[논문 리뷰] This Person (Probably) Exists. Identity Membership Attacks Against GAN Generated Faces

Ryan Webster, Julien Rabin외 2명|arXiv (Cornell University)|2021. 07. 13.

Face recognition and analysis참고 문헌 31인용 수 15

한 줄 요약

이 논문은 훈련 데이터에 대한 정확한 복제본이 없더라도, 생성된 얼굴 이미지가 훈련 이미지 중 어느 것과도 동일한 신원을 공유하고 있는지 탐지할 수 있는 새로운 블랙박스 신원 소속 공격 기법을 제안한다. 이 공격은 훈련 데이터나 모델 아키텍처에 대한 접근 없이도, 생성된 샘플을 훈련된 신원과 비교하기 위해 얼굴 식별 네트워크를 활용하며, 특히 저다양성 또는 편향된 데이터셋에서 GAN이 신원 정보를 의도치 않게 泄露할 수 있음을 드러내며, 높은 성공률을 기록한다.

ABSTRACT

Recently, generative adversarial networks (GANs) have achieved stunning realism, fooling even human observers. Indeed, the popular tongue-in-cheek website {\small \url{ http://thispersondoesnotexist.com}}, taunts users with GAN generated images that seem too real to believe. On the other hand, GANs do leak information about their training data, as evidenced by membership attacks recently demonstrated in the literature. In this work, we challenge the assumption that GAN faces really are novel creations, by constructing a successful membership attack of a new kind. Unlike previous works, our attack can accurately discern samples sharing the same identity as training samples without being the same samples. We demonstrate the interest of our attack across several popular face datasets and GAN training procedures. Notably, we show that even in the presence of significant dataset diversity, an over represented person can pose a privacy concern.

연구 동기 및 목표

• 생성된 얼굴이 완전히 새로운 것으로 간주되는 것에 대한 일반적인 믿음을 도전하기 위해, 훈련 데이터의 신원 정보가 생성된 샘플에서 유추될 수 있음을 입증하는 것.
• 생성된 이미지가 훈련 샘플의 복제본이 아니더라도, 특정 신원에 대해 GAN이 과적합되는 방식이 존재하는지 조사하는 것.
• 데이터셋의 다양성, 편향, 훈련 기간이 이러한 공격의 성공에 미치는 영향을 분석하며, 특히 신원 변동성이 제한된 실생활 시나리오에서의 영향을 평가하는 것.
• 훈련 데이터, 모델 아키텍처, 추가 훈련 없이도 작동하는 실용적인 블랙박스 공격을 개발하는 것. 이는 사전 훈련된 얼굴 식별 네트워크에 의존한다.
• 데이터셋 다양성, 조기 정지, 모델 편향 감소 등의 요소를 식별하여, 더 안전한 GAN 훈련을 위한 실증적 지침을 제공하는 것.

제안 방법

• 공격은 생성된 이미지와 훈련 이미지의 신원 임베딩을 추출하기 위해 사전 훈련된 얼굴 식별 네트워크를 사용한다.
• 각 생성된 이미지에 대해, 신원 임베딩 유사도 기반으로 훈련 세트 내에서 가장 가까운 이웃을 식별함으로써, 생성된 얼굴이 훈련 세트 내 어떤 신원과도 일치하는지 확인한다.
• 공격은 완전히 블랙박스 방식이다. 생성기의 가중치, 아키텍처, 훈련 데이터에 대한 접근이 필요 없으며, 생성기의 추론과 얼굴 인식 모델 뿐만으로 작동한다.
• 공격 성공률은 정밀도, 재현율, F1 점수를 사용하여 평가하며, 다양한 GAN 아키텍처와 데이터셋에서 생성된 얼굴과 훈련된 신원 간의 비교를 수행한다.
• 공격 성능에 미치는 영향을 분석하기 위해 데이터셋 크기, 신원 다양성, 훈련 반복 횟수를 체계적으로 변화시킨다.
• 이미지 품질의 지표로 Frechet Inception Distance (FID)를 사용하여, 지속적인 훈련이 FID를 향상시키는지, 아니면 단지 개인정보 유출을 증가시키기만 하는지 평가한다.

실험 결과

연구 질문

• RQ1 정확한 훈련 샘플이 없더라도, 블랙박스 소속 공격이 생성된 GAN 얼굴 이미지가 훈련 이미지 중 어느 것과도 동일한 신원을 공유하고 있는지 탐지할 수 있는가?
• RQ2 신원의 수로 측정되는 데이터셋 다양성이 GAN에 대한 신원 소속 공격의 성공에 어떤 영향을 미치는가?
• RQ3 예를 들어 특정 개인이 과도하게 포함된 경우, 데이터셋 편향이 GAN 생성 얼굴에서의 신원 유출 위험을 얼마나 증가시키는가?
• RQ4 최적의 FID 값에 도달한 후에도 지속적인 훈련이 이미지 품질 향상 없이도 신원 소속 공격 위험을 증가시키는가?
• RQ5 조기 정지는 GAN의 신원 유출을 줄이기 위한 실용적인 완화 전략으로 사용될 수 있는가?

주요 결과

• 정확한 훈련 샘플이 없더라도 공격의 F1 점수가 높게 유지되며(예: 0.8 이상), GAN이 미세한 특징 일반화를 통해 신원 정보를 유출할 수 있음을 입증한다.
• 훈련 세트에 220개의 신원만 존재할 경우에도 공격는 높은 정밀도와 F1 점수를 유지하며, 이미지 수준의 차이가 있음에도 불구하고 특정 신원에 대한 강한 과적합이 있음을 보여준다.
• 2020개의 신원이 존재하는 경우에도 공격 성공률이 유의미하게 유지되며(F1 > 0.7), 편향이 존재할 경우 데이터셋 다양성만으로는 신원 유출을 방지할 수 없음을 시사한다.
• LSGAN은 스타일 제너레이터보다 낮은 다양성 수준에서 더 높은 공격 취약성을 보이며, 이는 더 작은 모델 용량과 조기 과적합 때문일 수 있다.
• FID 수렴점(예: 스타일 제너레이터의 경우 약 17,000 반복)을 초과해 지속적인 훈련을 진행하면 FID는 향상되지 않지만 공격 정밀도는 증가하므로, 개인정보 보호와 품질 간의 트레이드오프가 존재함을 나타낸다.
• FID가 정체되는 시점에 조기 정지를 적용하면 공격 성공률가 유의미하게 감소하므로, 개인정보 보호를 위한 실용적인 완화 전략으로 효과적임을 시사한다.