[论文解读] A Transferable Anti-Forensic Attack on Forensic CNNs Using A Generative Adversarial Network

Xinwei Zhao, Chen Chen+1 more|arXiv (Cornell University)|Jan 23, 2021

Digital Media Forensic Detection参考文献 77被引用 7

一句话总结

本文提出了一种基于生成对抗网络（GAN）的可迁移反取证攻击，用于针对取证卷积神经网络（CNN）。该方法能够从篡改图像中去除取证痕迹，同时保持难以察觉的失真。通过在一组多样化的预训练代理CNN上训练生成器，攻击在未知架构和数据集上实现了强大的迁移能力，即使在黑盒场景下，也能以平均76%的成功率成功欺骗最先进的取证CNN。

ABSTRACT

With the development of deep learning, convolutional neural networks (CNNs) have become widely used in multimedia forensics for tasks such as detecting and identifying image forgeries. Meanwhile, anti-forensic attacks have been developed to fool these CNN-based forensic algorithms. Previous anti-forensic attacks often were designed to remove forgery traces left by a single manipulation operation as opposed to a set of manipulations. Additionally, recent research has shown that existing anti-forensic attacks against forensic CNNs have poor transferability, i.e. they are unable to fool other forensic CNNs that were not explicitly used during training. In this paper, we propose a new anti-forensic attack framework designed to remove forensic traces left by a variety of manipulation operations. This attack is transferable, i.e. it can be used to attack forensic CNNs are unknown to the attacker, and it introduces only minimal distortions that are imperceptible to human eyes. Our proposed attack utilizes a generative adversarial network (GAN) to build a generator that can attack color images of any size. We achieve attack transferability through the use of a new training strategy and loss function. We conduct extensive experiment to demonstrate that our attack can fool many state-of-art forensic CNNs with varying levels of knowledge available to the attacker.

研究动机与目标

• 解决现有反取证攻击在针对取证CNN时迁移能力差的关键局限性。
• 开发一种在黑盒场景下有效的攻击方法，即攻击者对目标CNN的架构或训练数据一无所知。
• 生成在取证统计特性上与真实未篡改图像相似的反取证图像，同时保持视觉质量。
• 证明对取证CNN的可迁移攻击是可行的，挑战了以往认为其本质上不具备迁移性的假设。

提出的方法

• 该攻击采用基于GAN的生成器，训练其从篡改图像中去除取证痕迹，并合成逼真的未篡改图像统计特性。
• 在生成器训练过程中，使用一组在多样化架构和数据集上预训练的代理CNN，以强制学习真实图像的通用取证模式。
• 生成器损失函数被设计为最小化生成图像与真实未篡改图像在代理CNN特征空间中的差异。
• 训练过程确保生成器学习到即使在未包含于训练集合中的多个取证CNN上，也能将其误分类为真实图像。
• 通过使用全卷积生成器架构，该框架可扩展至任意尺寸的图像。
• 攻击在严格黑盒条件下进行评估，即攻击者未知目标CNN的架构，且未在训练中使用目标CNN。

实验结果

研究问题

• RQ1 基于GAN的反取证攻击是否能在不同取证CNN架构和训练数据集之间实现高迁移性？
• RQ2 当攻击者无法访问目标模型架构或训练数据时，该攻击在多大程度上能欺骗取证CNN？
• RQ3 使用代理CNN集合是否能提升反取证攻击的泛化能力和迁移性？
• RQ4 生成的反取证图像是否能在保持高视觉质量的同时，逃避多个取证CNN的检测？

主要发现

• 在无任何目标CNN架构或训练数据知识的黑盒场景下，该攻击在45,000张图像块上实现了平均76%的攻击成功率。
• 在篡改检测任务中，攻击成功率高达89%，表明其在逃避检测方面具有极强的有效性。
• 在篡改分类任务中，成功率达71%，表明该攻击可误导CNN错误分类篡改类型。
• 在参数化任务中，攻击成功率达68%，表明其可有效掩盖篡改操作的具体参数。
• 平均PSNR为46.76，SSIM为0.996，表明反取证图像在视觉上与原始未篡改图像几乎无法区分。
• 即使训练中使用的代理CNN架构与目标CNN不同，且未包含目标CNN架构，该攻击仍成功欺骗了在不同数据集（如I-set）上训练的取证CNN。