[论文解读] Evading DeepFake Detectors via Adversarial Statistical Consistency

Yang Hou, Qing Guo+4 more|arXiv (Cornell University)|Apr 23, 2023

Advanced Image Processing Techniques被引用 4

一句话总结

本文提出StatAttack，一种新颖的对抗性攻击方法，通过在对抗性应用自然退化（曝光、模糊、噪声）过程中最小化虚假图像与真实图像之间的统计差异，从而逃避深度伪造检测器的检测，采用分布感知损失函数。该方法在空间域和频域检测器之间均表现出极高的可迁移性，在白盒和黑盒设置下显著优于基线攻击方法。

ABSTRACT

In recent years, as various realistic face forgery techniques known as DeepFake improves by leaps and bounds,more and more DeepFake detection techniques have been proposed. These methods typically rely on detecting statistical differences between natural (i.e., real) and DeepFakegenerated images in both spatial and frequency domains. In this work, we propose to explicitly minimize the statistical differences to evade state-of-the-art DeepFake detectors. To this end, we propose a statistical consistency attack (StatAttack) against DeepFake detectors, which contains two main parts. First, we select several statistical-sensitive natural degradations (i.e., exposure, blur, and noise) and add them to the fake images in an adversarial way. Second, we find that the statistical differences between natural and DeepFake images are positively associated with the distribution shifting between the two kinds of images, and we propose to use a distribution-aware loss to guide the optimization of different degradations. As a result, the feature distributions of generated adversarial examples is close to the natural images.Furthermore, we extend the StatAttack to a more powerful version, MStatAttack, where we extend the single-layer degradation to multi-layer degradations sequentially and use the loss to tune the combination weights jointly. Comprehensive experimental results on four spatial-based detectors and two frequency-based detectors with four datasets demonstrate the effectiveness of our proposed attack method in both white-box and black-box settings.

研究动机与目标

• 为解决深度伪造检测器对对抗性攻击的脆弱性，开发一种可迁移的攻击方法。
• 减少真实图像与虚假图像在空间域和频域中的统计差异，这些差异是关键的检测线索。
• 通过使虚假图像的特征分布与真实图像对齐，提升攻击在各类深度伪造检测器之间的可迁移性。
• 生成更具自然外观的对抗性样本，在保持高图像质量的同时有效逃避检测。

提出的方法

• 选择三种对统计特性敏感的自然退化类型——曝光、模糊和噪声——作为对抗性扰动应用于虚假图像。
• 引入一种分布感知损失函数，以最小化虚假图像与真实图像特征分布之间的距离，从而减少统计差异。
• 在对抗性优化过程中应用该损失，以指导退化注入，确保生成的对抗性样本在统计上与真实图像保持一致。
• 提出MStatAttack作为扩展，支持多层退化应用，并联合优化各层的退化权重。
• 采用迭代优化方法精炼退化应用过程，提升图像真实感与攻击成功率。
• 采用白盒攻击框架生成可有效迁移至未见检测器的对抗性样本。

实验结果

研究问题

• RQ1 对抗性应用自然退化是否能有效减少虚假图像与真实图像之间的统计差异？
• RQ2 最小化虚假图像与真实图像特征分布之间的偏移，如何提升攻击在各类检测器间的可迁移性？
• RQ3 分布感知损失在多大程度上能增强对抗性深度伪造样本的真实感与逃避检测能力？
• RQ4 采用自适应权重调优的多层退化（MStatAttack）是否能生成比单层退化更有效且更自然的对抗性样本？
• RQ5 所提出的攻击方法是否能在多种检测器和数据集上，在白盒与黑盒设置下均实现高成功率？

主要发现

• 在白盒设置下，StatAttack在四个基于空间的检测器上攻击成功率超过90%，在两个基于频域的检测器上超过80%。
• 在黑盒设置下，StatAttack保持了高可迁移性，当攻击未见过的模型时，空间基检测器的成功率超过70%，频域检测器超过60%。
• 该方法显著优于基线攻击方法（如VMIFGSM），部分检测器的迁移成功率提升高达40个百分点。
• 图像质量得到良好保持，BRISQUE分数较低（例如22.5–25.0），表明感知失真极小。
• 消融实验表明，对抗性模糊和曝光是提升可迁移性的最关键退化类型，尤其在频域检测器上效果显著。
• MStatAttack生成的对抗性样本比StatAttack更具自然外观，经可视化验证，并在未见检测器上取得更高的攻击成功率。