[论文解读] Adversarial Image Translation: Unrestricted Adversarial Examples in Face Recognition Systems

Kazuya Kakizaki, Kosuke Yoshida|arXiv (Cornell University)|May 9, 2019

Adversarial Robustness in Machine Learning参考文献 29被引用 11

一句话总结

本文提出了一种新颖的方法，通过利用图像翻译技术，将面部属性（例如发色、化妆、眼镜）以大范围、感知上真实的扰动方式转移，从而在人脸识别中生成无限制的对抗性样本。该方法在白盒设置下实现了约90%的攻击成功率，在黑盒设置下实现了约80%的攻击成功率，且由于扰动过大而绕过了最先进的认证防御机制。

ABSTRACT

Thanks to recent advances in deep neural networks (DNNs), face recognition systems have become highly accurate in classifying a large number of face images. However, recent studies have found that DNNs could be vulnerable to adversarial examples, raising concerns about the robustness of such systems. Adversarial examples that are not restricted to small perturbations could be more serious since conventional certified defenses might be ineffective against them. To shed light on the vulnerability to such adversarial examples, we propose a flexible and efficient method for generating unrestricted adversarial examples using image translation techniques. Our method enables us to translate a source image into any desired facial appearance with large perturbations to deceive target face recognition systems. Our experimental results indicate that our method achieved about $90$ and $80\%$ attack success rates under white- and black-box settings, respectively, and that the translated images are perceptually realistic and maintain the identifiability of the individual while the perturbations are large enough to bypass certified defenses.

研究动机与目标

• 研究人脸识别系统在面对具有大范围、感知上真实扰动的无限制对抗性样本时的脆弱性。
• 开发一种灵活且高效的无限制对抗性样本生成方法，无需依赖小范围、不可察觉的扰动。
• 评估认证防御机制对大扰动攻击的鲁棒性。
• 确保生成的对抗性图像在人类观察者眼中仍能保持原始个体的可识别性。
• 在白盒和黑盒攻击设置下，证明该方法的可转移性与有效性。

提出的方法

• 利用图像翻译模型将源图像中的面部属性转换为目标领域（例如金发、化妆、眼镜），实现大范围、明显的变化。
• 采用领域条件生成模型执行图像到图像的翻译，同时保留身份特征。
• 通过动态蒸馏策略增强黑盒攻击的可转移性，以模仿目标模型的行为。
• 使用带有高斯噪声的随机平滑方法构建认证防御基线以供比较。
• 应用L2范数分析来量化扰动幅度，并与认证半径进行比较。
• 通过亚马逊机械 Turk（AMT）研究，由人工评分者验证身份保持性。

实验结果

研究问题

• RQ1 图像翻译技术能否生成无限制的对抗性样本，使其在保持身份可识别性的同时绕过认证防御？
• RQ2 所提出的方法在白盒和黑盒攻击场景下对人脸识别系统的有效性如何？
• RQ3 该方法引入的扰动是否超过了基于随机平滑的最先进防御机制的认证半径？
• RQ4 人类观察者在多大程度上认为对抗性图像仍保留原始身份？
• RQ5 该方法能否在多个面部属性领域（例如发色、化妆、眼镜）中生成多样化的对抗性样本？

主要发现

• 在多个面部属性领域中，该方法在白盒设置下的平均攻击成功率达到90%。
• 在黑盒设置下，通过动态蒸馏策略，该方法实现了80%的攻击成功率，表现出强大的可转移性。
• 平均L2扰动幅度分别为：发色14,739，化妆461,290,430，眼镜3,589,136，全部超过VGG16和ResNet50的认证半径630。
• 人工感知研究表明，76.6%的参与者判断对抗性图像与原始图像具有相同的个体身份。
• 生成的对抗性图像在感知上真实自然，尽管扰动较大，但仍保持了个体的可识别性。
• 该方法成功绕过了基于随机平滑的最先进认证防御机制，因为其扰动超出了认证半径。