[論文レビュー] Making GAN-Generated Images Difficult To Spot: A New Attack Against Synthetic Image Detectors.

Xinwei Zhao, Matthew C. Stamm|arXiv (Cornell University)|Apr 25, 2021

Digital Media Forensic Detection参考文献 45被引用数 5

ひとこと要約

本稿では、生成対向訓練された生成器を用いて、GANによって生成された画像に合成された痕跡を埋め込む、画期的な反フォレンジック攻撃を提案する。この手法により、最先端の検出モデルからも本物の画像と区別がつかなくなる。本手法は高い転送性を達成し、7種類の異なるGANに対して8つの最先端の検出CNNを効果的にだます。

ABSTRACT

Visually realistic GAN-generated images have recently emerged as an important misinformation threat. Research has shown that these synthetic images contain forensic traces that are readily identifiable by forensic detectors. Unfortunately, these detectors are built upon neural networks, which are vulnerable to recently developed adversarial attacks. In this paper, we propose a new anti-forensic attack capable of fooling GAN-generated image detectors. Our attack uses an adversarially trained generator to synthesize traces that these detectors associate with real images. Furthermore, we propose a technique to train our attack so that it can achieve transferability, i.e. it can fool unknown CNNs that it was not explicitly trained against. We demonstrate the performance of our attack through an extensive set of experiments, where we show that our attack can fool eight state-of-the-art detection CNNs with synthetic images created using seven different GANs.

研究の動機と目的

• GANによって生成された合成画像が誤情報の拡散を助長するという脅威の増大に対処すること。
• フォレンジック検出器（通常は深層ニューラルネットワーク）が敵対的攻撃に対して脆弱であるという問題を克服すること。
• 本物の画像に似た痕跡を備えたGAN画像を生成する反フォレンジック攻撃を開発することにより、検出を回避すること。
• 攻撃が転送可能であることを保証し、訓練中に使用されなかった未知の検出CNNをだます能力を持つこと。

提案手法

• 敵対的訓練された生成器を用いて、本物の画像に関連するフォレンジック痕跡を埋め込んだGAN生成画像を合成する。
• 攻撃は、ターゲット検出モデルが画像を本物と分類するように促す損失関数を用いて訓練される。
• 訓練中に、未確認の検出CNNに一般化できるように、転送性の目的関数が組み込まれる。
• 敵対的訓練を活用して生成器を最適化し、検出モデルのアーキテクチャや重みにアクセスせずに、検出器をだます画像を生成する。

実験結果

リサーチクエスチョン

• RQ1 最先端の検出モデルから区別がつかないGAN生成画像を生成する反フォレンジック攻撃を設計できるか？
• RQ2 訓練中に使われなかった異なる検出CNNに対して、攻撃の性能がどの程度転送されるか？
• RQ3 多様なGANアーキテクチャが生成する合成画像に対して、攻撃がどの程度一般化できるか？
• RQ4 敵対的訓練が反フォレンジック生成器の頑健性および転送性に与える影響は何か？

主な発見

• 提案された攻撃は、訓練中に使用されなかった8つの最先端の画像検出CNNを効果的にだますことに成功した。
• 攻撃は強く転送性を示し、異なるデータセットやアーキテクチャで訓練された未確認のCNNに対しても効果的に検出を回避した。
• 視覚的精度を高く維持しながら、本物の画像に似たフォレンジック痕跡を埋め込むことができ、リアルさを保った。
• 攻撃は7種類の異なるGANアーキテクチャに対して効果を示し、現在のGANベースの画像生成パイプラインに広く適用可能であることが示された。