[논문 리뷰] ReFace: Real-time Adversarial Attacks on Face Recognition Systems

Shehzeen Hussain, Todd Huster외 6명|arXiv (Cornell University)|2022. 06. 09.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

ReFace는 U-Net 기반의 적대적 변환 네트워크(ATN)를 사용하여 실시간으로 매우 높은 이식성(transferability)을 갖춘 적대적 공격 프레임워크를 제안한다. PGD와 같은 기울기 기반 방법과는 달리, ReFace는 피드포워드 네트워크를 통해 입력당 반복 최적화 없이 밀리초 내로 적대적 예제를 생성하며, AWS Rekognition에서 16.4%의 랭크-1 정확도 감소와 Azure에서 50.1%의 인증 정확도 감소를 달성하면서도 PGD 대비 10,000배 빠른 속도를 확보한다.

ABSTRACT

Deep neural network based face recognition models have been shown to be vulnerable to adversarial examples. However, many of the past attacks require the adversary to solve an input-dependent optimization problem using gradient descent which makes the attack impractical in real-time. These adversarial examples are also tightly coupled to the attacked model and are not as successful in transferring to different models. In this work, we propose ReFace, a real-time, highly-transferable attack on face recognition models based on Adversarial Transformation Networks (ATNs). ATNs model adversarial example generation as a feed-forward neural network. We find that the white-box attack success rate of a pure U-Net ATN falls substantially short of gradient-based attacks like PGD on large face recognition datasets. We therefore propose a new architecture for ATNs that closes this gap while maintaining a 10000x speedup over PGD. Furthermore, we find that at a given perturbation magnitude, our ATN adversarial perturbations are more effective in transferring to new face recognition models than PGD. ReFace attacks can successfully deceive commercial face recognition services in a transfer attack setting and reduce face identification accuracy from 82% to 16.4% for AWS SearchFaces API and Azure face verification accuracy from 91% to 50.1%.

연구 동기 및 목표

• 반복 최적화가 필요한 기울기 기반 공격 방법이 실시간 얼굴 인식 시스템에 부적합한 문제를 해결하기 위해.
• 높은 속도로 작동하면서도 다양한 얼굴 인식 모델 간에 매우 높은 이식성을 갖춘 실시간 적대적 공격 프레임워크를 개발하기 위해.
• 얼굴 인식 모델의 임bedding 공간에 맞게 아키텍처와 학습 목표를 조정함으로써 ATN 기반 공격의 성능을 향상시키기 위해.
• AWS Rekognition 및 Microsoft Azure Face와 같은 상용 클라우드 기반 얼굴 인식 API에 대해 완전한 블랙박스 환경에서 ATN에 의해 생성된 적대적 예제의 효과를 평가하기 위해.

제안 방법

• 단일 피드포워드 패스를 통해 적대적 편향을 생성하는 U-Net 기반의 적대적 변환 네트워크(ATN)를 제안하여 실시간 공격 생성을 가능하게 한다.
• 얼굴 인식 모델의 임베딩 공간을 타깃으로 삼는 새로운 학습 목표를 설계하여, 클래스 간 거리의 최소화와 클래스 내 군집의 파괴를 최대화한다.
• 편안함을 해치지 않으면서도 공격 효과를 유지하기 위해 LPIPS와 $L_\infty$ 제약 조건을 통합한다.
• 다양한 얼굴 인식 모델(예: ResNet, Inception-ResNet)의 앙상블을 통해 ATN을 훈련시켜 미리 보지 못한 아키텍처로의 이식성을 향상시킨다.
• 스킵 연결과 잔차 블록을 통합한 ResU-Net 아키텍처를 활용하여 특징 재구성 및 적대적 편향 품질을 향상시킨다.
• 화이트박스 및 블랙박스 설정을 모두 활용하여 공격 성능을 검증하며, 실시간 데모와 상용 API 평가를 포함한다.

실험 결과

연구 질문

• RQ1 피드포워드 신경망 기반 ATN이 반복 기울기 기반 방법인 PGD와 동일한 수준의 공격 성공률을 실시간 얼굴 인식 공격에서 달성할 수 있는가?
• RQ2 미리 보지 못한 얼굴 인식 모델을 대상으로 할 때, ATN에 의해 생성된 적대적 예제의 이식성은 PGD에 의해 생성된 예제와 비교해 어떻게 되는가?
• RQ3 다양한 얼굴 인식 모델로 훈련된 ATN이 블랙박스 환경에서 알려지지 않은 아키텍처로의 이식성을 얼마나 향상시킬 수 있는가?
• RQ4 ATN에 의해 생성된 적대적 예제가 완전한 블랙박스 상황에서 AWS Rekognition 및 Microsoft Azure Face와 같은 상용 클라우드 호스팅 얼굴 인식 API를 성공적으로 우회할 수 있는가?

주요 결과

• 제안된 ResU-Net ATN은 동일한 편향 크기($ε = 0.03$)에서 PGD와 유사한 화이트박스 공격 성공률을 달성하여 기울기 기반 방법과의 성능 격차를 해소한다.
• ReFace는 블랙박스 이식 공격에서 AWS Rekognition의 얼굴 식별 정확도를 82%에서 16.4%로 낮춰 매우 높은 이식성을 입증한다.
• 동일한 조건에서 Microsoft Azure Face API에서 50.1%의 인증 정확도 감소를 달성하여 성능을 91%에서 50.1%로 낮춘다.
• ReFace는 GPU에서 2.83×10⁻³초 내로 적대적 예제를 생성하여 PGD의 3.73초 대비 10,000배 빠른 속도를 확보한다.
• ATN 기반 공격는 특히 낮은 편향 크기($ε = 0.02$)에서 기울기 기반 방법보다 더 효과적으로 이식성이 뛰어나며, 이는 학습된 편향 함수의 모델 독립성 덕분이다.
• 앙상블 훈련을 통해 학습된 ATN은 단일 모델 ATN 및 UAP보다 공격 성공률과 이식성에서 뛰어나며, UAP는 유사한 성능를 달성하기 위해 훨씬 더 높은 왜곡을 필요로 한다.