[论文解读] FakeSpotter: A Simple yet Robust Baseline for Spotting AI-Synthesized Fake Faces

Run Wang, Felix Juefei-Xu+5 more|arXiv (Cornell University)|Sep 13, 2019

Digital Media Forensic Detection参考文献 55被引用 32

一句话总结

FakeSpotter 提出了一种基于神经元覆盖率的新型方法，通过分析深度人脸识别模型中的逐层激活模式，检测由 AI 生成的伪造人脸。该方法在四种不同类型的伪造人脸（包括 DeepFake、属性编辑和表情操控）上实现了超过 90% 的平均检测准确率，并在噪声、模糊、压缩和重采样等四种扰动攻击下，AUC 分数的退化程度不超过 3.77%，表现出高度的鲁棒性和有效性。

ABSTRACT

In recent years, generative adversarial networks (GANs) and its variants have achieved unprecedented success in image synthesis. They are widely adopted in synthesizing facial images which brings potential security concerns to humans as the fakes spread and fuel the misinformation. However, robust detectors of these AI-synthesized fake faces are still in their infancy and are not ready to fully tackle this emerging challenge. In this work, we propose a novel approach, named FakeSpotter, based on monitoring neuron behaviors to spot AI-synthesized fake faces. The studies on neuron coverage and interactions have successfully shown that they can be served as testing criteria for deep learning systems, especially under the settings of being exposed to adversarial attacks. Here, we conjecture that monitoring neuron behavior can also serve as an asset in detecting fake faces since layer-by-layer neuron activation patterns may capture more subtle features that are important for the fake detector. Experimental results on detecting four types of fake faces synthesized with the state-of-the-art GANs and evading four perturbation attacks show the effectiveness and robustness of our approach.

研究动机与目标

• 应对由于 AI 生成伪造人脸的逼真性和广泛传播性所带来的日益严重的安全与隐私风险，解决对鲁棒性检测方法的迫切需求。
• 克服先前方法在多种伪造人脸生成模式和对抗性扰动下缺乏全面评估的局限性。
• 开发一种在真实部署环境中常见图像变换和扰动下仍具有效性和韧性的检测框架。
• 确立神经元激活模式作为区分真实与伪造人脸的可靠信号，为基于深度学习的伪造检测提供一种新范式。

提出的方法

• 利用深度人脸识别模型作为特征提取器，监测其逐层神经元激活模式，以检测真实与伪造人脸之间的细微差异。
• 构建一个二分类器，以各层中激活神经元所占比例（即神经元覆盖率统计）作为输入特征，用于伪造检测。
• 在四种不同类型的伪造人脸上训练并评估检测器：整体人脸生成（StyleGAN2）、面部属性编辑（STGAN）、表情操控（StyleGAN/STGAN）以及 DeepFake（FaceForensics++ 和 DFDC）。
• 在不同强度下应用四种常见扰动攻击（噪声、模糊、压缩和重采样），以测试鲁棒性并评估泛化性能。
• 以 AUC 分数为主要评估指标，将 FakeSpotter 与先前工作（如 AutoGAN）在图像和视频数据集上进行对比。
• 通过提取帧级特征并聚合视频序列中的预测结果，将方法扩展至视频检测任务，应用于 Celeb-DF(v2) 数据集。

实验结果

研究问题

• RQ1 深度人脸识别模型各层的神经元激活模式能否作为检测 AI 生成伪造人脸的可靠信号？
• RQ2 FakeSpotter 在包括整体人脸生成、属性编辑、表情操控和 DeepFake 在内的多种伪造人脸生成模式下表现如何？
• RQ3 在真实场景中，FakeSpotter 对噪声、模糊、压缩和重采样等常见图像扰动的鲁棒性如何？
• RQ4 在图像和视频伪造检测基准测试中，FakeSpotter 与现有最先进方法（如 AutoGAN）相比性能如何？
• RQ5 基于神经元覆盖率的方法能否泛化至高质量视频数据集（如 Celeb-DF(v2)），其中伪造生成技术更为复杂多样？

主要发现

• FakeSpotter 在四类 AI 生成的伪造人脸上实现了超过 90% 的平均检测准确率，表现出强大的有效性。
• 当在五种强度等级下遭受四种不同扰动攻击时，FakeSpotter 的 AUC 分数平均退化不超过 3.77%，表明其具有高度鲁棒性。
• 在 Celeb-DF(v2) 视频数据集上，FakeSpotter 的 AUC 得分为 66.8%，优于基准中列出的所有现有方法。
• 该方法对噪声和压缩表现出显著的韧性，即使在高扰动强度下性能波动也极小。
• 在 DFDC 数据集上性能较低，主要原因是该数据集包含语音替换攻击，而此类攻击超出了仅基于图像的检测机制的适用范围。
• 基于神经元覆盖率的方法揭示了一种新的、可泛化的伪造检测信号，未来可扩展至其他模态（如伪造语音或视频）