[논문 리뷰] Evading DeepFake Detectors via Adversarial Statistical Consistency

Yang Hou, Qing Guo외 4명|arXiv (Cornell University)|2023. 04. 23.

Advanced Image Processing Techniques인용 수 4

한 줄 요약

이 논문은 분포 인식 손실을 사용하여 가짜 이미지와 진짜 이미지 간의 통계적 차이를 최소화함으로써 딥페이크 검출기를 회피하는 새로운 적대적 공격인 StatAttack를 제안한다. 이는 노이즈, 블러, 노출과 같은 자연스러운 열화를 적대적으로 적용하여 구현된다. 이 방법은 공간 기반 및 주파수 기반 검출기 모두에서 높은 전이성(transferability)을 달성하며, 화이트박스 및_BLK-박스 설정에서 기존의 공격보다 뚜렷이 뛰어나다.

ABSTRACT

In recent years, as various realistic face forgery techniques known as DeepFake improves by leaps and bounds,more and more DeepFake detection techniques have been proposed. These methods typically rely on detecting statistical differences between natural (i.e., real) and DeepFakegenerated images in both spatial and frequency domains. In this work, we propose to explicitly minimize the statistical differences to evade state-of-the-art DeepFake detectors. To this end, we propose a statistical consistency attack (StatAttack) against DeepFake detectors, which contains two main parts. First, we select several statistical-sensitive natural degradations (i.e., exposure, blur, and noise) and add them to the fake images in an adversarial way. Second, we find that the statistical differences between natural and DeepFake images are positively associated with the distribution shifting between the two kinds of images, and we propose to use a distribution-aware loss to guide the optimization of different degradations. As a result, the feature distributions of generated adversarial examples is close to the natural images.Furthermore, we extend the StatAttack to a more powerful version, MStatAttack, where we extend the single-layer degradation to multi-layer degradations sequentially and use the loss to tune the combination weights jointly. Comprehensive experimental results on four spatial-based detectors and two frequency-based detectors with four datasets demonstrate the effectiveness of our proposed attack method in both white-box and black-box settings.

연구 동기 및 목표

• 적대적 공격에 취약한 딥페이크 검출기의 취약점을 해결하기 위해 전이 가능한 공격 방법을 개발하는 것.
• 공간 및 주파수 도메인에서 진짜 이미지와 가짜 이미지 간의 통계적 차이를 줄이는 것. 이는 핵심 검출 신호이기 때문이다.
• 가짜 이미지의 특징 분포를 진짜 이미지의 특징 분포와 일치시킴으로써 다양한 딥페이크 검출기 간의 공격 전이성을 향상시키는 것.
• 높은 이미지 품질을 유지하면서도 탐지 회피가 가능한 더 자연스러운 적대적 예제를 생성하는 것.

제안 방법

• 가짜 이미지에 적대적으로 적용할 수 있는 통계적으로 민감한 세 가지 자연스러운 열화 유형—노출, 블러, 노이즈—를 선택한다.
• 가짜 이미지와 진짜 이미지의 특징 분포 간의 거리를 최소화하기 위해 분포 인식 손실 함수를 도입한다. 이를 통해 통계적 차이를 감소시킨다.
• 적대적 최적화 과정 중에 손실 함수를 적용하여 열화 삽입을 이끌어내며, 결과적으로 통계적으로 진짜 이미지와 일치하는 적대적 예제를 확보한다.
• 다중층 열화 적용이 가능한 확장형 MStatAttack을 제안하며, 층 간의 열화 가중치를 함께 최적화한다.
• 반복 최적화를 통해 열화 적용을 정교화함으로써 현실감과 공격 성공률을 향상시킨다.
• 화이트박스 공격 프레임워크를 사용하여, 미리 보지 못한 검출기로도 효과적으로 전이되는 적대적 예제를 생성한다.

실험 결과

연구 질문

• RQ1 자연스러운 열화를 적대적으로 적용하는 것이 진짜 이미지와 가짜 이미지 간의 통계적 차이를 효과적으로 줄일 수 있는가?
• RQ2 가짜 이미지와 진짜 이미지의 특징 분포 간의 이탈을 최소화하면 다양한 검출기 간의 공격 전이성이 어떻게 향상되는가?
• RQ3 분포 인식 손실이 적대적 딥페이크 예제의 현실감과 탐지 회피 능력을 어느 정도 향상시킬 수 있는가?
• RQ4 다중층 열화와 적응형 가중치 조정(MStatAttack)은 단일층 열화보다 더 효과적이고 자연스러운 적대적 예제를 생성하는가?
• RQ5 제안된 공격은 다양한 검출기 및 데이터셋에서 화이트박스 및 블랙박스 설정 모두에서 높은 성공률을 달성할 수 있는가?

주요 결과

• 화이트박스 설정에서 StatAttack는 네 개의 공간 기반 검출기에서 90% 이상의 공격 성공률, 두 개의 주파수 기반 검출기에서 80% 이상의 성공률를 기록했다.
• 블랙박스 설정에서도 StatAttack는 높은 전이성을 유지하였으며, 미리 보지 못한 모델을 공격할 때 공간 기반 검출기에서는 70% 이상, 주파수 기반 검출기에서는 60% 이상의 성공률 기록했다.
• VMIFGSM과 같은 기존 공격보다 뚜렷이 뛰어나며, 일부 검출기에서는 전이 성공률이 최대 40%포인트 상승했다.
• 낮은 BRISQUE 점수(예: 22.5–25.0)로 인해 이미지 품질이 유지되었으며, 이는 미미한 시각적 왜곡을 의미한다.
• 절단 분석 결과, 적대적 블러와 노출이 전이성 향상에 가장 큰 영향을 미치며, 특히 주파수 기반 검출기에서 두드러진다.
• MStatAttack는 시각적 결과와 더 높은 공격 성공률을 통해 StatAttack보다 더 자연스럽고 효과적인 적대적 예제를 생성한다.