[論文レビュー] Fawkes: Protecting Privacy against Unauthorized Deep Learning Models

Shawn Shan, Emily Wenger+4 more|arXiv (Cornell University)|Feb 19, 2020

Adversarial Robustness in Machine Learning参考文献 53被引用数 49

ひとこと要約

Fawkes はユーザーの写真に知覚できない覆いを追加して、許可されていない顔認識モデルを欺き、転移学習とゼロショット訓練の両方で高い保護率を達成します。一般的な設定で95％以上の保護、クリーンな画像が漏えいした場合は80％以上を示します。

ABSTRACT

Today's proliferation of powerful facial recognition systems poses a real threat to personal privacy. As Clearview.ai demonstrated, anyone can canvas the Internet for data and train highly accurate facial recognition models of individuals without their knowledge. We need tools to protect ourselves from potential misuses of unauthorized facial recognition systems. Unfortunately, no practical or effective solutions exist. In this paper, we propose Fawkes, a system that helps individuals inoculate their images against unauthorized facial recognition models. Fawkes achieves this by helping users add imperceptible pixel-level changes (we call them "cloaks") to their own photos before releasing them. When used to train facial recognition models, these "cloaked" images produce functional models that consistently cause normal images of the user to be misidentified. We experimentally demonstrate that Fawkes provides 95+% protection against user recognition regardless of how trackers train their models. Even when clean, uncloaked images are "leaked" to the tracker and used for training, Fawkes can still maintain an 80+% protection success rate. We achieve 100% success in experiments against today's state-of-the-art facial recognition services. Finally, we show that Fawkes is robust against a variety of countermeasures that try to detect or disrupt image cloaks.

研究の動機と目的

• 個人を許可されていない顔認識モデルやプライバシー侵害から保護する必要性を喚起する。
• 写真を最小限に歪ませつつ、トラッカーのモデル性能を劣化させる画像 cloaking システム（Fawkes）を提案する。
• 転移学習、ゼロショット訓練、および対策に対する覆いの頑健性を示す。

提案手法

• 知覚的予算内で各写真を摂動させ、元の画像との特徴空間の偏差を最大化することで、画像固有の cloaks を計算する。
• ターゲットクラス T と公開データセットを用いて、特徴空間におけるランドマークベースの最適化により cloaks の生成を導く。
• 知覚的歪み（DSSIM）を制約しつつ、覆いをかけた画像の特徴と遠距離ターゲットクラスの特徴間の距離を最小化するように摺動を最適化する。
• 摺動予算を課すペナルティ法を適用し、覆いを視覚的に知覚不可に保つ。
• ユーザーの画像とクラス中心との特徴空間距離の最小値を最大化することでターゲットクラスを選択する。
• 転移学習やゼロショット訓練を含む、トラッカーが同一・異なる・事前訓練済み特徴抽出器を使用する場合、または使用しない場合のシナリオで cloaks を評価する。

実験結果

リサーチクエスチョン

• RQ1 オンライン写真に cloaks を適用した場合、個人は許可されていないモデルに自分を認識されるのを確実に防げるか。
• RQ2 cloaks は異なる特徴抽出器とモデル訓練手法（転移学習 vs. 訓練から始める）で転移するか。
• RQ3 cloaks に対抗して cloaks を検出・撹乱する対策に対してどれくらい頑健か。
• RQ4 いくつかの未覆い画像が漏えいすることがプライバシー保護に与える影響はどうか。
• RQ5 現代の商用顔認識サービスに対する Fawkes の有効性はどれくらいか。

主な発見

• 覆いは、トラッカーの訓練方法に関係なく、ユーザー認識に対して95％を超える保護を達成する。
• クリーン（未覆い）画像が漏えいしても、覆いは80％以上の保護をもたらす。
• 評価設定で、Microsoft Azure Face API、Amazon Rekognition、Face++に対して覆いは100％の保護を達成する。
• cloaks は cloaks の検出や撹乱を目的としたさまざまな対策に対しても頑健である。
• 複数の特徴抽出器とデータセットにまたがり、DSSIM ~0.007 までの知覚予算を許容し、視覚的歪みはほとんどない。