[논문 리뷰] Multiple-Identity Image Attacks Against Face-based Identity Verification

Jerone T. A. Andrews, Thomas Tanay외 1명|arXiv (Cornell University)|2019. 06. 20.

Face recognition and analysis참고 문헌 63인용 수 9

한 줄 요약

이 논문은 얼굴 인식 시스템이 다중정체성 이미지(MII) 침입 공격에 취약한 이유를 분석함으로써 설명한다. 얼굴 표현 공간의 구면 기하학을 기반으로 하며, 일치하는 쌍과 일치하지 않는 쌍이 각각 약 90°와 40–60° 정도로만 분리되어 있음을 밝혀낸다. 연구는 표현 공간 역행과 이미지 공간의 기하변형을 통해 MII를 효과적으로 생성할 수 있음을 보이며, 이는 구성 정체성에서 약 45° 떨어진 얼굴을 생성함으로써 비교기가 보호되어 있더라도 성공적인 위장 공격을 가능하게 한다.

ABSTRACT

Facial verification systems are vulnerable to poisoning attacks that make use of multiple-identity images (MIIs)---face images stored in a database that resemble multiple persons, such that novel images of any of the constituent persons are verified as matching the identity of the MII. Research on this mode of attack has focused on defence by detection, with no explanation as to why the vulnerability exists. New quantitative results are presented that support an explanation in terms of the geometry of the representations spaces used by the verification systems. In the spherical geometry of those spaces, the angular distance distributions of matching and non-matching pairs of face representations are only modestly separated, approximately centred at 90 and 40-60 degrees, respectively. This is sufficient for open-set verification on normal data but provides an opportunity for MII attacks. Our analysis considers ideal MII algorithms, demonstrating that, if realisable, they would deliver faces roughly 45 degrees from their constituent faces, thus classed as matching them. We study the performance of three methods for MII generation---gallery search, image space morphing, and representation space inversion---and show that the latter two realise the ideal well enough to produce effective attacks, while the former could succeed but only with an implausibly large gallery to search. Gallery search and inversion MIIs depend on having access to a facial comparator, for optimisation, but our results show that these attacks can still be effective when attacking disparate comparators, thus securing a deployed comparator is an insufficient defence.

연구 동기 및 목표

• 얼굴 표현 공간의 기하학을 분석함으로써 얼굴 인식 시스템이 다중정체성 이미지(MII) 공격에 이론적으로 취약한 이유를 설명하는 것.
• 이미지 공간 및 표현 공간 방법을 사용하여 실제로 효과적으로 여러 정체성을 위장할 수 있는 MII를 생성할 수 있는지 평가하는 것.
• 비교기를 보호함으로써 MII 공격를 방지할 수 있는지 테스트하여 서로 다른 비교기 간 전이 가능성 여부를 조사하는 것.
• 표현 공간에서 일치하는 쌍과 일치하지 않는 쌍의 각도 거리 분포를 정량화하여 시스템의 내재적 취약성을 평가하는 것.

제안 방법

• 표현 공간의 구면 기하학에서 일치 쌍은 약 90°에, 비일치 쌍은 40–60°에 집중되어 있음을 분석함으로써 각도 거리 분포를 규명함.
• 구성 정체성에서 약 45° 각도 거리에 위치하는 이상적인 MII 생성 방법을 가설적으로 도입함. 이는 일치로 간주될 수 있는 범위에 속함.
• 얼굴 혼합 기법을 사용하여 픽셀 공간에서 직접 MII를 합성하는 이미지 공간 기하변형을 적용함.
• 얼굴 비교기의 딥 특징 공간에서 최적화를 수행함으로써 표현 공간 역행을 통해 MII를 생성함.
• 한 모델에서 생성한 MII를 다른 비교기에서 평가함으로써 MII의 전이 가능성 테스트함.
• 내부 클래스 분산을 줄이고 MII 공격에 대한 강건성을 높이기 위한 개선된 학습 전략 탐색을 위해 히스토그램 손실을 사용함.

실험 결과

연구 질문

• RQ1 정상 데이터에 대해 우수한 성능을 보이는 얼굴 인식 시스템이 왜 이론적으로 다중정체성 이미지(MII) 공격에 취약한가?
• RQ2 실제 MII 생성 방법(예: 기하변형, 표현 공간 역행)이 구성 정체성에서 약 45° 각도 거리에 위치하는 이론적 이상 MII를 어느 정도 근접하게 구현할 수 있는가?
• RQ3 한 비교기에서 생성된 MII가 다른 상이한 비교기에서 얼마나 효과적으로 회피할 수 있는가? 이는 전이 가능성의 정도를 의미한다.
• RQ4 특정 얼굴 비교기를 보호하는 것이 MII 공격를 방지할 수 있는가, 아니면 다양한 모델 간 표현 공간의 유사성이 근본적인 제약인가?
• RQ5 표현 공간 내 내부 클래스 분산이 MII 공격의 발생 또는 억제에 어떤 역할을 하는가?

주요 결과

• 얼굴 인식 시스템은 일치 쌍과 비일치 쌍의 각도 거리 분포가 각각 약 90°와 40–60°로만 분리되어 있어 MII 공격에 취약하다.
• 이론적으로 이상적인 MII는 구성 정체성에서 약 45° 각도 거리에 위치하며, 이는 일치 임계값 내에 들어가므로 인식 시스템을 속일 수 있다.
• 표현 공간 역행과 이미지 공간 기하변형은 이상에 가까운 MII를 생성함으로써 효과적인 위장 공격를 가능하게 한다.
• 갤러리 검색 방법은 MII를 생성할 수 있지만, 실현 가능하지 않은 대규모 데이터베이스가 필요하여 최적화 기반 방법에 비해 실용성이 떨어진다.
• 표현 공간의 유사성으로 인해 MII는 서로 다른 비교기 간에 전이 가능하므로, 한 비교기만 보호하는 것은 방어로써 충분하지 않다.
• 각도 마진 손실과 같은 개선된 학습 목표를 사용하더라도, 일치 임계값이 이상 MII 분포를 고려하여 조정되지 않는 한 비교기는 여전히 취약하다.