[論文レビュー] LowKey: Leveraging Adversarial Attacks to Protect Social Media Users from Facial Recognition

Valeriia Cherepanova, Micah Goldblum+5 more|arXiv (Cornell University)|May 3, 2021

Adversarial Robustness in Machine Learning参考文献 20被引用数 52

ひとこと要約

LowKeyは、顔認識API（Amazon RekognitionやMicrosoft Azure Faceなど）の全処理パイプラインに適合した画像レベルの摂動を適用することで、商用顔認識APIの性能を著しく低下させる実用的な対抗防御を提案する。両システムとも正解率が1%未満に低下し、実際の産業応用に有効であることが示された。

ABSTRACT

Facial recognition systems are increasingly deployed by private corporations, government agencies, and contractors for consumer services and mass surveillance programs alike. These systems are typically built by scraping social media profiles for user images. Adversarial perturbations have been proposed for bypassing facial recognition systems. However, existing methods fail on full-scale systems and commercial APIs. We develop our own adversarial filter that accounts for the entire image processing pipeline and is demonstrably effective against industrial-grade pipelines that include face detection and large scale databases. Additionally, we release an easy-to-use webtool that significantly degrades the accuracy of Amazon Rekognition and the Microsoft Azure Face Recognition API, reducing the accuracy of each to below 1%.

研究の動機と目的

• ソーシャルメディアのデータで学習された顔認識システムによる大規模監視の脅威に対処すること。
• 学術的ベンチマークではなく、本格的な産業用パイプラインに効果的な対抗防御を開発すること。
• 個人がソーシャルメディアプラットフォームでプライバシーを保護できる、実用的で使いやすいツールを構築すること。
• 対抗攻撃が、堅牢な事前処理と大規模データベースを備えた実世界の商用APIに対しても効果を発揮することを示すこと。

提案手法

• 顔検出および認識の各段階を含む、全画像処理パイプラインをモデル化したカスタム対抗フィルタを設計する。
• リサイズ、クロッピング、正規化などの複数の画像変換段階にわたって、摂動が耐性を持つように最適化する。
• 顔認識性能を低下させる微細で人間には識別できない画像変更を生成するようにフィルタを訓練・デプロイする。
• 一般利用を想定したウェブベースのツールにフィルタを統合し、ユーザーが画像をアップロードして対抗的に摂動を加えたバージョンを取得できるようにする。
• 実際の状況下で、Amazon Rekognition や Microsoft Azure Face といった産業用APIに対して、この手法をテストする。
• 一般的な画像圧縮やウェブ送信形式による処理後も、摂動が有効であることを保証する。

実験結果

リサーチクエスチョン

• RQ1 顔認識システムが堅牢な事前処理と大規模データベースを備えている場合でも、対抗摂動は本格的な商用顔認識システムに対して有効であるか？
• RQ2 Amazon Rekognition や Microsoft Azure Face といった実世界のAPIに対して対抗攻撃を適用した場合、その性能はどの程度低下するか？
• RQ3 技術的知識が不要な使いやすいウェブツールは、ソーシャルメディア利用者を顔認識から効果的に保護できるか？
• RQ4 パイプラインに配慮した対抗アプローチを用いることで、顔認識の正解率をどの程度まで低下させられるか？
• RQ5 ソーシャルメディアワークフローで一般的な画像変換処理に対して、対抗摂動はどの程度耐性を示すか？

主な発見

• 対抗フィルタにより、テスト画像に対するAmazon Rekognitionの正解率が1%未満に低下した。
• 同じフィルタにより、Microsoft Azure Face Recognition APIの性能も1%未満の正解率にまで低下した。
• 画像圧縮や一般的なウェブ送信形式の処理後も、摂動の有効性が維持された。
• ウェブツールにより、技術的知識のないユーザーでも、ソーシャルメディアの画像に容易に対抗摂動を適用できるようになった。
• 顔検出および埋め込み抽出の各段階を含め、顔認識パイプラインの複数の段階にわたり、本手法の耐性が確認された。
• 産業用顔認識システムが、適切に設計されたパイプラインに配慮した対抗攻撃に対して脆弱であることが実証された。