[논문 리뷰] Defending against GAN-based Deepfake Attacks via Transformation-aware Adversarial Faces

Chaofei Yang, Lei Ding외 2명|arXiv (Cornell University)|2020. 06. 12.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 5

한 줄 요약

이 논문은 훈련 중에 합성된 얼굴의 품질을 떨어뜨리는 변환 인식형 적대적 얼굴을 생성하여 GAN 기반 딥페이크 공격에 대한 공격적 방어를 제안한다. 다양한 가시성 있는 무작위 이미지 변환과 앙상블 전략을 통합함으로써, 이 방법은 시각적 잡음과 탐지 가능성 증가를 유도하여 화이트박스, GRAY박스, 블랙박스 설정 전반에서 생성된 가짜 얼굴의 현실성과 내구성을 크게 감소시킨다.

ABSTRACT

Deepfake represents a category of face-swapping attacks that leverage machine learning models such as autoencoders or generative adversarial networks. Although the concept of the face-swapping is not new, its recent technical advances make fake content (e.g., images, videos) more realistic and imperceptible to Humans. Various detection techniques for Deepfake attacks have been explored. These methods, however, are passive measures against Deepfakes as they are mitigation strategies after the high-quality fake content is generated. More importantly, we would like to think ahead of the attackers with robust defenses. This work aims to take an offensive measure to impede the generation of high-quality fake images or videos. Specifically, we propose to use novel transformation-aware adversarially perturbed faces as a defense against GAN-based Deepfake attacks. Different from the naive adversarial faces, our proposed approach leverages differentiable random image transformations during the generation. We also propose to use an ensemble-based approach to enhance the defense robustness against GAN-based Deepfake variants under the black-box setting. We show that training a Deepfake model with adversarial faces can lead to a significant degradation in the quality of synthesized faces. This degradation is twofold. On the one hand, the quality of the synthesized faces is reduced with more visual artifacts such that the synthesized faces are more obviously fake or less convincing to human observers. On the other hand, the synthesized faces can easily be detected based on various metrics.

연구 동기 및 목표

• 고품질의 가짜 콘텐츠가 생성되기 이전에 GAN 기반 딥페이크 모델의 품질을 사전에 떨어뜨리는 공격적 방어 메커니즘을 개발하기 위해.
• 수동 탐지 방법의 한계를 보완하기 위해 고품질의 가짜 얼굴이 처음부터 생성되지 않도록 방지하기 위해.
• 블랙박스 설정에서 GAN 기반 딥페이크 변종에 대한 내구성을 앙상블 기반 접근법을 통해 향상시키기 위해.
• 합성된 얼굴 품질 저하에 기여하는 주요 손실 구성 요소—적대적 손실과 에지 손실—를 특정하기 위해.

제안 방법

• 사전 훈련된 딥페이크 모델의 디스criminator를 사용하여 적대적으로 훼손된 얼굴을 생성하고, 훈련 중에 가시성 있는 무작위 이미지 변환을 통합하여 내구성을 향상시킨다.
• 다중 단계의 편향 조정(예: PGD-01, PGD-005)을 적용한 PGD 기반 적대적 훈련을 통해 변환 제약 조건 하에서 최적화된 편향을 도출한다.
• 여러 적대적 얼굴 생성 방법을 조합하는 앙상블 기반 방어 전략을 사용하여 블랙박스 설정에서의 일반화 능력을 향상시킨다.
• 실제 세계의 데이터 증강을 시뮬레이션하기 위해 적대적 훈련 과정 중에 무작위 이미지 변환(예: 회전, 스케일링, 자르기)을 가시성 있는 연산으로 통합한다.
• ManTra-Net과 같은 일반적인 위조 탐지기에서 유도된 지표인 AIH(평균 내부 클래스 동질성)와 ATI(평균 최상위 강도)를 사용하여 합성된 얼굴의 탐지 가능성을 평가한다.
• 적대적으로 훼손된 얼굴을 기반으로 딥페이크 모델을 훈련하고, 다양한 해상도 및 얼굴 쌍 조합에서 시각적 잡음과 탐지 가능성을 평가한다.

실험 결과

연구 질문

• RQ1 변환 인식형 적대적 얼굴은 다양한 공격 설정에서 GAN 기반 딥페이크로 생성된 얼굴의 품질을 효과적으로 떨어뜨릴 수 있는가?
• RQ2 가시성 있는 무작위 이미지 변환을 통합함으로써 블랙박스 설정에서 적대적 얼굴 방어의 내구성이 어떻게 향상되는가?
• RQ3 관찰된 합성된 얼굴 품질 저하에 기여하는 주요 손실 구성 요소는 무엇인가?
• RQ4 ManTra-Net과 같은 일반적인 위조 탐지 모델을 사용할 때, 제안된 방어 방법이 탐지 가능성을 얼마나 향상시킬 수 있는가?
• RQ5 앙상블 기반 접근법은 개별 적대적 훈련 전략 대비 방어 성능을 향상시키는가?

주요 결과

• PGD-01 방법은 8개 테스트 케이스 중 5개에서 가장 높은 AIH 점수를 기록하여 화이트박스 설정에서 합성된 얼굴 품질 저하에 있어 뛰어난 성능을 입증했다.
• 화이트박스 설정에서 PGD-01은 원본 모델 대비 평균 28% 향상된 ATI 점수를 기록하여 ManTra-Net에 의한 탐지 가능성 향상이 뚜렷하게 나타났다.
• 블랙박스 설정에서 앙상블 기반 방법(Lite-Ens)은 8개 케이스 중 5개에서 가장 높은 AIH를 기록하여 알려지지 않은 공격 모델에 대한 강건성을 확인했다.
• 적대적 손실과 에지 손실이 합성된 얼굴 품질 저하의 주요 원인으로 규명되었으며, 높은 값일수록 더 뚜렷한 잡음이 관찰되었다.
• 이 방어 방법은 합성된 얼굴의 현실성을 일관되게 감소시켜, 모든 해상도 및 얼굴 쌍 조합에서 다양한 지표를 통해 더 명확하게 시각적으로 탐지 가능하게 만들었다.
• 블랙박스 설정에서도 Lite-Ens 버전이 단일 방법 기반 베이스라인보다 뛰어난 성능을 보였으며, 이는 앙상블 전략이 일반화 능력과 내구성을 향상시킨다는 것을 보여주었다.