[论文解读] Adv-Attribute: Inconspicuous and Transferable Adversarial Attack on Face Recognition

Shuai Jia, Bangjie Yin+5 more|arXiv (Cornell University)|Oct 13, 2022

Adversarial Robustness in Machine Learning被引用 23

一句话总结

Adv-Attribute 通过 StyleGAN 编辑多个语义属性，在目标脸特征差异的引导下，生成不显眼、可迁移的对抗性面孔，并通过多目标优化与基于重要性属性选择的平衡来实现。

ABSTRACT

Deep learning models have shown their vulnerability when dealing with adversarial attacks. Existing attacks almost perform on low-level instances, such as pixels and super-pixels, and rarely exploit semantic clues. For face recognition attacks, existing methods typically generate the l_p-norm perturbations on pixels, however, resulting in low attack transferability and high vulnerability to denoising defense models. In this work, instead of performing perturbations on the low-level pixels, we propose to generate attacks through perturbing on the high-level semantics to improve attack transferability. Specifically, a unified flexible framework, Adversarial Attributes (Adv-Attribute), is designed to generate inconspicuous and transferable attacks on face recognition, which crafts the adversarial noise and adds it into different attributes based on the guidance of the difference in face recognition features from the target. Moreover, the importance-aware attribute selection and the multi-objective optimization strategy are introduced to further ensure the balance of stealthiness and attacking strength. Extensive experiments on the FFHQ and CelebA-HQ datasets show that the proposed Adv-Attribute method achieves the state-of-the-art attacking success rates while maintaining better visual effects against recent attack methods.

研究动机与目标

• 通过利用高级面部属性而非像素扰动，推动对人脸识别的鲁棒且具备可迁移性的攻击。
• 提出 Adv-Attribute，在保持身份识别与视觉质量的前提下扰动多个语义属性。
• 通过基于重要性的属性选择和多目标优化，在隐蔽性与攻击强度之间取得平衡。
• 在 FFHQ 和 CelebA-HQ 上对标准和对抗训练的 FR 模型，展示最先进的冒充 ASR。

提出的方法

• 使用 StyleGAN 在潜在空间中编辑多个解耦属性向量以生成对抗性人脸。
• 通过一个学习得到的生成器 G_a 以源脸与目标脸之间的特征差作为输入，计算每个属性的对抗噪声 n_i。
• 施加隐蔽损失以使 v_i 接近 z_i 且范数小，同时维持基于 FR 嵌入的余弦相似度的冒充损失。
• 应用基于重要性的属性选择，根据对攻击性能的边际增益在每一步选择最具影响力的属性。
• 通过自适应调节损失中的权重，在隐蔽性与攻击强度之间实现多目标优化，近似 Pareto-稳定解。

实验结果

研究问题

• RQ1 高层语义属性编辑是否能产生比像素级扰动更具可迁移性的对抗样本，用于人脸识别？
• RQ2 通过编辑多个属性攻击人脸识别时，如何在隐蔽性与有效性之间取得平衡？
• RQ3 自适应属性选择和多目标优化是否能提升对黑盒和对抗训练的 FR 模型的迁移性？
• RQ4 编辑多个人脸属性对视觉不显眼性和攻击成功率的影响是什么？

主要发现

• 在黑盒设置下，Adv-Attribute 在 FFHQ 和 CelebA-HQ 上实现的冒充 ASR 高于基于梯度和基于贴片的方法。
• 该方法在对抗训练（如 PGD-AT、TRADES）的鲁棒 FR 模型上仍然有效。
• 基于重要性的属性选择产生多样、适应性的攻击方向，并优于固定属性更新的效果。
• 多目标优化在隐蔽性与攻击强度之间实现动态平衡，保持图像质量的同时提升迁移性。
• 定性和定量结果显示，对抗性人脸比像素扰动或贴片攻击更不显眼、视觉上更自然。