[논문 리뷰] Improving Transferability of Adversarial Patches on Face Recognition with Generative Models

Zihao Xiao, Xianfeng Gao외 6명|arXiv (Cornell University)|2021. 06. 29.

Adversarial Robustness in Machine Learning참고 문헌 26인용 수 5

한 줄 요약

이 논문은 사전에 학습된 생성 모델(예: StyleGAN2)을 통해 학습된 얼굴 전용 잠재 다양체 위에서 편향을 최적화하여 얼굴 인식에 대한 적대적 패치의 이식성(transferability)을 향상시키는 GenAP-DI 방법을 제안한다. 적대적 패치를 생성 모델의 잠재 공간 내에서 현실적인 얼굴 유사 특징으로 제약함으로써, 대체 모델에 대한 과적합을 줄이고 디지털 및 물리 세계 설정 모두에서 유의미하게 높은 이식성을 달성한다. 이는 블랙박스 공격 시나리오에서 기존의 기반 전이 기반 방법보다 뛰어난 성능을 보인다.

ABSTRACT

Face recognition is greatly improved by deep convolutional neural networks (CNNs). Recently, these face recognition models have been used for identity authentication in security sensitive applications. However, deep CNNs are vulnerable to adversarial patches, which are physically realizable and stealthy, raising new security concerns on the real-world applications of these models. In this paper, we evaluate the robustness of face recognition models using adversarial patches based on transferability, where the attacker has limited accessibility to the target models. First, we extend the existing transfer-based attack techniques to generate transferable adversarial patches. However, we observe that the transferability is sensitive to initialization and degrades when the perturbation magnitude is large, indicating the overfitting to the substitute models. Second, we propose to regularize the adversarial patches on the low dimensional data manifold. The manifold is represented by generative models pre-trained on legitimate human face images. Using face-like features as adversarial perturbations through optimization on the manifold, we show that the gaps between the responses of substitute models and the target models dramatically decrease, exhibiting a better transferability. Extensive digital world experiments are conducted to demonstrate the superiority of the proposed method in the black-box setting. We apply the proposed method in the physical world as well.

연구 동기 및 목표

• 쿼리 없는 블랙박스 설정에서 얼굴 인식 모델의 적대적 패치에 대한 강건성을 평가함으로써, 화이트박스나 쿼리 기반 공격보다 더 현실적인 위협 모델을 확보한다.
• 기존의 전이 기반 적대적 패치 방법이 초기화 및 편향 크기에 민감하여 대체 모델에 과적합되는 문제를 해결한다.
• 실제 얼굴 이미지로 훈련된 생성 모델에서 유도된 저차원 데이터 다양체를 활용해 적대적 패치를 정규화함으로써 이식성을 향상시킨다.
• 실제 배포 환경에서의 물리적 실현 가능성과 효능을 입증한다.

제안 방법

• 이 방법은 전이 기반 공격 기법을 적대적 패치 설정으로 확장하여, 대상 모델에 직접 접근하지 않고도 대체 모델을 사용해 적대적 예제를 생성한다.
• 사전에 학습된 생성 모델(예: StyleGAN2)의 잠재 공간에서 최적화함으로써 적대적 패치에 다양체 정규화 전략을 도입한다. 이 모델은 현실적인 인간 얼굴을 합성한다.
• 다양한 구성(지정 Z, W, W+, 노이즈)에서 잠재 공간을 샘플링하여 이식 가능한 패치를 생성하는 데 가장 효과적인 최적화 도메인을 탐색한다.
• 최적화 목표는 대체 모델에서의 적대적 손실이지만, 이를 통해 생성된 편향이 얼굴 다양체 위에 위치하도록 제약을 둔다. 이는 현실적이고 일반화 가능한 특징을 보장한다.
• 이 방법은 GenAP-DI로 구현되며, 생성 모델에 대한 미분 가능 인터페이스를 사용해 생성기 내부를 통해 기울기를 역전파하고 잠재 코드를 업데이트한다.
• 이 방법은 디지털(블랙박스) 및 물리 세계 설정 모두에서 검증되었으며, 실제 테스트를 위해 적대적 안경 프레임을 인쇄하고 사진 찍는 방식을 포함한다.

실험 결과

연구 질문

• RQ1 전이 기반 적대적 패치 생성이 패치 설정으로 효과적으로 확장될 수 있으며, 블랙박스 설정에서 대체 모델에 과적합되는가?
• RQ2 적대적 패치를 얼굴 전용 잠재 다양체 위에 정규화하면, 미리 보지 않은 대상 모델로의 이식성이 향상되는가?
• RQ3 생성 모델 아키텍처(예: ProGAN, StyleGAN, StyleGAN2)와 잠재 공간(Z, W, W+)의 선택이 제안된 방법의 성능에 어떤 영향을 미치는가?
• RQ4 인쇄 및 사진 촬영 후에도 생성된 적대적 패치가 높은 이식성을 유지할 수 있는가?
• RQ5 Face-like 특징을 사용하는 기존 방법(예: SemanticAdv)과 비교해 본다면, 제안된 방법은 이식성과 강건성 측면에서 어떻게 우월한가?

주요 결과

• 제안된 GenAP-DI 방법은 기반 TAP-TIDIMv2보다 유의미하게 높은 이식성을 달성하였으며, 물리 세계 테스트에서 FaceNet 기준 평균 코사인 유사도가 33.4±1.8, CosFace 기준 27.2±2.2를 기록했다.
• 물리 세계 실험에서 GenAP-DI는 인쇄 및 사진 촬영 후에도 높은 이식성을 유지했으며(예: FaceNet 기준 24.6±2.0), TAP-TIDIMv2를 능가했다.
• 이 방법은 생성 모델 아키텍처에 강하게 의존한다: StyleGAN2의 W+ 공간에서 가장 우수한 성능을 보였고, ProGAN은 효과적인 패치를 생성하지 못했다.
• Z 및 노이즈 공간에서의 최적화는 열악한 성능을 보였으며, 이는 더 높은 차원성과 더 분리된 잠재 공간(예: W+)이 효과적인 적대적 패치 생성에 필수적임을 시사한다.
• 얼굴 유사 특징을 활용함으로써 대체 모델과 대상 모델의 반응 간 격차를 줄여 일반화 능력을 향상시키고 과적합을 감소시켰다.
• GenAP-DI는 디지털 및 물리 세계 설정 모두에서 최신 기술인 SemanticAdv를 능가하며, 다양체 기반 정규화의 우수성을 입증했다.