[论文解读] Defeating Image Obfuscation with Deep Learning

Richard McPherson, Reza Shokri+1 more|arXiv (Cornell University)|Sep 1, 2016

Digital Media Forensic Detection参考文献 8被引用 83

一句话总结

本文表明，深度神经网络能够成功从经马赛克、模糊或P3风格JPEG系数加密遮蔽的图像中恢复人脸、物体和手写数字——即使在人类难以辨认的情况下，面部识别准确率仍高达97%，揭示了此类遮蔽技术无法为现代人工智能提供可靠的隐私保障。

ABSTRACT

We demonstrate that modern image recognition methods based on artificial neural networks can recover hidden information from images protected by various forms of obfuscation. The obfuscation techniques considered in this paper are mosaicing (also known as pixelation), blurring (as used by YouTube), and P3, a recently proposed system for privacy-preserving photo sharing that encrypts the significant JPEG coefficients to make images unrecognizable by humans. We empirically show how to train artificial neural networks to successfully identify faces and recognize objects and handwritten digits even if the images are protected using any of the above obfuscation techniques.

研究动机与目标

• 探究现代深度学习模型是否能从使用常见隐私保护技术遮蔽的图像中推断敏感信息。
• 评估马赛克、模糊和P3加密在抵御神经网络自动化识别方面的有效性。
• 挑战人类无法辨认即等同于隐私保护的假设，尤其是在先进人工智能面前。
• 量化遮蔽图像中仍通过残余相关性泄露的信息程度，这些相关性可被深度学习模型利用。

提出的方法

• 在标准图像识别数据集（MNIST、CIFAR-10、AT&T、FaceScrub）的遮蔽版本上训练深度卷积神经网络（CNN）。
• 应用三种遮蔽技术：不同窗口尺寸的马赛克（像素化）、YouTube使用的面部模糊，以及关键JPEG系数的P3加密。
• 采用端到端训练，直接从遮蔽图像中学习表征，无需前期特征工程。
• 利用神经网络自动发现可见内容与遮蔽内容之间的隐藏相关性（例如，微不足道的与关键的JPEG系数之间的关联）。
• 使用标准指标评估模型性能：分类任务中的top-1和top-5准确率。
• 与随机猜测基线进行对比，以证明攻击结果的统计显著性。

实验结果

研究问题

• RQ1 深度神经网络能否在人类无法辨认的马赛克或模糊图像中准确识别人脸和物体？
• RQ2 P3风格的JPEG系数加密在多大程度上能保护隐私，使其免受基于神经网络的推断？
• RQ3 在结构和视觉上仍保持连贯的遮蔽图像中，原始图像内容仍保留多少信息？
• RQ4 神经网络在恢复遮蔽内容方面的性能是否取决于遮蔽类型和强度？
• RQ5 在某一数据集上训练的模型能否泛化到其他数据集中的遮蔽内容识别，表明存在普遍性漏洞？

主要发现

• 在MNIST数据集中，深度神经网络在P3加密图像（阈值20）上的手写数字识别准确率达到79.8%，远超10%的随机猜测基线。
• 在8×8马赛克下，模型在MNIST上的准确率超过80%，显著高于随机猜测。
• 在AT&T人脸数据集中，模型对P3加密图像（阈值20）的识别准确率达到97%，对马赛克的准确率超过95%，而随机猜测仅为2.5%。
• 在FaceScrub数据集中，模型对16×16马赛克的识别准确率为57%，对P3加密（阈值20）的准确率为40%，而随机猜测仅为0.19%。
• 在CIFAR-10上，模型对P3加密（阈值20）的准确率为75%，对4×4马赛克为70%，对8×8马赛克为50%，均远高于10%的基线。
• 攻击成功的关键在于神经网络能够无需事先了解遮蔽机制，即可学习可见特征与遮蔽特征之间的隐藏相关性。