画像間の統計的差を最小化することで、DeepFake検出器を回避する新しい敵対的攻撃法であるStatAttackを提案する。この手法は、露出、ぼかし、ノイズといった自然な劣化を敵対的に適用することで、空間的および周波数的検出器の両方において高い転送性を達成し、白ボックスおよびブラックボックス設定においてベースライン攻撃を著しく上回る性能を発揮する。

ABSTRACT

In recent years, as various realistic face forgery techniques known as DeepFake improves by leaps and bounds,more and more DeepFake detection techniques have been proposed. These methods typically rely on detecting statistical differences between natural (i.e., real) and DeepFakegenerated images in both spatial and frequency domains. In this work, we propose to explicitly minimize the statistical differences to evade state-of-the-art DeepFake detectors. To this end, we propose a statistical consistency attack (StatAttack) against DeepFake detectors, which contains two main parts. First, we select several statistical-sensitive natural degradations (i.e., exposure, blur, and noise) and add them to the fake images in an adversarial way. Second, we find that the statistical differences between natural and DeepFake images are positively associated with the distribution shifting between the two kinds of images, and we propose to use a distribution-aware loss to guide the optimization of different degradations. As a result, the feature distributions of generated adversarial examples is close to the natural images.Furthermore, we extend the StatAttack to a more powerful version, MStatAttack, where we extend the single-layer degradation to multi-layer degradations sequentially and use the loss to tune the combination weights jointly. Comprehensive experimental results on four spatial-based detectors and two frequency-based detectors with four datasets demonstrate the effectiveness of our proposed attack method in both white-box and black-box settings.

研究の動機と目的

• 敵対的攻撃に対して脆弱であるDeepFake検出器の課題を解決するため、転送可能な攻撃手法を開発すること。
• 空間的および周波数的領域における本物と偽物の画像間の統計的差を低減することで、検出の鍵となる特徴を是正すること。
• 偽物画像の特徴分布を本物画像のものに合わせることで、多様なDeepFake検出器間での攻撃の転送性を向上させること。
• 高品質を維持しながら検出を回避できる、より自然な見た目の敵対的例を生成すること。

提案手法

• 偽物画像に敵対的に適用するための摂動タイプとして、露出、ぼかし、ノイズの3つの統計的感受性の高い自然な劣化を選定する。
• 偽物画像と本物画像の特徴分布の距離を最小化する分布に配慮した損失関数を導入し、統計的差を低減する。
• 敵対的最適化の過程でこの損失関数を適用し、劣化の注入をガイドすることで、結果として得られる敵対的例が本物画像と統計的に整合するようにする。
• 複数層にわたる劣化適用を可能にする拡張版であるMStatAttackを提案し、各層における劣化重みを統合最適化する。
• 反復的最適化を用いて劣化の適用を精緻化し、リアルさと攻撃成功確率を向上させる。
• 白ボックス攻撃フレームワークを用いて、未確認の検出器に対しても効果的に転送可能な敵対的例を生成する。

実験結果

リサーチクエスチョン

• RQ1 自然な劣化を敵対的に適用することで、偽物と本物の画像間の統計的差を効果的に低減できるか？
• RQ2 偽物と本物画像の特徴分布のずれを最小化することで、異なる検出器間での攻撃の転送性がどのように向上するか？
• RQ3 分布に配慮した損失関数は、敵対的DeepFake例のリアルさと検出回避能力をどの程度向上させられるか？
• RQ4 適応的重みチューニングを伴う多層劣化（MStatAttack）は、単層劣化と比較して、より効果的で自然な見た目の敵対的例を生成できるか？
• RQ5 提案手法は、多様な検出器およびデータセットにおいて、白ボックスおよびブラックボックス設定の両方で高い成功率を達成できるか？

主な発見

• 白ボックス設定では、4つの空間的検出器で90％以上の攻撃成功確率を達成し、2つの周波数的検出器では80％以上を記録した。
• ブラックボックス設定でも、未確認のモデルを攻撃する際、空間的検出器では70％を超える成功確率、周波数的検出器では60％を超える成功確率を維持した。
• VMIFGSMなどのベースライン攻撃と比較して顕著に優れており、一部の検出器では転送成功確率が最大40ポイント向上した。
• BRISQUEスコアが低く（例：22.5–25.0）、外観的歪みが最小限であることが示され、画像品質が保持されている。
• アブレーションスタディの結果、敵対的ぼかしと露出が、特に周波数的検出器において、転送性に最も大きな影響を与えることが確認された。
• MStatAttackは、可視化と未確認検出器における高い攻撃成功確率から、StatAttackに比べてより自然な見た目の敵対的例を生成できた。