[論文レビュー] Real-world adversarial attack on MTCNN face detection system

Kaziakhmedov, Edgar, Kireev, Klim+3 more|arXiv (Cornell University)|Oct 14, 2019

Face recognition and analysis被引用数 30

ひとこと要約

本稿では、実世界の変動（例：照明、ポーズ）に耐えるように最適化された、印刷可能なパッチを期待値変換（EoT）を用いて生成することで、MTCNN顔検出システムに対する物理的耐性を持つ悪意ある攻撃を提案する。この手法はMTCNNのP-Netコンponentを標的とし、実世界の変動に耐えるように最適化され、マスクや顔への直接適用において物理的実験で高い誤検出率を達成した。

ABSTRACT

Recent studies proved that deep learning approaches achieve remarkable results on face detection task. On the other hand, the advances gave rise to a new problem associated with the security of the deep convolutional neural network models unveiling potential risks of DCNNs based applications. Even minor input changes in the digital domain can result in the network being fooled. It was shown then that some deep learning-based face detectors are prone to adversarial attacks not only in a digital domain but also in the real world. In the paper, we investigate the security of the well-known cascade CNN face detection system - MTCNN and introduce an easily reproducible and a robust way to attack it. We propose different face attributes printed on an ordinary white and black printer and attached either to the medical face mask or to the face directly. Our approach is capable of breaking the MTCNN detector in a real-world scenario.

研究の動機と目的

• MTCNN顔検出システムが実世界の悪意ある攻撃に対してどれほど脆弱であるかを調査すること。
• 実世界の状況下でMTCNNを回避できる再現可能で頑健な悪意あるパッチを生成するための方法を開発すること。
• 距離、照明、顔のポーズの変化といった要因を含めた攻撃の有効性を評価すること。
• MTCNNのような非常に頑健な段階的畳み込みニューラルネットワーク検出器ですら、標的型実世界悪意ある例に対して脆弱であることを示すこと。
• 顔検出パイプラインにおける重要な攻撃表面を露呈させることで、今後の防御メカニズムの基盤を築くこと。

提案手法

• 実世界の変動（照明、スケール、頭部位置）を考慮した多様な画像バッチ上で、物理的耐性を向上させるために期待値変換（EoT）を用いて悪意あるパッチを訓練する。
• ラベル付きグリッドポイントから導かれる8つの係数を用いて、射影変換を適用し、矩形パッチを湾曲した表面（例：マスク、顔）にマッピングする。
• 初期顔検出を実行するMTCNNのP-Netコンponentを標的とすることで、最小限のアーキテクチャ的要件で攻撃効果を最大化する。
• 顔分類損失（L2およびLinf）、全変動損失（LT V）による滑らかさの維持、および手術用マスクへの暗色化を抑えるブラックペナルティ損失（LBLK）を含むマルチコンポonent損失関数を採用する。
• R-Netの入力からMTCNN特徴ピラミッド内の最も影響力のあるスケールを特定し、その周辺スケールを用いて攻撃の耐性を向上させる。
• 2000エポックにわたって損失の重み付き和 L = Σ(Lclfi + αLT V + βLBLK) を用いてパッチを最適化し、経験的に調整された係数を用いる。

実験結果

リサーチクエスチョン

• RQ1 悪意あるパッチはデジタルドメインから物理世界に効果的に転送可能であり、MTCNN顔検出を回避できるか？
• RQ2 EoT技術は、照明やポーズの変化といった実世界の変動に対して悪意あるパッチの耐性を向上させるのにどの程度有効か？
• RQ3 MTCNNのP-Netコンponentを標的とすることで、より効果的かつ効率的な攻撃表面が得られるか？
• RQ4 分類損失、全変動損失、ブラックペナルティ損失といった損失関数の選択が、悪意あるパッチの視覚的品質および物理的耐性にどのように影響するか？
• RQ5 実世界の動画シナリオにおいて、さまざまな距離や視点角で攻撃がどの程度成功するか？

主な発見

• 提案された攻撃は、全テストスケール要因において誤検出確率が著しく上昇し、物理的動画記録において平均確率が顕著に上昇した。
• 攻撃は手術用マスクおよび顔の頬への直接適用の両方で有効であったため、広範な物理的適用性を示した。
• EoTに基づくトレーニング戦略により、耐性が著しく向上し、照明や頭部位置の変化に対してもパッチの効果が維持された。
• 全変動損失およびブラックペナルティ損失の使用により、滑らかなトランジションと暗色化の低減を実現した視覚的に自然なパッチが得られ、物理的ステルス性が向上した。
• 攻撃は標的型であり、未確認の人物には転送されないため、特定の顔の幾何学的特徴とネットワーク挙動に依存していることが示された。
• 実験により、MTCNNピラミッド内の最も影響力のあるスケールを選択し、周辺スケールを補完することで攻撃成功率が顕著に向上することがわかった。