[論文レビュー] ReFace: Real-time Adversarial Attacks on Face Recognition Systems

Shehzeen Hussain, Todd Huster+6 more|arXiv (Cornell University)|Jun 9, 2022

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

ReFaceは、U-Netに基づく敵対的変換ネットワーク（ATN）を改善した、顔認識システム向けのリアルタイムで高転送性を持つ敵対的攻撃フレームワークを提案する。PGDのような勾配ベースの手法とは異なり、ReFaceは1回の順伝播によって敵対的例をミリ秒単位で生成し、AWS Rekognitionでは16.4%のランク1精度低下、Azureでは50.1%の認証精度低下を達成しながら、PGDに比べて10,000倍の高速化を実現した。

ABSTRACT

Deep neural network based face recognition models have been shown to be vulnerable to adversarial examples. However, many of the past attacks require the adversary to solve an input-dependent optimization problem using gradient descent which makes the attack impractical in real-time. These adversarial examples are also tightly coupled to the attacked model and are not as successful in transferring to different models. In this work, we propose ReFace, a real-time, highly-transferable attack on face recognition models based on Adversarial Transformation Networks (ATNs). ATNs model adversarial example generation as a feed-forward neural network. We find that the white-box attack success rate of a pure U-Net ATN falls substantially short of gradient-based attacks like PGD on large face recognition datasets. We therefore propose a new architecture for ATNs that closes this gap while maintaining a 10000x speedup over PGD. Furthermore, we find that at a given perturbation magnitude, our ATN adversarial perturbations are more effective in transferring to new face recognition models than PGD. ReFace attacks can successfully deceive commercial face recognition services in a transfer attack setting and reduce face identification accuracy from 82% to 16.4% for AWS SearchFaces API and Azure face verification accuracy from 91% to 50.1%.

研究の動機と目的

• 入力ごとに反復最適化を必要とする勾配ベースの敵対的攻撃が、リアルタイム顔認識システムにおいて現実的でないという問題に対処すること。
• 高い欺瞞成功率を維持しながら、さまざまな顔認識モデルに高い転送性を持つリアルタイムの敵対的攻撃フレームワークを開発すること。
• 顔認識モデルの埋め込み空間に適応したアーキテクチャとトレーニング目的を採用することで、ATNベースの攻撃の性能を向上させること。
• AWS RekognitionやMicrosoft Azure Faceのような商用クラウドベースの顔認識APIに対する完全なブラックボックス設定におけるATN生成敵対的例の有効性を評価すること。

提案手法

• 1回の順伝播で敵対的摂動を生成できるU-Netに基づく敵対的変換ネットワーク（ATN）を提案し、リアルタイム攻撃生成を可能にする。
• 顔認識モデルの埋め込み空間を標的とした新しいトレーニング目的を設計し、クラス間距離を最小化し、クラス内クラスタリングの破壊を最大化することに焦点を当てる。
• 人間の知覚に近い画像パッチ類似度（LPIPS）と$L_\infty$制約を統合し、摂動が人間には見えにくく保たれつつも攻撃効果を維持できるようにする。
• 多様な顔認識モデル（例：ResNet、Inception-ResNet）のアンサンブルを用いてATNをトレーニングし、未知のアーキテクチャへの転送性を向上させる。
• スキップ接続とリサidualブロックを備えたResU-Netアーキテクチャを採用し、特徴再構成と敵対的摂動の質を向上させる。
• 白箱およびブラックボックス設定の両方で攻撃性能を検証し、リアルタイムデモや商用API上での評価を実施する。

実験結果

リサーチクエスチョン

• RQ1 順伝播型ニューラルネットワークベースのATNは、PGDのような反復的勾配ベース手法と同等の攻撃成功率を、リアルタイム顔認識攻撃で達成できるか？
• RQ2 未知の顔認識モデルを標的とした際、ATNが生成する敵対的例の転送性は、PGDが生成する例と比べてどの程度高いか？
• RQ3 多様な顔認識モデルでトレーニングされたATNは、ブラックボックス設定において未知のアーキテクチャへの転送性をどの程度向上できるか？
• RQ4 ATNが生成する敵対的例は、完全なブラックボックス環境下で、AWS Rekognition や Microsoft Azure Face のような商用クラウドホスティングの顔認識APIを効果的に回避できるか？

主な発見

• 提案されたResU-Net ATNは、摂動の大きさが同じ（$ε = 0.03$）条件下で、PGDと同等のホワイトボックス攻撃成功率を達成し、勾配ベース手法との性能差を埋めた。
• ReFaceは、ブラックボックス転送攻撃において、AWS Rekognitionの顔識別精度を82%から16.4%まで低下させ、高い転送性を示した。
• 同じ条件下で、Microsoft Azure Face APIでは50.1%の認証精度低下を達成し、性能を91%から50.1%まで低下させた。
• ReFaceはGPU上で2.83×10⁻³秒の時間で敵対的例を生成でき、PGDの3.73秒/枚に比べ10,000倍の高速化を達成した。
• ATNベースの攻撃は、PGDよりも未学習モデルへの転送性が高く、特に摂動の大きさが小さい（$ε = 0.02$）場合に顕著で、学習済み摂動関数のモデルに依存しない性質のおかげである。
• アンサンブルでトレーニングされたATNは、単一モデルATNやUAPよりも攻撃成功率と転送性で優れており、UAPに比べてはるかに低い歪みで同等の結果を達成できる。