[論文レビュー] PrivacyProber: Assessment and Detection of Soft-Biometric Privacy-Enhancing Techniques

Peter Rot, Peter Peer+1 more|arXiv (Cornell University)|Nov 16, 2022

Face recognition and analysis被引用数 4

ひとこと要約

本論文では、プライバシー強化された顔画像から抑圧されたソフトバイオメトリック属性（例：性別、年齢、民族）を回復するフレームワークであるPrivacyProberを紹介しており、最先端のプライバシーテクニックが属性再構築攻撃に対して脆弱であることを示している。さらに、訓練を要しない汎用的な検出器APENDを提案し、高い正確性でプライバシー強化画像を特定することで、バイオメトリクスプライバシーシステムにおける深刻な脅威ベクトルを明らかにした。

ABSTRACT

Soft-biometric privacy-enhancing techniques represent machine learning methods that aim to: (i) mitigate privacy concerns associated with face recognition technology by suppressing selected soft-biometric attributes in facial images (e.g., gender, age, ethnicity) and (ii) make unsolicited extraction of sensitive personal information infeasible. Because such techniques are increasingly used in real-world applications, it is imperative to understand to what extent the privacy enhancement can be inverted and how much attribute information can be recovered from privacy-enhanced images. While these aspects are critical, they have not been investigated in the literature. We, therefore, study the robustness of several state-of-the-art soft-biometric privacy-enhancing techniques to attribute recovery attempts. We propose PrivacyProber, a high-level framework for restoring soft-biometric information from privacy-enhanced facial images, and apply it for attribute recovery in comprehensive experiments on three public face datasets, i.e., LFW, MUCT and Adience. Our experiments show that the proposed framework is able to restore a considerable amount of suppressed information, regardless of the privacy-enhancing technique used, but also that there are significant differences between the considered privacy models. These results point to the need for novel mechanisms that can improve the robustness of existing privacy-enhancing techniques and secure them against potential adversaries trying to restore suppressed information.

研究の動機と目的

• ソフトバイオメトリックプライバシー強化技術の、属性回復攻撃に対する耐性を評価すること。
• プライバシー強化顔画像が、性別、年齢、民族などの抑圧された属性を逆方向に再構築可能かどうかを調査すること。
• さまざまなデータセットや技術にわたって、プライバシー強化画像を識別可能な汎用的で訓練を要しない検出手法を開発すること。
• 敵対的回復攻撃下におけるプライバシーモデルの実世界での信頼性を評価し、ゼロ効率評価を超えて検証すること。

提案手法

• プライバシー強化顔画像からソフトバイオメトリック属性を再構築するための深層学習ベースの属性回復モデルを用いたPrivacyProberというフレームワークを提案する。
• 元の画像で訓練された複数の属性分類器（例：性別、年齢、民族）を用い、プライバシー強化入力から抑圧された属性を推定する。
• 再訓練を必要とせず、回復画像と元の入力からの予測を比較することで、プライバシー強化の有無を検出するAPENDという検出手法を導入する。
• 複数回の回復試行における証拠の集約を用いて、特に信号が弱いまたはアーティファクトが多い状況でも検出の耐性を向上させる。
• ブラックボックス仮定のもとで、LFW、MUCT、Adienceの3つの公開データセットにわたってフレームワークを適用し、一般化性を確保する。
• 検出における偽陽性と偽陰性のバランスをとるために、等誤り率（EER）におけるしきい値ベースの意思決定ルールを採用する。

実験結果

リサーチクエスチョン

• RQ1 最先端のプライバシーテクニックを用いて、プライバシー強化顔画像からどの程度のソフトバイオメトリック属性が回復可能か？
• RQ2 敵対的摂動や生成モデルなどの異なるプライバシー強化モデルにおいて、属性回復のパフォーマンスはどのように変化するか？
• RQ3 訓練を要しない汎用的な検出手法を開発可能か？ これは、下位のプライバシーテクニックやデータ分布に関係なく、プライバシー強化画像を識別可能であることを意味する。
• RQ4 画像品質やアーティファクトは、プライバシー検出および属性回復の信頼性にどのような影響を与えるか？
• RQ5 異なるプライバシーモデルは、視覚的影響と残存情報漏洩の観点から、どのように比較できるか？

主な発見

• PrivacyProberは、テストされたすべてのプライバシーテクニックにおいて、抑圧されたソフトバイオメトリック属性の大部分を成功裏に回復した。これは、現在の手法が標的の回復攻撃に対して耐性が低いことを示している。
• 生成モデルであるFlowSAN–3とFlowSAN–5は、k–AAP や FGSM などの敵対的手法と比較して、属性回復に対して著しく高い耐性を示した。
• APENDは、データセット全体で平均AUC 0.940を達成し、k–AAPを用いたAdienceデータセットではPREMを23%以上上回る性能を示した。これは、証拠集約の有効性を裏付けている。
• APENDはブラックボックス仮定下でも高い正確性でプライバシー強化を検出でき、多様なデータ特性やプライバシーモデルにわたって良好に一般化した。
• APENDの失敗事例の主な原因は、画像アーティファクトや画像品質の悪さであり、これらは正確な属性回復を妨げ、誤検出を引き起こした。
• 本研究により、深刻な脅威ベクトルが明らかになった：プライバシー強化画像は、代替的でアーティファクトに敏感でない処理パイプラインを用いることで、信頼性高く検出可能であり、さらには悪用可能である可能性がある。