[论文解读] Attacking CNN-based anti-spoofing face authentication in the physical domain

Bowen Zhang, Benedetta Tondi+1 more|arXiv (Cornell University)|Oct 1, 2019

Biometric Identification and Security参考文献 29被引用 4

一句话总结

本文提出一种针对基于CNN的反欺骗人脸认证系统的物理域对抗攻击，通过预先补偿重广播失真。该方法生成的对抗图像能够规避欺骗检测，通过人脸检测，并欺骗人脸识别，实现在REPLAY-MOBILE数据集上的多轮测试中97.04%的伪装成功率达到。

ABSTRACT

In this paper, we study the vulnerability of anti-spoofing methods based on deep learning against adversarial perturbations. We first show that attacking a CNN-based anti-spoofing face authentication system turns out to be a difficult task. When a spoofed face image is attacked in the physical world, in fact, the attack has not only to remove the rebroadcast artefacts present in the image, but it has also to take into account that the attacked image will be recaptured again and then compensate for the distortions that will be re-introduced after the attack by the subsequent rebroadcast process. Subsequently, we propose a method to craft robust physical domain adversarial images against anti-spoofing CNN-based face authentication. The attack built in this way can successfully pass all the steps in the authentication chain (that is, face detection, face recognition and spoofing detection), by achieving simultaneously the following goals: i) make the spoofing detection fail; ii) let the facial region be detected as a face and iii) recognized as belonging to the victim of the attack. The effectiveness of the proposed attack is validated experimentally within a realistic setting, by considering the REPLAY-MOBILE database, and by feeding the adversarial images to a real face authentication system capturing the input images through a mobile phone camera.

研究动机与目标

• 解决在真实人脸认证系统中生成可绕过基于CNN的反欺骗机制的物理域对抗样本的挑战。
• 克服重广播过程（如打印与重新拍摄）引入的失真导致对抗模式暴露的困难。
• 确保对抗图像能成功通过认证流程的所有阶段：人脸检测、人脸识别和欺骗检测。
• 使用手机摄像头和REPLAY-MOBILE数据库，在真实条件下验证该攻击。
• 证明即使系统设计用于检测物理呈现攻击，对抗欺骗仍具可行性。

提出的方法

• 将重广播过程建模为将数字对抗图像转换为物理图像的失真信道，并通过逆过程预先补偿引入的伪影。
• 在已经历模拟重广播过程的图像（即图像$I_s$）上生成对抗扰动，而非在原始图像$I_0$上。
• 使用可微分的图像转换流水线模拟物理捕获过程，实现对抗样本的端到端优化。
• 优化对抗样本以最小化欺骗检测损失，同时保持人脸检测和识别模块的高置信度。
• 对同一身份的多个源图像应用该攻击，以在多次访问尝试中提高成功率。
• 基于假设每个身份有三次随机尝试，定义并计算伪装成功率（ISR）的概率模型。

实验结果

研究问题

• RQ1 能否在物理域中生成对抗样本，以成功绕过人脸认证系统中的基于CNN的反欺骗机制？
• RQ2 如何对重广播过程（如打印与重新拍摄）引入的失真进行建模，并在对抗攻击生成中进行补偿？
• RQ3 对抗欺骗图像在多大程度上能同时通过人脸认证流程的所有阶段——人脸检测、识别和欺骗检测？
• RQ4 在允许多次尝试的情况下，此类攻击的成功率是多少，且在不同身份间如何变化？
• RQ5 当对抗图像通过手机摄像头在真实部署环境中捕获时，该攻击是否仍具有效性？

主要发现

• 所提攻击在Set#1中所有身份上实现97.04%的伪装成功率（ISR），在Set#2中为95.82%，表明在多次访问尝试下具有高度可靠性。
• 在人脸检测阶段，两组中均未出现失败情况（0%），证实对抗图像能可靠地被检测为人脸。
• 人脸识别在Set#1中失败7.14%的案例，在Set#2中失败5%，意味着系统常将受害者误认为他人，但整体攻击仍成功。
• 欺骗检测在Set#1中失败92.86%的案例，在Set#2中失败95%，表明对抗图像能有效规避反欺骗检测。
• 即使对抗图像经过Photoshop后处理，攻击仍具有效性，表明对常见图像操作具有鲁棒性。
• 所有身份中最低ISR为80.7%，出现在Client08，而九个身份中有七个实现100% ISR，显示整体性能强劲。