[論文レビュー] Mitigating Adversarial Attacks in Deepfake Detection: An Exploration of Perturbation and AI Techniques

Saminder Dhesi, Laura Fontes+4 more|arXiv (Cornell University)|Feb 22, 2023

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、白색ボックスの摂動に基づく防御を通じて、敵対的攻撃に対してより頑健な対策を講じるカスタム畳み込みニューラルネットワーク（CNN）を提案する。モデルはDFDCデータセットで76.2%の精度を達成し、敵対的攻撃下での分類信頼度を顕著に低下させ、回避試みに対する改善された耐性を示している。

ABSTRACT

Deep learning constitutes a pivotal component within the realm of machine learning, offering remarkable capabilities in tasks ranging from image recognition to natural language processing. However, this very strength also renders deep learning models susceptible to adversarial examples, a phenomenon pervasive across a diverse array of applications. These adversarial examples are characterized by subtle perturbations artfully injected into clean images or videos, thereby causing deep learning algorithms to misclassify or produce erroneous outputs. This susceptibility extends beyond the confines of digital domains, as adversarial examples can also be strategically designed to target human cognition, leading to the creation of deceptive media, such as deepfakes. Deepfakes, in particular, have emerged as a potent tool to manipulate public opinion and tarnish the reputations of public figures, underscoring the urgent need to address the security and ethical implications associated with adversarial examples. This article delves into the multifaceted world of adversarial examples, elucidating the underlying principles behind their capacity to deceive deep learning algorithms. We explore the various manifestations of this phenomenon, from their insidious role in compromising model reliability to their impact in shaping the contemporary landscape of disinformation and misinformation. To illustrate progress in combating adversarial examples, we showcase the development of a tailored Convolutional Neural Network (CNN) designed explicitly to detect deepfakes, a pivotal step towards enhancing model robustness in the face of adversarial threats. Impressively, this custom CNN has achieved a precision rate of 76.2% on the DFDC dataset.

研究の動機と目的

• 深層フェイク検出システムにおける敵対的攻撃の増加する脅威が、モデルの信頼性と信頼性に与える影響を是正すること。
• 誤分類を引き起こす微細で目に見えない摂動に対して、ディープフェイク検出モデルの頑健性を向上させること。
• 白色ボックスの敵対的攻撃を用いた前もっての訓練と評価を通じて、モデルの耐性を強化する防御メカニズムを開発すること。
• メディアの完全性、レピュテーション管理、サイバーセキュリティにおけるディープフェイクの倫理的・実用的影響を検討すること。
• 動画フォレンジックスを越えて、ロボティクス分野における3次元オブジェクトの局所化など、より広範な分野への検出フレームワークの適用可能性を拡張すること。

提案手法

• 実写対フェイク動画の2値分類に特化したカスタム畳み込みニューラルネットワーク（CNN）アーキテクチャを設計する。
• 標的摂動を用いた白色ボックスの敵対的攻撃を適用し、現実世界の回避試みを模擬し、モデルの頑健性を評価する。
• 時間的依存性を捉えるために、フレームごとの分析を実施し、検出精度を向上させる。
• 訓練中のモデル精度とデータプライバシーのバランスを取るために、微分プライバシー技術を活用する。
• クロップ、圧縮、サブサンプリングされたネットワーク評価を適用し、敵対的入力に対するモデルの耐性を評価および向上させる。
• DFDCおよびCOVID-19関連のデータセットを訓練および評価に使用し、一貫性を保つために入力次元を標準化する。

Figure 1: Customised 7-layer CNN architecture. The network is composed of 3 convolutional layers, 3 fully connected layer and the classification layer.

実験結果

リサーチクエスチョン

• RQ1 標準モデルと比較して、敵対的摂動下でのディープフェイク検出において、カスタムCNNの有効性はどの程度か？
• RQ2 標的の白色ボックス敵対的攻撃は、ディープフェイク検出システムにおける分類信頼度をどの程度低下させるか？
• RQ3 摂動を用いた敵対的訓練により、回避攻撃に対するディープフェイク検出器の頑健性は向上するか？
• RQ4 実世界の応用において、AIベースのディープフェイク検出システムを導入する際の倫理的・社会的影響は何か？
• RQ5 提案手法は、音声・映像メディアにおける敵対的改ざんの検出や、自律システムなどの他の分野へどのように拡張可能か？

主な発見

• 提案されたCNNは、DFDCデータセットで76.2%の精度を達成し、ディープフェイク検出における強固なベースライン性能を示した。
• 白色ボックスの敵対的攻撃下では、実写対フェイクデータセットの分類確率が10.9から2.26e-18に低下し、モデルの深刻な脆弱性を示した。
• COVID-19データセットにおいても、敵対的摂動下で分類確率が11.1から1.46e-16に低下し、一貫したモデル劣化が確認された。
• 訓練時に敵対的摂動を活用することで、正しく予測された場合のモデルの信頼度が顕著に低下した。これは、頑健な防御メカニズムの必要性を強調している。
• 微分プライバシーとデータ洗練技術の統合により、情報漏洩が緩和され、モデルの一般化性能が向上した。
• この手法は、音声ディープフェイク検出やロボット工学における3次元オブジェクトの局所化への応用へも拡張可能であることが示され、より広範な適用可能性を示唆している。

Figure 2: The epochs and Accuracy on Real vs. Fake dataset with CNN model