[论文解读] Adversarially robust deepfake media detection using fused convolutional neural network predictions

Sohail Ahmed Khan, Alessandro Artusi+1 more|arXiv (Cornell University)|Feb 11, 2021

Adversarial Robustness in Machine Learning参考文献 18被引用 13

一句话总结

本文提出一种融合卷积神经网络（CNN）集成模型，结合VGG16、InceptionV3和XceptionNet，以提升深度伪造检测的对抗鲁棒性与泛化能力。该融合模型在DFDC测试集上达到96.5%的准确率，在低质量的DeepFake-TIMIT数据集上达到99%的准确率，由于集体预测投票机制，对对抗攻击的鲁棒性得到增强。

ABSTRACT

Deepfakes are synthetically generated images, videos or audios, which fraudsters use to manipulate legitimate information. Current deepfake detection systems struggle against unseen data. To address this, we employ three different deep Convolutional Neural Network (CNN) models, (1) VGG16, (2) InceptionV3, and (3) XceptionNet to classify fake and real images extracted from videos. We also constructed a fusion of the deep CNN models to improve the robustness and generalisation capability. The proposed technique outperforms state-of-the-art models with 96.5% accuracy, when tested on publicly available DeepFake Detection Challenge (DFDC) test data, comprising of 400 videos. The fusion model achieves 99% accuracy on lower quality DeepFake-TIMIT dataset videos and 91.88% on higher quality DeepFake-TIMIT videos. In addition to this, we prove that prediction fusion is more robust against adversarial attacks. If one model is compromised by an adversarial attack, the prediction fusion does not let it affect the overall classification.

研究动机与目标

• 解决深度伪造检测模型对未见数据和对抗性数据的脆弱性。
• 超越单一模型局限，提升深度伪造检测系统的泛化能力与鲁棒性。
• 开发一种融合策略，在提升检测性能的同时保持对对抗扰动的韧性。
• 在不同视频质量条件下，于包括DFDC和DeepFake-TIMIT在内的多样化基准数据集上评估所提方法。

提出的方法

• 在从视频中提取的深度伪造图像帧和真实图像帧上，分别对三种预训练CNN架构——VGG16、InceptionV3和XceptionNet进行训练。
• 通过加权平均或投票机制融合三个模型的最终分类预测结果，以提升决策鲁棒性。
• 采用特征级融合与预测级融合相结合的方式整合模型输出，降低对任一模型预测结果的依赖。
• 应用对抗训练，并通过模拟针对单个模型的定向攻击来测试系统级鲁棒性。
• 训练过程中使用早停策略与数据增强技术，以提升对多样化深度伪造生成技术的泛化能力。
• 在多种数据集上评估融合模型性能，包括DFDC和DeepFake-TIMIT基准数据集，并在不同图像质量条件下进行测试。

实验结果

研究问题

• RQ1 多深度CNN的集成融合是否能提升在未见深度伪造数据上的检测准确率与鲁棒性？
• RQ2 与单个模型相比，预测级融合如何提升对对抗攻击的韧性？
• RQ3 该融合模型在低质量与高质量深度伪造数据集（如DeepFake-TIMIT）上的表现如何？
• RQ4 该融合方法是否在降低对特定模型对抗扰动敏感性的同时保持高准确率？
• RQ5 在泛化能力与鲁棒性方面，该集成方法与当前最先进单模型深度伪造检测器相比表现如何？

主要发现

• 融合CNN模型在公开的DFDC测试集上达到96.5%的准确率，优于当前最先进模型。
• 在低质量的DeepFake-TIMIT数据集上，融合模型准确率达到99%，表明其在劣质输入下仍具强大性能。
• 对于高质量的DeepFake-TIMIT视频，模型准确率达到91.88%，表明其在不同质量水平下均表现稳定。
• 预测融合显著提升了对对抗攻击的鲁棒性，因为即使一个模型被攻破，整体分类性能也不会下降。
• 集成方法降低了特定模型的漏洞，表明集体决策可增强对抗环境下系统的可靠性。
• 当单个模型遭受定向对抗扰动时，融合机制仍能保持高准确率，证实其具备强韧性。