[论文解读] Efficient Decision-based Black-box Adversarial Attacks on Face Recognition

Yinpeng Dong, Hang Su+5 more|arXiv (Cornell University)|Apr 9, 2019

Adversarial Robustness in Machine Learning参考文献 38被引用 15

一句话总结

本文提出了一种高效的进化攻击方法，用于决策型黑盒对抗攻击面部识别系统，通过利用局部几何建模与降维技术，以更少的查询次数实现最小化扰动。该方法在查询效率方面达到最先进水平，且对抗扰动更小，成功攻击了真实世界的人脸验证API，其均方误差（MSE）仅为2.54e-3，低于基线方法。

ABSTRACT

Face recognition has obtained remarkable progress in recent years due to the great improvement of deep convolutional neural networks (CNNs). However, deep CNNs are vulnerable to adversarial examples, which can cause fateful consequences in real-world face recognition applications with security-sensitive purposes. Adversarial attacks are widely studied as they can identify the vulnerability of the models before they are deployed. In this paper, we evaluate the robustness of state-of-the-art face recognition models in the decision-based black-box attack setting, where the attackers have no access to the model parameters and gradients, but can only acquire hard-label predictions by sending queries to the target model. This attack setting is more practical in real-world face recognition systems. To improve the efficiency of previous methods, we propose an evolutionary attack algorithm, which can model the local geometries of the search directions and reduce the dimension of the search space. Extensive experiments demonstrate the effectiveness of the proposed method that induces a minimum perturbation to an input face image with fewer queries. We also apply the proposed method to attack a real-world face recognition system successfully.

研究动机与目标

• 评估最先进的人脸识别模型在仅支持硬标签查询的现实决策型黑盒攻击设置下的鲁棒性。
• 解决现有黑盒攻击方法效率低下、查询次数过多或扰动过大的问题。
• 开发一种查询高效的对抗攻击方法，优化搜索方向并降低有效搜索空间的维度。
• 通过成功攻击腾讯AI平台的真实世界人脸验证API，证明方法的实际适用性。

提出的方法

• 该方法采用进化攻击框架，利用协方差矩阵对搜索方向的局部几何结构进行建模，以指导高效查询探索。
• 通过基于协方差矩阵对角线元素的概率选择坐标，聚焦于更具信息量的方向，从而提升收敛速度。
• 通过将搜索空间限制在低维子空间（如45×45×3）实现降维，平衡效率与扰动质量。
• 攻击仅依赖硬标签查询——无需梯度或模型参数，适用于真实世界的黑盒系统。
• 算法通过迭代查询目标模型并根据查询结果更新搜索分布，逐步优化扰动。
• 结合规避攻击与冒充攻击策略，以在不同威胁模型下评估鲁棒性。

Figure 1: Demonstration of the decision-based black-box attack setting. Given a black-box model, the attackers use queries to generate adversarial examples with minimum perturbations.

实验结果

研究问题

• RQ1 与现有方法相比，进化攻击方法是否能在决策型黑盒人脸识别攻击中实现更高的查询效率？
• RQ2 在查询受限条件下，对搜索方向的局部几何结构进行建模如何提升对抗攻击性能？
• RQ3 为在攻击成功率与扰动幅度之间取得平衡，搜索空间的最优维度是多少？
• RQ4 所提方法是否能成功生成视觉失真极小的对抗样本，以绕过真实世界的人脸识别API？

主要发现

• 所提进化攻击在腾讯AI平台人脸验证API上的平均失真最低（MSE = 2.54e-3），优于Boundary方法（1.63e-2）与Optimization方法（1.71e-2）。
• 该方法在低维搜索空间中收敛更快且扰动更小，45×45×3被确定为在效率与质量之间取得最佳平衡的最优维度。
• 基于协方差矩阵对角线元素（cii）的坐标选择显著优于均匀采样，证明了自适应采样的优势。
• 该方法成功生成了可绕过真实世界人脸识别系统的对抗样本，证实了其实际适用性。
• 在LFW与MegaFace数据集上的大量实验表明，最先进的人脸识别模型对黑盒攻击具有鲁棒性，同时突显了其安全漏洞。

Figure 2: The results on face verification conducted on the LFW dataset. We show the curves of the average distortions (MSEs) of the adversarial images generated by different attack methods for SphereFace, CosFace, and ArcFace over the number of queries.