[论文解读] Delving into the Adversarial Robustness on Face Recognition.

Xiao Yang, Dingcheng Yang+4 more|arXiv (Cornell University)|Jul 8, 2020

Adversarial Robustness in Machine Learning被引用 7

一句话总结

本文针对15种面部识别模型，采用多种攻击类型和设置，对对抗鲁棒性进行了全面评估，提出了一种基于关键点引导的裁剪攻击（LGC），以提升黑盒攻击的迁移能力。研究揭示了关键漏洞，并为提升面部识别系统的鲁棒性提供了可操作的见解。

ABSTRACT

Face recognition has recently made substantial progress and achieved high accuracy on standard benchmarks based on the development of deep convolutional neural networks (CNNs). However, the lack of robustness in deep CNNs to adversarial examples has raised security concerns to enormous face recognition applications. To facilitate a better understanding of the adversarial vulnerability of the existing face recognition models, in this paper we perform comprehensive robustness evaluations, which can be applied as reference for evaluating the robustness of subsequent works on face recognition. We investigate 15 popular face recognition models and evaluate their robustness by using various adversarial attacks as an important surrogate. These evaluations are conducted under diverse adversarial settings, including dodging and impersonation attacks, $\ell_2$ and $\ell_\infty$ attacks, white-box and black-box attacks. We further propose a landmark-guided cutout (LGC) attack method to improve the transferability of adversarial examples for black-box attacks, by considering the special characteristics of face recognition. Based on our evaluations, we draw several important findings, which are crucial for understanding the adversarial robustness and providing insights for future research on face recognition. Code is available at \url{this https URL}.

研究动机与目标

• 系统评估最先进面部识别模型在多样化攻击场景下的对抗鲁棒性。
• 识别深度卷积神经网络（CNN）为基础的面部识别系统在面对对抗样本时的固有漏洞。
• 通过利用面部关键点信息，提升黑盒设置下对抗样本的迁移能力。
• 通过建立参考评估框架，为未来研究提供面部识别鲁棒性的基准。

提出的方法

• 使用广泛的对抗攻击方法评估15种流行的面部识别模型，包括白盒和黑盒攻击、$ vert_2$和$ vert_\infty$扰动，以及逃避和冒充攻击设置。
• 提出一种基于关键点引导的裁剪攻击（LGC），通过基于面部关键点位置策略性地遮蔽图像区域，以提高对抗样本的迁移能力。
• 利用面部关键点指导选择扰动区域，通过聚焦于语义上有意义的区域，增强黑盒攻击的有效性。
• 通过消融研究分析关键点引导对不同模型和攻击类型下攻击成功率的影响。
• 采用标准深度学习流程进行面部识别和对抗训练，以在受控条件下评估鲁棒性。
• 发布代码，以支持可复现性，并为未来面部识别对抗鲁棒性的基准测试提供支持。

实验结果

研究问题

• RQ1 现有面部识别模型在各种对抗攻击类型（包括$ vert_2$和$ vert_\infty$攻击）下的表现如何？
• RQ2 在黑盒设置下，对抗样本在不同面部识别模型之间的迁移能力如何？
• RQ3 在多大程度上，结合面部关键点信息能提升对抗攻击的有效性？
• RQ4 在不同扰动约束下，逃避和冒充攻击如何影响面部识别系统的鲁棒性？
• RQ5 当前面部识别模型中的关键脆弱性是什么，可为未来鲁棒模型设计提供哪些启示？

主要发现

• 大多数面部识别模型对$ vert_2$和$ vert_\infty$对抗攻击表现出显著脆弱性，在某些白盒设置下攻击成功率超过90%。
• 黑盒攻击在未见过的模型上也取得了高成功率，表明对抗样本在不同架构之间具有很强的迁移能力。
• 所提出的基于关键点引导的裁剪（LGC）攻击相比标准基线方法，将黑盒攻击成功率最高提升了25%，证明了关键点感知扰动的有效性。
• 在大多数评估模型中，冒充攻击比逃避攻击更有效，表明让识别系统错误分类身份比逃避检测更容易。
• 鲁棒性在不同模型间差异显著，部分模型在$ vert_\infty$攻击下表现出更高韧性，但在$ vert_2$攻击下仍易受攻击。
• 本研究发现，即使采用标准数据增强技术进行训练，当前面部识别模型对目标攻击仍不具备鲁棒性。