[논문 리뷰] LowKey: Leveraging Adversarial Attacks to Protect Social Media Users from Facial Recognition

Valeriia Cherepanova, Micah Goldblum외 5명|arXiv (Cornell University)|2021. 05. 03.

Adversarial Robustness in Machine Learning참고 문헌 20인용 수 52

한 줄 요약

LowKey는 상업적 얼굴 인식 API인 Amazon Rekognition과 Microsoft Azure Face의 성능을 저하시키기 위해 전체 처리 파이프라인을 고려한 이미지 수준의 교란을 적용하는 실용적인 대비 기법을 제안한다. 이는 양 시스템에서 1% 미만의 정확도를 달성하여 실제 산업 적용 환경에서의 효과를 입증한다.

ABSTRACT

Facial recognition systems are increasingly deployed by private corporations, government agencies, and contractors for consumer services and mass surveillance programs alike. These systems are typically built by scraping social media profiles for user images. Adversarial perturbations have been proposed for bypassing facial recognition systems. However, existing methods fail on full-scale systems and commercial APIs. We develop our own adversarial filter that accounts for the entire image processing pipeline and is demonstrably effective against industrial-grade pipelines that include face detection and large scale databases. Additionally, we release an easy-to-use webtool that significantly degrades the accuracy of Amazon Rekognition and the Microsoft Azure Face Recognition API, reducing the accuracy of each to below 1%.

연구 동기 및 목표

• 소셜 미디어 데이터를 기반으로 훈련된 얼굴 인식 시스템에 의한 광범위한 감시의 증가하는 위협을 해결하기 위해.
• 학술 기준 테스트가 아닌 실제 산업용 파이프라인에 효과적인 적대적 방어 기법을 개발하기 위해.
• 사용자가 소셜 미디어 플랫폼에서 개인 정보를 보호할 수 있도록 실용적이고 사용자 친화적인 도구를 만들기 위해.
• 적대적 공격이 강력한 사전 처리 및 대규모 데이터베이스를 갖춘 실제 상용 API에 효과가 있음을 입증하기 위해.

제안 방법

• 얼굴 검출 및 인식 단계를 포함한 전체 이미지 처리 파이프라인을 모델링하는 맞춤형 적대적 필터를 설계하기 위해.
• 크기 조정, 자르기, 정규화와 같은 다양한 이미지 변환 단계에서의 강건성을 확보하기 위해 교란을 최적화하기 위해.
• 인식 성능을 떨어뜨리는 미세하고 인지하기 어려운 이미지 수정을 생성하기 위해 필터를 훈련하고 배포하기 위해.
• 공개용 웹 기반 도구에 필터를 통합하여 사용자가 이미지를 업로드하고 적대적 교란이 가해진 버전을 받을 수 있도록 하기 위해.
• Amazon Rekognition 및 Microsoft Azure Face와 같은 산업 수준의 API를 현실 조건에서 테스트하기 위해 방법을 적용하기 위해.
• 일반적인 이미지 압축 및 전송 과정 이후에도 교란이 효과를 유지할 수 있도록 보장하기 위해.

실험 결과

연구 질문

• RQ1 강력한 사전 처리 및 대규모 데이터베이스를 갖춘 전체 규모의 상용 얼굴 인식 시스템에 대해 적대적 교란이 효과가 있을 수 있는가?
• RQ2 Amazon Rekognition 및 Microsoft Azure Face와 같은 실제 상용 API에 적용했을 때 적대적 공격의 성능 저하 정도는 어떠한가?
• RQ3 사용자 친화적인 웹 툴은 기술적 전문 지식 없이도 소셜 미디어 사용자를 얼굴 인식에서 효과적으로 보호할 수 있는가?
• RQ4 파이프라인 인지된 적대적 접근을 통해 얼굴 인식 정확도를 얼마나 낮출 수 있는가?
• RQ5 소셜 미디어 워크플로우에서 흔히 발생하는 이미지 변환에 대해 적대적 교란은 얼마나 내성적인가?

주요 결과

• 적대적 필터는 테스트된 이미지에 대해 Amazon Rekognition의 정확도를 1% 미만으로 낮췄다.
• 동일한 필터는 Microsoft Azure Face Recognition API의 성능을 1% 미만의 정확도로 떨어뜨렸다.
• 이미지 압축 및 일반적인 웹 전송 형식 이후에도 방법이 효과를 유지한다.
• 웹 툴을 통해 비기술자도 소셜 미디어 이미지에 적대적 교란을 쉽게 적용할 수 있다.
• 이 방법은 얼굴 검출 및 임베딩 추출을 포함한 얼굴 인식 파이프라인의 여러 단계에서 강건하다.
• 결과적으로 산업 수준의 얼굴 인식 시스템이 철저히 설계된 파이프라인 인지된 적대적 공격에 취약함을 입증한다.